iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月16日，勒索軟體駭客Clop聲稱對Cleo檔案共享系統零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前資安業者Huntress提出警告，指出有人針對Cleo旗下MFT檔案傳輸系統進行大規模攻擊，當中利用繞過CVE-2024-50623的零時差漏洞修補，本週出現了新的說法。</p> <p>根據資安新聞網站Bleeping Computer的一篇報導，勒索軟體駭客Clop表示這起事故是他們所為，但並未透露何時開始發動攻擊，以及有多少企業組織受害的情況，這些說法的真實性有待查證。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166535"><strong style="font-size: 22px;">針對Cleo旗下MFT檔案共享系統的零時差漏洞攻擊，勒索軟體Clop聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-leaks-message.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-leaks-message.jpg" style="width: 300px; float: right;" /></a></p> <p>上週資安業者Huntress提出警告，他們從3日開始察覺Cleo旗下MFT檔案傳輸系統Harmony、VLTrader、LexiCom遭到鎖定的跡象，駭客對於這些MFT系統進行大規模攻擊，並在8日出現劇烈增加的情況，其中，對方疑似針對10月底公布的漏洞CVE-2024-50623而來。這波攻擊一度傳出是勒索軟體Termite所為，如今有新說法。</p> <p>12月13日美國網路安全暨基礎設施安全局（CISA）發布公告，表示他們將CVE-2024-50623列入已遭利用的漏洞名單（KEV），要求聯邦機構於明年1月3日完成修補。但與大部分列入KEV的漏洞有所不同，他們特別表明這項漏洞已被用於勒索軟體攻擊。</p> <p>兩天之後，對於濫用此漏洞進行攻擊的組織身分，資安新聞網站Bleeping Computer發布一份報導，當中提到勒索軟體駭客組織Clop宣稱事情是他們做的，並強調他們不會對政府服務、研究機構、醫藥相關的資料下手，若是不小心偷到這些資料，將會立刻刪除。但究竟駭客從何時開始發動攻擊，有多少公司受害，以及Clop與Termite是否有所關聯，對方並未透露。</p> <p><a href="https://www.ithome.com.tw/news/166534"><strong style="font-size: 22px;">出現鎖定NetScaler登入的密碼潑灑攻擊，Citrix警告系統恐遭滲透，也可能因身分驗證負擔過大而癱瘓</strong></a></p> <p>12月10日德國聯邦資訊安全辦公室（BSI）提出警告，他們掌握Citrix NetScaler遭到鎖定的攻擊行動，駭客試圖對此款網路設備進行暴力破解，如今Citrix也證實這樣的現象，並呼籲用戶採取行動。</p> <p>上週五（13日）Citrix透過部落格表示，他們也察覺密碼潑灑（Password Spray）的情況，有別於一般的暴力破解攻擊，往往對「單一」帳號嘗試使用「多組」密碼，而在這起惡意行動中，攻擊者反其道而行，他們針對NetScaler設備的「多個」帳號，利用一組數量不多的常見密碼進行登入嘗試，這麼做的目的，是為了避免被系統判定為異常而向管理員發出警示，或是出現帳號鎖定而導致東窗事發。</p> <p>他們也提及這些攻擊不光是身分驗證嘗試的次數突然顯著增加，還有可能導致設備因大量嘗試登入而不堪負荷，甚至會面臨故障明顯增加的情況。</p> <p><a href="https://www.ithome.com.tw/news/166529"><strong style="font-size: 22px;">Linux惡意程式Pumakit利用隱身手法埋藏在系統運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pumakit10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/pumakit10.png" style="width: 300px; float: right;" /></a></p> <p>隨著有許多網頁應用程式以Linux作業系統打造，針對這類系統的惡意程式，今年出現顯著增加的情況，而且，攻擊者採用的手段越來越複雜，使得防禦方更難察覺相關蹤跡。</p> <p>資料搜尋分析解決方案業者Elastic旗下的資安實驗室表示，他們從惡意軟體分析平臺VirusTotal當中，發現針對Linux打造的rootkit惡意程式Pumakit，攻擊者利用Linux內部功能追蹤器ftrace掛勾18種系統呼叫功能，以及數種核心功能，從而操弄主要系統的行為。</p> <p>值得一提的是，雖然此惡意程式仍在開發階段，但研究人員發現，其中的LKM rootkit若要進入啟動狀態，需在具備安全開機（Secure Boot）檢查、核心符號工具可用等特定環境，這些狀態是掃描Linux核心得知，並代表攻擊者所有的工具已隨著惡意程式載入工具一併嵌入ELF執行檔當中。</p> <p><a href="https://www.ithome.com.tw/news/166533"><strong style="font-size: 22px;">伊朗駭客鎖定美國、以色列關鍵基礎設施，散布工控惡意軟體Iocontrol</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image6-1733847779.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6-1733847779.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著國際局勢日益緊張，鎖定會左右國家運作狀態的關鍵基礎設施（CI）而來的攻擊行動不時傳出，有駭客打造出能專門針對這類環境的惡意程式，引起研究人員高度關注。</p> <p>專精工控安全的資安業者Claroty指出，伊朗駭客打造了名為Iocontrol的惡意程式，其主要目標就是以色列及美國的操作科技（OT）及物聯網（IoT）裝置，並被用於攻擊多種型態的連網裝置，包含IP攝影機、路由器、可程式化邏輯控制器（PLC）、人機介面（HMI）、防火牆，而且，遭到攻擊的設備廠牌也相當廣泛，涵蓋Baicells、D-Link、海康威視（Hikvision）、Red Lion、Orpak、菲尼克斯電氣（Phoenix Contact）、Teltonika、Unitronics等工控設備品牌。</p> <p>針對利用此惡意程式的駭客，研究人員推測與名為Cyber Av3ngers的伊朗駭客組織有關，這些駭客曾在一年前，針對使用以色列自動化控制業者Unitronics的美國水利單位下手，值得留意的是，OpenAI在今年10月指出，這些駭客試圖濫用ChatGPT破解PLC，並開發用於攻擊的Bash及Python指令碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/researchers-uncover-espionage-tactics.html">中國駭客鎖定東南亞而來，針對政府機關、航太、電信業者下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-cyberspies-target-android-users-with-new-spyware/">俄羅斯駭客Gamaredon假借提供三星防護App為幌子，散布間諜軟體BoneSpy、PainGnome</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/390-000-wordpress-accounts-stolen-from-hackers-in-supply-chain-attack/">逾39萬WordPress帳密資料遭竊，起因是軟體供應鏈攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.blackhat.com/eu-24/briefings/schedule/#worstfit-unveiling-hidden-transformers-in-windows-ansi-42637">臺灣資安研究員揭露視窗應用程式的ANSI漏洞WorstFit，攻擊者有機會用來執行任意程式碼</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/germany-blocks-badbox-malware-loaded-on-30-000-android-devices/">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166505"><strong>【12月13日】西班牙與秘魯共同破獲跨國大型電話網釣集團</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166484"><strong>【12月12日】羅馬尼亞政府證實電力公司Electrica遭遇勒索軟體Lynx攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166471"><strong>【12月11日】美國宣布制裁中國資安業者，起因是該公司利用零時差漏洞從事大規模攻擊</strong></a></p> </div></div></div>
2024/12/16 17:53作者周峻佑https://www.ithome.com.tw/news/166536
OpenAI ChatGPT推出Advanced Voice Mode with Vision、Projects功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周OpenAI的12消息連發活動下，再<a href="https://help.openai.com/en/articles/10271060-12-days-of-openai-release-updates" target="_blank">宣布</a>Advanced Voice Mode with Vision及Projects二項功能，前者讓ChatGPT也能看視訊，後者讓它可同時儲存專案檔案和對話。</p> <p><a href="https://www.ithome.com.tw/news/166131" target="_blank">Advanced Voice Mode</a>是以多模態模型如GPT-4o為基礎，讓ChatGPT具備聽力，以便更流暢、更低延遲和用戶交談。在第6天的新功能發布中，OpenAI為之加入影片、螢幕共享和圖片上傳支援。影片支援功能讓用戶將手機對準電視播放的影片問它問題，或是和ChatGPT視訊對話，讓ChatGPT<a href="https://www.youtube.com/watch%3Fv%3DkKVVw3ybVUA" target="_blank">一步步教用戶</a>完成手沖咖啡。螢幕共享讓ChatGPT共享你的手機畫面內容，例如一道難解的數學習題，由它解釋並帶你解題。現在用戶更可上傳圖片要求ChatGPT回答問題。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/NIQDnWlwYyQ?si=0obUFKhF4yejR4e7" title="YouTube video player" width="560px"></iframe></div> <p>這功能目前開放給ChatGPT Plus、Pro 方案用戶以手機App存取，ChatGPT Enterprise和Edu用戶要等到明年一月。要使用Advanced Voice Mode with Vision，用戶手機ChatGPT App必須要升級到最新版，Android App為1.2024.337 版，而iOS App為1.2024.339版。歐盟、瑞士、冰島、挪威及列支敦士登暫時未能使用，OpenAI並未說明開放時程。</p> <p>因應聖誕節的到來，OpenAI特別推出應景的<a href="https://www.youtube.com/watch?v=ae1b_CONZlY" target="_blank">Santa Mode</a>，特別開放給所有Teams和大部份（除歐盟、瑞士等地以外的）Plus訂閱戶。大部份（除歐盟、瑞士以外的）Pro方案用戶現在都能使用，OpenAI計畫很快讓歐盟用戶也能享用這功能。</p> <p>第7項新功能是Projects。ChatGPT Projects提供對話和檔案統一管理的新方法，可簡化需要大量交談的工作，類似Anthropic Claude既有專案管理功能。Projects可將對話內容、檔案和自訂指令儲存於單一個地方以方便管理。Projects支援OpenAI的現有功能，包括Canvas文件編輯、進階資料分析、DALL-E及搜尋。這功能將陸續推向所有ChatGPT 付費用戶，包括Teams、Plus、Pro方案，但ChatGPT Enterprise及Edu方案用戶要等到明年初。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-OpenAI%20ChatGPT%20project.png" style="width: 600px;" /></p> <p>要使用這功能，可點擊Projects右上角的「+」建立新專案，並使用「Add instruction」自訂指令。建立的專案可以刪除，也可以在Web版或Windows App編輯。不過macOS和手機App中只支援讀取專案和對話，無法編輯。</p> <p>目前Projects還有蠻多限制，例如它使用GPT-4o模型無法轉換，而且上傳檔案的來源尚不支援Google Drive或 Microsoft OneDrive。還有，目前這功能僅提供個人使用，還無法分享他人。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2024/12/16 10:57作者林妍溱https://www.ithome.com.tw/news/166526
Google、三星合作開發搭載AI的下一代XR頭戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星上周<a href="https://news.samsung.com/global/unlock-the-infinite-possibilities-of-xr-with-galaxy-ai" target="_blank">展示</a>與Google合作開發的XR頭戴裝置，將內建可自然對話互動的Gemini AI助理及Google眾多應用程式，挑戰蘋果Apple Vision Pro或Meta Quest。</p> <p>這款裝置工程代號為Project Moohan，Moohan為韓語「無限」的意思，結合三星硬體及生態系，與Google為智慧眼鏡或頭戴裝置設計的Android XR作業系統，號稱具備「state-of-the-art」的高解析度顯示器、透視能力，並提供多模態輸入能力，以及Gemini、Google Maps、YouTube等Google應用程式，讓使用者配戴體驗沈浸式影像，像是以YouTube觀看逼真賽事或在Gemini協助下規畫旅行。此外，新裝置除了手勢與控制器外，還讓用戶聲控；新的Gemini助理結合底層AI模型，提供自然對話式UI，還能理解使用者身處世界的情境，可提供精準及個人化互動回應。三星並未提供Project Moohan的實際規格，只透露是輕量硬體且符合人體工學適合長時間配戴。</p> <p>Project Moohan是第一款搭載Android XR的裝置，預計2025年上市，目前售價未公布。但一般估計應該是鎖定Apple Vision Pro或Meta Quest，前者要價3,500美元， Meta最新一代的Quest 3則走平價路線，定價500美元。</p> <p>Project Moohan將是三星繼Galaxy VR後再一次試探VR/AR/MR/XR市場。Galaxy VR因為應用程式數量、VR創造的沈浸感不足、實際效益及價格等因素，和所有其他先行業者一樣，未能取得預期的成功。</p> <p>媒體<a href="https://www.techradar.com/computing/virtual-reality-augmented-reality/project-moohan-shows-samsung-doesnt-understand-what-makes-the-meta-quest-3-special-and-i-dont-think-ai-will-rescue-it" target="_blank">分析</a>，價格及軟體應用將是三星或任何XR裝置廠商的挑戰，光是軟體應用並不足以吸引消費者或企業上門，超過1,000美元的價格可能讓用戶卻步，然用戶太少又難吸引第三方應用開發商投入。Meta摸石子過河後現已推出前景可期的Quest、Quest 3S、<a href="https://www.ithome.com.tw/news/146641" target="_blank">Ray-Ban Meta</a>，但代價是其前期遭受鉅額虧損，而別家公司並不一定能冒得起這種風險。</p> </div></div></div>
2024/12/16 08:22作者林妍溱https://www.ithome.com.tw/news/166517
【微軟GAI新戰略1】瞄準多元代理型AI浪潮，發展焦點從產品轉向Copilot生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「生成式AI最新的三大關鍵能力，可以創造豐富的代理型世界（Agentic World）。」微軟執行長Satya Nadella在年度產品大會Ignite開場演講上點出，過去一年來，LLM技術的進展，包括多模態支援、推理和計畫能力、長期記憶能力，加速了代理型AI浪潮的發展。</p> <p>他強調：「GAI代理人如Copilot，成了人們使用AI的介面。」不只可以理解文字，還延伸到圖像，影音的互動，也可以了解更豐富的上下文，甚至可以教LLM模型使用工具。目前GAI代理人的應用主要可分為四類，輔助員工的個人代理、輔助企業維運的組織型代理、業務流程代理，和跨組織型的代理。</p> <p>「每一個員工都需要像Copilot這樣的GAI代理人來提高生產力，而Copilot Studio開發工具則可用來打造代理人應用，將企業的商務流程自動化。IT部門則需要一套Copilot控制系統，可以管理、安全防護、量測代理的成效。」Satya指出，這是實現Copilot生態圈的三大組成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>戰略焦點從產品，轉向生態圈發展</strong></span></span></p> <p>開場演講中的這一席話也透露了，微軟GAI戰略的改變，將原本聚焦於產品線發展的策略，轉而聚焦「生態圈」發展的策略。從Copilot產品線、Copilot裝置產品線，到Copilot與AI的技術架構等三大平臺，都明顯看到，今年轉而聚焦Copilot生態圈為主的發展戰略。</p> <p>先看Copilot產品線的發展，正式推出才一年，微軟已將其深度整合到M365產品線中，不同辦公室軟體，各自有不同的產品助手Copilot，像是Copilot in Teams、Copilot in Word等。微軟除了持續強化產品型助手的功能，今年Ignite中發表了多款團隊助手的專門代理人，來豐富Copilot產品線，包括會議主持人（Facilitator Agent）、專案管理代理人、員工自助服務代理人、SharePoint代理人、即時口譯代理人（Interpreter Agent）。</p> <p>會議主持人代理可以在Teams會議中，引導討論焦點，會後跟進追蹤決議的任務等，而PM代理人則可依據預先規畫的專案流程，來進行各階段的任務、建立任務需要的文件內容等。員工自助服務助理則可解答員工的常見問題，也可自動代替員工來執行一些HR或IT任務，例如請假或填表。而每一個SharePoint平臺上建立的網站，也開始內建代理人助理，用自然語言就能即時存取網站上的企業內部KM文件。另外還有一類職務角色類Copilot，像是可提供銷售洞察分析的業務Copilot、顧客體驗優化的服務Copilot，現在也新增了財務分析的財管Copilot預覽版。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>M365終於開放第三方廠商Agents</strong></span></span></p> <p>今年微軟也宣布開放第三方Agents，讓第三方廠商在M365中提供自己的Agent和連結器。第一波支援廠商，包括了Adobe、LinkedIn、SAP、Servicenow、Workday、Cohere等軟體業者。像SAP的Joule可以在M365環境中，讀取企業顧客資訊，自動產生適合該顧客的報價資訊給業務人員參考。而Adobe的設計代理人，則可以讀取Excel或企業內部系統的資料，來繪製更漂亮的圖表。業務人員參加線上會議前，用LinkedIn代理人先熟悉開會名單上，顧客方新上任主管的履歷資料。</p> <p>不只是增加Copilot代理人的種類，微軟今年也強化了代理型AI的開發能力，去年Build大會推出的Low-Code代理人開發工具Copilot Studio，原本就可以讓企業快速客製出自己的AI代理人，整合到M365 Copilot、自家網站或應用中。不過，前一版打造的自製AI代理人，只能人為觸發而無法自動執行。在今年10月，微軟先公布了10款在Dynamics 365上的自動執行AI代理人（Autonomous Agent），到了11月的Ignite，這也成了Copilot Studio最新的客製化開發功能，可用來打造自主式AI代理人，透過對話或LLM模型，來觸發一系列的代理型工作流程，目前是公開預覽版。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新增Actions指令，能簡化Agent多步驟流程</strong></span></span></p> <p>微軟更發表了一項新的功能Copilot Actions，可以用來指示Agent的行為，建立更複雜的自動化作業流程。</p> <p>像是可以建立「彙整名單上每一個人，在周五12點前發送的訊息，摘要後Email寄給我。」這樣的行動指令，這中間就會利用到Copilot來摘要訊息，發送郵件。或是「當Adobe代理人追蹤的互動成效下滑0.25%時，透過Teams通知負責人。」將第三方廠商代理人的追蹤結果，觸發M365的通知機制。</p> <p>Copilot Actions就像是一段可以用來指示不同Agent採取行動的一長串提示指令，可以整合到M365的工作流程機制上，讓一些常見的組合工作自動執行。</p> <p><a href="https://s4.itho.me/sites/default/files/files/圖2-Action管理畫面-圖片來源-微軟.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Action%E7%AE%A1%E7%90%86%E7%95%AB%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></a></p> <p><span style="color: rgb(51, 153, 255);"><strong>Copilot Actions可以指示Agent，將多步驟流程，簡化成一道自動化的行動。微軟在Copilot Studio中還提供了統一管理介面，可以管理和檢視每一道Actions，還能建立範本來重複利用。</strong></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p>Satya解釋，Copilot Actions可以將大量規則變成一條條自動化的行動，就像Outlook信件規則，「Copilot Actions就是AI的規則工具，可以適用到整套M365 ，將各種流程自動化，讓多步驟的流程，簡化成一道道自動化的行動指令。」不過，目前一道Actions只能指揮一款Agent，但是可以將多個Actions串連起來，接續觸發來達到協作多款Agent的效果。</p> <p>Copilot Actions正是可以用來指揮多個Agent共同完成任務的關鍵功能，不只是微軟自家Agent，連剛開放的第三方Agent，都可以成為Actions指揮的對象，這正是微軟用來搶攻多元代理型AI浪潮的新武器。</p> <p>在Copilot Studio中也提供了集中式的Actions管理介面，可以用來管理和檢視每一道Actions，還能建立範本，重複利用或與其他人分享。微軟還發表了一款新的工具Copilot Analytics，提供了Copilot用量儀表板，也可以用來分析與業務KPI之間的關聯，例如Copilot用量多寡與業績營收的變化關係，來衡量不同代理型AI輔助工作流程帶來的成效。</p> <p>除了Copilot產品線布局，在Copilot裝置普及度上，微軟也將推出iOS和Android平臺上的Windows App，可以在不同裝置上存取雲端虛擬桌面，微軟更發表了新款硬體Windows 365 Link，作為雲端PC的本地端裝置，來實現資料不落地的控管，這些裝置端的Windows 365布局，也讓Copilot可以延伸到不同平臺的裝置上，來擴大整體滲透率。</p> <p>增加更多Ｍ365特定功能型Agent，提供企業客製自主型Agent、開放第三方廠商Agent加入，新增Actions功能指揮不同Agent讓流程自動化，擴大W365端點布局等，可以看到微軟今年的Copilot產品布局，跨出了M365疆界，要發展更廣、更大的Agentic生態圈。</p> </div></div></div>
2024/12/13 10:05作者王宏仁https://www.ithome.com.tw/news/166495
中國公安傳出利用安卓間諜軟體EagleMsgSpy監控行動裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客運用間諜軟體從事監控的情況不時傳出，但如今有研究人員發現，中國公安也使用這類軟體。</p> <p>資安業者Lockout揭露<a href="https://www.lookout.com/threat-intelligence/article/eaglemsgspy-chinese-android-surveillanceware">名為EagleMsgSpy的安卓間諜軟體</a>，此為中國軟體業者武漢中軟通證資訊技術有限公司（Wuhan Chinasoft Token Information Technology Co., Ltd.）從事開發，至少從2017年就開始使用，而使用此間諜軟體的組織，就是中國的公安部（Public Security Bureaus）。</p> <p>這款間諜軟體由兩大部分組成，包含了安裝程式APK檔案，以及成功植入目標設備後，以無介面（headless）在後臺運作的間諜軟體用戶端程式。</p> <p>針對該間諜程式能夠收集的資料，涵蓋了第三方即時通訊軟體的訊息、螢幕畫面錄影、螢幕截圖、錄音、通話記錄、聯絡人、簡訊、網路活動，以及其他本機資料。</p> <p>雖然EagleMsgSpy針對安卓手機開發，但研究人員發現，這家軟體業者疑似也打造iOS變種版本，但他們無法取得相關檔案。</p> <p>究竟這款間諜軟體如何植入手機？研究人員推測，很有可能是執法人員逮捕持有者後，將手機沒收並安裝該間諜軟體。</p> </div></div></div>
2024/12/12 15:12作者周峻佑https://www.ithome.com.tw/news/166483
【資安日報】12月9日，AI模型PyPI套件Ultralytics成駭客散布挖礦軟體的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊事故日益頻繁，上週一共發生了兩起，先是傳出JavaScript軟體開發套件Solana Web3.js遭駭，開發人員若是不慎部署有問題的套件，開發環境就會被植入竊資軟體，到了週末，又有AI模型PyPI套件Ultralytics遇竊的情形。</p> <p>值得留意的是，雖然兩起事故開發團隊都迅速做出處置，撤下有問題的惡意套件，但Ultralytics後續還是有新的惡意套件出現，這起資安事故的進展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166417"><strong style="font-size: 22px;">AI模型套件Ultralytics遭駭，數千用戶的開發環境恐遭植入挖礦軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GeCeRO_WkAAsEkD.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GeCeRO_WkAAsEkD.jpg" style="width: 300px; float: right;" /></a>軟體供應鏈資安事故頻傳，上週有JavaScript軟體開發套件Solana Web3.js遭駭的情況，導致有部分開發人員的加密貨幣資產遭竊，如今又有類似的資安事故出現。</p> <p>12月5日電腦工程博士Furkan Gözükara提出警告，擁有數百萬用戶的PyPI套件Ultralytics被入侵，導致用戶的環境被用於挖掘加密貨幣，由於此套件被用於訓練名為You Only Look Once（YOLO）的模型，因此已有許多用戶的Google Colab帳號，因為出現了濫用的跡象而被停用。</p> <p>Ultralytics創始人暨執行長Glenn Jocher證實此事，並表示他們已提供8.3.43版因應。該公司也在察覺此事後，隨即將有問題的版本下架，並表示他們的團隊正進行完整的資安稽核，以及導入進行防護措施，來避免類似事故再度發生。值得留意的是，這起事故似乎尚未結束，12月8日，有使用者發現新的惡意版本8.3.45、8.3.46版上架到PyPI，若是不慎安裝，開發環境會被植入挖礦軟體。</p> <p><a href="https://www.ithome.com.tw/news/166416"><strong style="font-size: 22px;">Blue Yonder遭駭導致多家零售業者停擺事故，勒索軟體Termite聲稱是元凶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Termite-ransomware-Blue-Yonder-entry.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Termite-ransomware-Blue-Yonder-entry.png" style="width: 300px; float: right;" /></a></p> <p>11月21日松下電器旗下的SaaS軟體服務供應商Blue Yonder（原JDA Software）傳出遭到勒索軟體攻擊，導致客戶營運受到波及的情況，有駭客組織表明是他們所為。</p> <p>這起資安事故相當引人注目，原因在於Blue Yonder提供各種供應鏈與商業解決方案，涵蓋供應鏈管理、退貨管理、人力資源管理、零售業目錄管理、倉儲管理等領域，而且該公司客戶有不少是知名企業。事隔不到一週，已有星巴克、英國連鎖超市Sainsbury與Morrisons證實受到波及，營運部分流程被迫改以手動處理因應。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Termite聲稱這起事故是他們所為，並竊走了680 GB內部資料，其中包含電子郵件清單1.6萬筆，以及逾20萬份保險報告文件。但對於駭客的說法，Blue Yonder並未出面進一步發表公開說明。</p> <p><a href="https://www.ithome.com.tw/news/166391"><strong style="font-size: 22px;">英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead本月5日報導，勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手，攻擊其視訊會議業務分公司BT Conferencing，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協議（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？該篇報導並未提及。</p> <p><a href="https://www.ithome.com.tw/news/166386"><strong style="font-size: 22px;">親俄駭客對臺DDoS手法大公開，安碁資訊解析HTTP洪水攻擊防禦之道</strong></a></p> <p>自今年9月以來，臺灣遭遇兩波親俄駭客組織NoName057的DDoS攻擊，該組織不只是攻擊臺灣的政府單位與民間企業，另也輪流鎖定不同目標，包括捷克、法國、烏克蘭、奧地利、英國、羅馬尼亞等國，以及歐盟的多個關鍵CI網站服務，都是他們的攻擊對象。</p> <p>儘管先前的事件新聞報導後，已讓大家注意此次威脅，但實際DDoS攻擊手法的解析，國內鮮少有這方面的資訊，最近安碁資訊在其年末舉辦的資安講堂活動上，揭露了這次DDoS攻擊的不同之處。該公司指出，駭客發動的洪水攻擊與往常不同，一般DDoS防護與清洗機制無法防禦，因為這次洪水攻擊主要是用慢速耗盡資源且大量連線存取的方式。</p> <p>安碁資訊數位鑑識資安維運處處長蔡東霖指出，今年9月親俄駭客NoName057對臺發動的DDoS攻擊，主要攻擊型態是採「資源型攻擊」的HTTP洪水攻擊（HTTP Flood Attack），這樣的情況，與2022年裴洛西訪臺的DDoS攻擊型態明顯不同。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/russias-bluealpha-apt-cloudflare-tunnels">俄羅斯駭客BlueAlpha透過Cloudflare Tunnels隱匿攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-spyware-found-on-phone-seized-by-russian-fsb/">遭俄羅斯軍方逮捕的軟體開發人員手機被植入間諜軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/browser-isolation-bypassed-qr-codes-used-in-novel-c2-attacks/">瀏覽器隔離機制可被濫用！研究人員揭露利用QR Code將C2命令傳送到受害電腦的攻擊手法</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-zero-day-exposes-ntlm-credentials-gets-unofficial-patch/">Windows作業系統出現NTLM零時差漏洞，影響所有工作站、伺服器版本</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166336"><strong style="font-size: 22px;">AI帶動資安市場加速成長，Fortinet揭露自我轉型最新進度</strong></a></p> <p>生成式AI對資安產業帶來重大的影響，但是AI發展對資安產業的發展而言，不僅是危機卻也是轉機，更直接迫使資安業者必須積極轉型，以因應AI世代的來臨。</p> <p>Fortinet全球發言人暨執行副總裁Joe Sarno日前訪臺接受媒體訪問時表示，隨著數位化腳步的加速，網路安全威脅日益複雜多樣，Joe Sarno強調，人工智慧（AI）技術已成為資安領域的核心驅動力，未來也將協助企業更有效應對新興威脅，該公司並推動全球資安教育與平臺整合策略，致力於打造更安全的數位未來。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.narlabs.org.tw/xmdoc/cont?sid=0O344350550260684681&xsmsid=0I148622737263495777">國家實驗研究院與資安社群聯手舉辦CGGC網路守護者挑戰賽，由「海狗再打十年」隊奪冠</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166404"><strong>【12月6日】與中國駭客組織Daggerfly有關的駭客對美國大型企業從事4個月的情報收集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166370"><strong>【12月5日】勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> </div></div></div>
2024/12/9 16:50作者周峻佑https://www.ithome.com.tw/news/166419
【資安日報】12月6日，與中國駭客組織Daggerfly有關的駭客對美國大型企業從事4個月的情報收集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客從事網路間諜活動的情況，在今天出現兩起事故，一起是針對美國大型企業而來，而另一起則是針對維吾爾族和圖博人士的攻擊行動。</p> <p>其中，發生在美國企業的資安事故相當值得留意，因為揭露此事的資安業者賽門鐵克指出，他們僅能確認駭客至少從事4個月的活動，但推測對方入侵的時間點，應早於他們看到的攻擊活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166390"><strong style="font-size: 22px;">美國大型企業組織遭到中國駭客入侵，鎖定Exchange伺服器發動攻擊，目的是收集情報</strong></a></p> <p>中國駭客對美國企業及政府機關發動攻擊的情況不時傳出，最近有研究人員公布8個月前開始出現的資安事故，並指出駭客活動期間為今年4月至8月，持續進行4個月之久，疑似進行情報收集。</p> <p>資安業者賽門鐵克揭露一起鎖定美國大型企業組織的網路間諜活動，並指出受害企業在中國具有相當重要的影響力。駭客疑似為了進行情報收集，於受害組織的網路環境持續活動。根據這波攻擊行動使用的工具，研究人員推測，攻擊者應該來自中國。根據掌握的證據，加上該企業也曾於去年遭到攻擊，研究人員認為，攻擊者很可能與中國駭客組織Daggerfly有所關連。</p> <p>研究人員表示，從4月11日起，他們開始看到這些駭客於受害企業網路環境活動的跡象，不排除對方更早就開始進行活動的可能。因為，當時這些駭客透過WMI在其中一臺電腦下達可疑命令，並透過另一臺電腦的執行滲透測試工具Impacket。由此看來，當時駭客至少已成功占領兩臺電腦，因此研究人員推測，攻擊行動很有可能在此之前就已經開始。</p> <p><a href="https://www.ithome.com.tw/news/166396"><strong style="font-size: 22px;">維吾爾族及圖博人士遭鎖定，駭客搭配漏洞利用攻擊包MoonShine、後門程式DarkNimbus進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthMinotaur-Fig01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthMinotaur-Fig01.png" style="width: 300px; float: right;" /></a>中國駭客針對圖博及維吾爾族的攻擊行動不時傳出，而最近研究人員公布的攻擊行動當中，駭客暗中從事間諜活動長達5年，直到如今才被揭露。</p> <p>趨勢科技揭露名為Earth Minotaur的駭客組織，駭客使用名為MoonShine的漏洞利用攻擊套件，並針對安卓行動裝置與Windows電腦，部署名為DarkNimbus的後門程式，主要目標是圖博與維吾爾族人，意圖藉此進行長時間的監控。</p> <p>研究人員指出，他們從2019年就開始利用MoonShine相關攻擊行動，並在調查的過程當中，發現未以安全方式運作而「露餡」的MoonShine伺服器，掌握該漏洞利用工具及相關事件記錄資料，進而得知攻擊者使用的技倆，以及駭客鎖定的標的。</p> <p><a href="https://www.ithome.com.tw/news/166391"><strong style="font-size: 22px;">英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/telecom-giant-bt-group-black-basta-ransomware-attack.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead本月5日報導，勒索軟體駭客Black Basta近日聲稱對大型英國電信業者BT Group下手，攻擊其視訊會議業務分公司BT Conferencing，導致該公司部分主機暫停運作，駭客握有500 GB內部資料。對此，BT Group證實遭到攻擊，但強調受害範圍僅限於會議平臺，核心服務不受影響。</p> <p>為了證明成功入侵BT Group，駭客公布部分竊得檔案，以及檔案資料夾列表的螢幕截圖，並指出這批檔案包含財務資料、內部資料、使用者資料及個人文件、保密協議（NDA）與機密資料，並揚言若是BT Group不願支付贖金，他們將公開所有竊得的資料。不過，究竟駭客索討多少贖金？該篇報導並未提及。</p> <p><a href="https://www.ithome.com.tw/news/166400"><strong style="font-size: 22px;">JavaScript軟體開發套件Solana Web3.js遭駭，從開發人員電腦竊走18萬美元加密貨幣</strong></a></p> <p>12月4日傳出JavaScript軟體開發套件（SDK）Solana遭遇供應鏈攻擊，導致部分版本程式庫被植入後門程式碼，開發人員的加密貨幣錢包私鑰將會遭竊，使得資產被洗劫一空。對此，Solana開發團隊也證實確有此事，並在1.95.8版發行公告進行相關說明。</p> <p>這起事故的揭露，最早是由專門研究及開發Solana相關工具的軟體業者Anza揭露，該公司主管Trent.sol最先提出警告，指出1.95.6及1.95.7版的Solana SDK「solana-web3.js（或寫成@solana/web3.js）」被植入竊資軟體，將會導致私鑰流出。若是使用上述版本的SDK，應儘速升級至1.95.8版。此外，他強調1.95.5版不受影響。</p> <p>雲端程式監控業者Datadog研究員Christophe Tafani-Dereeper指出，攻擊者在SDK當中植入名為addToQueue的功能，並利用看似合法的Cloudflare標頭來洩露私鑰。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=165809&SPOKE_DATE=20241205&COMPANY_ID=2609"><strong style="font-size: 22px;">陽明海運傳出部分資訊系統遭遇網路攻擊</strong></a></p> <p></p> <p>12月5日陽明海運於股市公開觀測站發布重大訊息，指出他們察覺有部分資訊系統遭遇網路攻擊的情況，該公司資安團隊查知此事，已全面啟動相關防禦機制，委請外部資安業者及技術專家共同處理，並依法向相關部門進行通報。</p> <p>針對此事可能會造成的損失或影響，陽明表示，根據他們的初步評估，營運尚無重大影響。他們未來將持續提升網路與資訊基礎架構的安全管控，確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://iverify.io/blog/iverify-mobile-threat-investigation-uncovers-new-pegasus-samples">資安業者iVerify揭露新的間諜軟體Pegasus威脅</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/this-3000-android-trojan-targeting.html">安卓木馬DroidBot鎖定77家銀行客戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/russias-bluealpha-apt-cloudflare-tunnels">俄羅斯駭客BlueAlpha透過Cloudflare Tunnels隱匿攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/anel-and-noopdoor-backdoors-weaponized.html">MirrorFace攻擊行動鎖定日本而來，散布Anel、NoopDoor惡意程式</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166393"><strong style="font-size: 22px;">以AI對付詐騙展現絕佳創意！英國電信業者O2祭出反詐騙新招，推出AI阿嬤和詐騙電話「過招」</strong></a></p> <p>詐騙電話橫行，有電信業者想出奇招，利用AI科技牽制歹徒，讓他們無法對一般民眾行騙。</p> <p>上個月英國電信業者O2發表AI阿嬤（AI Granny）Daisy，這個「阿嬤」結合各種AI模型，這些模型進行協同合作，而能夠即時接聽詐騙電話，並跟歹徒聊天。該公司號稱Daisy栩栩如生，不少歹徒一口氣就跟AI阿嬤通話40分鐘。</p> <p>這項詐欺誘餌（Scambaiter）的製作，是該公司「讓詐騙者轉彎（Swerve the Scammers）」活動的一部分。Daisy採用一系列最先進的AI技術打造而成，並由專門對抗詐騙的北愛爾蘭YouTuber吉姆·布朗寧（Jim Browning）進行訓練，可以在無人介入的情況下，全天候與歹徒進行閒聊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mitel-micollab-zero-day-flaw-gets-proof-of-concept-exploit/">Mitel視訊協作平臺MiCollab存在零時差漏洞，研究人員公布相關細節</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166370"><strong>【12月5日】勒索軟體Brain Cipher聲稱攻擊Deloitte英國分公司並竊得大批資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166346"><strong>【12月4日】伊朗駭客APT35鎖定航太及半導體產業發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166328"><strong>【12月3日】惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業</strong></a></p> </div></div></div>
2024/12/6 18:00作者周峻佑https://www.ithome.com.tw/news/166404
【資安月報】2024年11月，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年11月資安新聞，身分安全與AI的最新進展是廣泛關注的焦點，同時，臺灣上市櫃公司本月發布了7起資安事件重大訊息，而全球電信業面臨的滲透攻擊與零時差漏洞利用的狀況，更是持續引發各界高度重視。在此我們彙整7大資安焦點，帶大家快速回顧本月的關鍵新聞與趨勢。</p> <p><strong style="color: rgb(255, 0, 0);">身分安全強化有新進展</strong></p> <p>身分安全是本月國內資安防護新聞的一大焦點，有多項消息與此有關。例如，我們在11月發布的一篇封面故事，就是介紹國內近期出現首批導入Passkey的網路服務業者；還有數發部將要求廣告平臺業者，實證驗證刊播廣告者的身分，以及NCC要求電信事業強化商業簡訊風險管控機制，如含有URL、短網址或電話號碼，需檢查發送者身分，要與登錄資料相符才能協助發送。此外，在國際間，也有Google Cloud預告明年強制啟用MFA的消息。</p> <p><strong style="color: rgb(255, 0, 0);">AI熱度不減，帶來的挑戰與機會持續受關注</strong></p> <p>面對AI能力進步顯著的今日，有哪些最新態勢值得留意？我們列舉以下重要消息：以AI帶來的資安挑戰而言，資安業者Palo Alto Networks本月在臺灣年度用戶大會上，指出攻擊者出手速度越來越快，滲透與外洩資料間隔越來越短，從3年前的平均是9天，隨著AI和其他技術的不斷興起，去年已縮短至兩天，最近的調查更是縮短至4小時內，大幅壓縮防守方調查應變時間；以AI帶來的資安機會而言，Google公布AI抓漏專案Big Sleep受矚目，因為這是利用LLM模仿人類安全專家找出漏洞的突破，當中找出SQLite的堆疊緩衝區下溢漏洞，成為這類應用的第一個公開實例。</p> <p>關於企業這一年來必須掌握的重要變化，英國標準協會（BSI）在這個月舉行的2024年會上，不僅強調百工百業用AI的最新態勢，也提醒大家關注AI風險，因為今年這議題已被世界經濟論壇（WEF）列為近年最重大風險，臺灣企業應提升AI治理力。</p> <p><strong style="color: rgb(255, 0, 0);">eBPF技術、聯合學習發展成焦點</strong></p> <p>10月有CNCF技術委員會成員來臺，揭露eBPF是K8s未來3大重要進展之一，本月舉行的思科亞太區用戶大會，同樣展現這方面的應用，指出併購Isovalent後帶來Cilium這項技術，並指出eBPF就是Cilium的核心技術，讓思科能強化網路可觀測性，顯現eBPF技術正被看好；另一是國內的科技防詐創新研發態勢上，11月初臺北金融科技展中有3項聯合自主實證計畫亮相，都是關於用AI聯合學習提升防詐能力，顯現聯合學習正受看重。</p> <p><strong style="color: rgb(255, 0, 0);">臺灣重大資安事件</strong></p> <p>關於上市櫃公司遭遇網路資安事件，發布資安重訊的業者有6家，涵蓋紡織業、汽機車製造業、印表機製造業，以及電子零組件業，同時還有被動元件大廠與電信寬頻設備大廠，分別代美國與菲律賓子公司公告遭駭。<br /> ●第一星期有1起，力鵬表示楊梅廠部分主機遭受加密攻擊。<br /> ●第二星期有2起，三陽工業說明部份資訊系統遭受駭客網路攻擊。<br /> ●第三星期有1起，國巨代子公司KEMET補公告網路資安事件。 <br /> ●第四星期有3起資安重訊，包括誠研、晟楠，中磊代子公司Sercomm Philippines公告。</p> <p>還有2起與臺灣有關的威脅與風險揭露，同樣值得留意，包括：中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET指出前兩年有臺灣政府機關與宗教團體遇害；中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，由於該設備年初已終止支援、目前仍有近6萬臺正在使用，引發外界高度關注。</p> <p><strong style="color: rgb(255, 0, 0);">重訊揭露具體損失展現透明度</strong></p> <p>在上述國巨發布的重大訊息中，具體公布了美國子公司基美電子（KEMET）的取消訂單金額與閒置產能損失，相當難得。其實，這方面的透明度，對於證券市場投資者而言，相當重要，因為美國證券市場近年已經要求企業揭露相關資訊，必須揭露生產力損失、可能的聲譽損失或事件應變損失。在國內，2018年台積電的重訊記者會，曾具體公開這方面資訊，今年11月國巨在臺灣證券交易市場，也主動公開子公司的這方面資訊，未來希望有更多國內上市櫃公司跟進，展現資安處理的透明度。</p> <p>值得注意的是，雖然主動揭露資安重大訊息相當難能可貴，可惜國巨這次仍受罰，為什麼會這樣？臺灣對於上市櫃企業資安大訊息發布的規定，在於發現資安事件後於次一營業日開盤前2小時發布。也就是第一時間就要發布資安重訊，但由於這些損失可能無法第一時間算出，可能需要第二次重訊來說明。以國巨這次發布而言，由於忽略了前者，被證交所依違反重訊規定開罰5萬元。</p> <p><strong style="color: rgb(255, 0, 0);">多國電信業者遭中國駭客鎖定</strong></p> <p>美電信業遭中國駭客組織Salt Typhoon滲透的後續消息不斷，更受外界關注的是，還有更多全球電信業也是中國駭客的目標，這個月就有不同資安業者相繼揭露這方面的狀況。例如，趨勢科技揭露Salt Typhoon近期攻擊東南亞電信業者的事故中，使用多款後門程式，包含未被揭露的GhostSpider、模組化的SnappyBee、跨平臺的Masol RAT；資安業者CrowdStrike則公布中國駭客Liminal Panda多年來持續鎖定南亞、非洲電信業者從事網路間諜活動。</p> <p><span style="color:#FF0000;"><strong>攻擊者持續發展新攻擊手法與挖掘新漏洞</strong></span></p> <p>在威脅與攻擊手法方面，有2則新聞顯露出新的攻擊態勢，例如有研究人員發現第一個鎖定Linux主機的惡意UEFI Bootkit，並認為這個名為Bootkitty的惡意程式很可能在早期開發階段；有資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，指出此手法只有在某些解壓縮工具執行下才會現身，相當具隱蔽性。此外，攻擊者使用自帶驅動程式（BYOVD）攻擊的手法越來越多，這個月又有兩起行動是鎖定Avast、Palo Alto Networks的狀況。</p> <p>至於駭客發動零時差漏洞利用攻擊的情形，這個月依然嚴峻，包括微軟有兩個（CVE-2024-43451、CVE-2024-49039）、蘋果有兩個（CVE-2024-44309、CVE-2024-44308）、Palo Alto Networks有兩個（CVE-2024-0012 、CVE-2024-9474），Oracle有1個（CVE-2024-21287），還有臺廠奇偶科技的EOL設備也有1個（CVE-2024-11120）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/165831"><span style="color: rgb(178, 34, 34);">【資安週報】1028~1101，中國駭客組織動作頻頻，打造可攔截Session及Cookie的惡意工具，挖掘產品未知漏洞並用於攻擊行動</span></a></strong></h2> <p>10月最後一星期的資安消息中，在國家級駭客威脅態勢上，有3起關於中國駭客組織攻擊的重要消息，其中兩起備受重視，一是中國駭客組織Evasive Panda打造惡意軟體工具包CloudScout的情形被資安業者揭露，而且已被用於針對臺灣政府機關和宗教團體的實際攻擊行動，由於該工具包可攔截Session及Cookie，將能存取Google Drive、Gmail、Outlook等公有雲服務；另一是資安業者Sophos揭露有駭客在四川地區從事漏洞的研究、利用與開發，再提供給中國政府資助的多個駭客組織進行使用，除此之外，中國政府支持的攻擊者也針對其他品牌的網路與資安設備，同樣是近年多家資安業者不斷警告的嚴重威脅。</p> <p>●中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET發現臺灣政府機關與宗教團體在前兩年成為其攻擊目標。<br /> ●中國駭客近5年鎖定多家廠牌的網路設備、資安設備，挖掘零時差漏洞從事攻擊行動，資安業者Sophos揭露最新研究報告Pacific Rim。<br /> ●前兩個月殭屍網路Quad7的威脅大幅提升，微軟揭露最新調查結果，指出中國駭客Storm-0940所為，並有多組中國駭客使用該殭屍網路所竊得的帳密資料。</p> <p>還有俄羅斯駭客Midnight Blizzard（APT29）的威脅，需關注其大規模攻擊活動，因為根據微軟威脅情報中心釋出的最新消息顯示，APT29正寄送內含惡意RDP組態檔案且高度針對性的釣魚郵件，英國、歐洲、澳洲、日本等數十國的政府、學術界、國防、非政府組織都是目標。</p> <p>勒索軟體也是主要的威脅焦點，有多家資安業者揭露不同勒索軟體的最新動向。例如，SonicWall在8月下旬修補的SonicOS漏洞CVE-2024-40766，如今有資安業者指出勒索軟體Fog、Akira的攻擊行動在初期入侵時，就是利用SonicWall防火牆設備的SSL VPN帳號；10月底資安研究人員發現CyberPanel伺服器管理平臺存在3種弱點，後續發現已有攻擊者鎖定可公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux；有資安業者揭露勒索軟體駭客Black Basta使用新的戰術，先透過網釣郵件，再透過微軟Teams進行社交工程攻擊引誘使用者上當。</p> <p>還有兩個威脅態勢同樣值得留意，包括有研究人員展示新的Windows安全降級手法，可在Windows核心植入Rootkit，以及有資安業者揭露香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊，發現濫用紅隊演練工具Cobalt Strike並使用超過30個誘餌檔案。</p> <p>在資安事件方面，當中許多是先前公眾已知事故的後續消息，涵蓋國內外的紡織業、電信與ISP業者、醫療業。</p> <p>●臺灣上市紡織纖維業力鵬在28日發布重訊，說明楊梅廠部分主機於凌晨遭受加密攻擊，本地備份資料亦遭刪除，現正自異地備援資料還原中。<br /> ●美國多家ISP業者先前傳出中國駭客Salt Typhoon入侵，美國FBI與CISA證實這項消息，說明已通知受影響的公司，並鼓勵潛在受害者與政府機關共同應對。<br /> ●法國大型ISP業者Free先前傳出資料被兜售於駭客論壇，該公司證實資料遭到外流，並說明是管理工具被鎖定而遇害，導致部分個資遭到未經授權存取。<br /> ●美國醫療服務供應商UnitedHealth今年2月遭勒索軟體攻擊，該公司半年多後通報美國衛生及公共服務部的資料顯示新的消息，外洩的用戶資料高達1億筆。</p> <p>在資安防護上，我們認為有3個消息最要注意，分別是：找出產品未知漏洞的競賽、攻破駭客網路基礎設施的行動，以及面對AI時代發展的國安政策。首先，Pwn2Own Ireland 2024幫助提前找出逾70個零時差漏洞，其次歐盟與荷蘭執法單位搗毀竊資軟體RedLine、Meta的基礎設施，第三是美國政府發布首個AI國家安全備忘錄。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165936"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1104~1108，用戶身分安全受矚目，焦點涵蓋Passkey無密碼登入、金融Fast-ID、強制啟用MFA清</span></strong></a></h2> <p>11月第一週的資安消息中，在防護動向上，以身分安全為主要焦點，有3起消息都與此有關，其焦點涵蓋Passkey無密碼登入、金融Fast-ID，以及強制啟用MFA。</p> <p>例如：我們最近發布的封面故事，就是關於臺灣網路服務業者至少已有3家業者，包括：露天市集、可樂旅遊、智冠科技，均在大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」，這不僅代表開始跟上國際業者腳步，也讓用戶能有更安全簡便的登入方式；關於金融Fast-ID驗證轉接中心的進度，先前金管會已透露將於明年6月上線，11月初台北金融科技展上更是公布先導機構預計達20家，不只銀行、保險、證券期貨，也擴及投信投顧與政府機構；Google Cloud宣布明年強制啟用MFA的消息中，提到目前仍有3成帳號未啟用MFA，打破眾人對IT人員早就啟用MFA、重視帳號安全的想像，因此引發外界關注。</p> <p>還有兩則新聞突顯資安防護上的新技術焦點，我們認為同樣值得關注，一是聯合學習，一是AI抓漏。前者是在科技防詐的發展中，臺灣金融業正聚焦聯合學習技術的應用，目前已有3項實證計畫都在檢驗其有效性，並要促進應用落地；後者是涉及LLM模仿人類安全專家找出漏洞的發展，Google的Project Zero團隊與DeepMind共同研發的AI抓漏專案Big Sleep，已有首個公開實例出現。</p> <p>另外值得一提的是，臺灣駭客年會企業場在11月登場，副總統蕭美琴也到場支持並給予鼓勵，不只推動產官學研與社群力量的持續合作，更強調確保供應鏈的穩定，將能增強外商對臺灣的信心。</p> <p>在威脅態勢方面，有一起針對臺灣的攻擊最值得留意，思科Talos指出今年7月出現針對臺灣的臉書企業用戶及廣告帳號的攻擊，其手法是以侵犯版權為由，或假冒企業的法律部門，企圖散布竊資軟體LummaC2、Rhadamanthys。還有兩則駭客攻擊活動揭露，都與資安產品被鎖定有關。</p> <p>●臺灣企業臉書粉專管理員遭鎖定，駭客聲稱收信人的公司盜用他們的圖片及影片，揚言採法律行動，誘騙收信人開啟偽冒為PDF的可執行檔，以植入竊資軟體。<br /> ●英國國家網路安全中心（NCSC）揭露有攻擊者鎖定Sophos XG防火牆設備植入Pygmy Goat的後門程式，資安業者Mandiant分析攻擊者與與中國駭客有關。<br /> ●有攻擊者將舊版的Cortex XDR代理程式部署到企業，資安業者Palo Alto Networks指出這是藉由自帶驅動程式（BYOVD）手法。<br /> ●繼上月美國多家電信業者電信業者傳出遭中國駭客Salt Typhoon入侵，新加坡電信也傳出受駭，並且疑為同一駭客所為。<br /> ●安卓惡意軟體FakeCall的攻擊手法有新招，不僅藉由網路釣魚以植入惡意程式，還可將通話重新導向至攻擊者控制的詐騙號碼。<br /> ●研究人員揭露可濫用ChatGPT-4o的新手法，將惡意指令編寫成16進位可繞過原有安全護欄的防護。</p> <p>至於資安事件方面，在國內，以生產汽機車聞名的上市公司三陽工業，發布資安重訊說明部份資訊系統遭受駭客網路攻擊；國際間，則有2起消息受關注，包括：施耐德電機傳出Jira伺服器資料外洩、駭客聲稱從Nokia合作廠商竊得原始碼。</p> <p>在漏洞消息方面，這一星期有4大漏洞利用狀況，其中CyberPanel伺服器管理平臺的漏洞最受關注，因為在研究人員揭露相關漏洞資訊後出現攻擊行動，這可能突顯安全研究人員與供應商之間溝通不良，造成用戶需要為此買單的狀況。</p> <p>●CyberPanel上月修補經研究人員通報的安全漏洞，後續發現攻擊者鎖定並布署勒索軟體Psaux，美國CISA將CVE-2024-51567列入已知漏洞利用清單。<br /> ●11月Android例行安全更新中，修補已遭利用的安卓框架元件零時差漏洞CVE-2024-43093，以及高通上月修補的零時差漏洞CVE-2024-43047。<br /> ●Palo Alto Networks在7月修補Expedition轉移工具的漏洞CVE-2024-5910，11月8日該業者接獲CISA通知，已有證據顯示該漏洞正被積極利用。<br /> ●開源Web伺服器Nostromo nhttpd在2019年修補的老舊漏洞CVE-2019-16278，如今仍有攻擊者鎖定未修補用戶發動攻擊。</p> <p>至於其他漏洞修補動向，還可以留意的包括：HPE Aruba Networking的Wi-Fi基地臺系統軟體、思科的工控無線URWB路由器、以及ABB的智慧建築能源管理系統的漏洞修補。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166056"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1111~1115，國巨代子公司發布資安事件公告，主動揭露損失金額成新榜樣</span></strong></a></h2> <p>11月第2周的資安新聞中，在資安事件方面，以上市公司國巨代子公司發布資安事件重訊最特別，該公司不僅是揭露資安事故，也公布該事故對財務的影響，對資安透明度起到示範作用。</p> <p>這是因為，過去我們看到近年國外公司遭遇資安事件，有時都會揭露該事件帶來的損失金額，但很少國內公司這麼做，如今國巨在針對子公司基美電子（KEMET）資安事件的損失揭露上，提出具體金額與占比的說明。根據其公告的損失包括：取消訂單金額約60萬美元（約1,800萬元），占2022年度銷貨收入約0.04%，以及閒置產能損失約310萬美元（約1億元），占2022年度營業利益約0.75%。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，其中微軟修補修補的CVE-2024-43451最要注意，因為該漏洞至少從今年4月起就被利用，後續是在ClearSky研究人員在烏克蘭CERT-UA的幫助下，拼湊出今年6月疑似俄羅斯入侵烏克蘭學術伺服器的攻擊事件，進而發現這個漏洞並通報微軟。<br /> ●微軟修補4個零時差漏洞，其中2個已遭利用，分別是涉及Windows NTLMv2的CVE-2024-43451，以及有關Windows工作排程器的CVE-2024-49039。<br /> ●Palo Alto Networks在10月初修補兩個漏洞<span data-testid="page-header-vuln-id">CVE-2024-9463、</span>CVE-2024-9465，一個月後，發現攻擊者開始鎖定這些已知漏洞利用於攻擊行動。<br /> ●3個老舊漏洞持續遭攻擊者鎖定利用，包括Atlassian在2021年修補Jira Server與Data Center的漏洞CVE-2021-26086，Metabase在2021年修補GeoJSON API的漏洞CVE-2021-41277，思科在2014年修補ASA的漏洞CVE-2014-2120。</p> <p>其他重要漏洞消息方面，包括D-Link已停止支援的老舊NAS設備被發現重大漏洞，研究人員呼籲用戶盡速汰換設備；有資安業者揭露物聯網裝置雲端控管平臺Ovrc的10個漏洞，指出物聯網裝置越來越廣泛，這類平臺的安全更顯重要。</p> <p>在威脅態勢上，有3個態勢值得留意，包括網攻資料竊取速度加快、攻擊者濫用SEO的現況，以及新興的ZIP檔案串接手法（ZIP Concatenation），這不僅是利用多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中，而且一起攻擊活動中，以7-Zip開啟會是無害PDF檔，用WinRAR或是Windows檔案總管開啟則會讓惡意檔案現身，容易對使用者產生更大的威脅。<br /> ●Palo Alto Networks在臺灣年度用戶大會指出網路攻擊者出手速度越來越快，從3年前平均9天縮短至去年的2天，最近的調查更是縮短至4小時內。<br /> ●近年冒牌電子商務網站數量暴增，資安業者趨勢科技與日本警界等聯手調查，發現攻擊者先對合法網站植入SEO惡意軟體，僅而讓搜尋結果出現駭客廣告。<br /> ●惡意軟體GootLoader不僅利用搜尋引擎最佳化中毒的手法來入侵，近期還特別鎖定澳洲，針對愛貓人士而來。<br /> ●中國駭客APT41利用惡意軟體框架DeepData Framework跟蹤政治人物與記者，東南亞多國被鎖定。<br /> ●資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，此手法正被攻擊者積極利用，有些解壓縮工具才會讓惡意檔案就會現身，相當具隱蔽性。</p> <p>另外值得警惕的是，駭客透過假冒方式散布惡意軟體的情形有兩起，顯示這類假冒與社交工程的手法依然活躍，包括有攻擊者利用偽裝成Windows版GitHub應用程式，散布惡意軟體Fickle Stealer，以及以取名相近的方式假冒熱門Python套件SSH自動化函式庫fabric。</p> <p>在資安防護方面，本星期有兩大重要新聞，一是為了防範詐騙、網釣連結等問題，多家簡訊商因應NCC祭出的新規範，開始實施建立商業簡訊的白名單機制；另一是思科近期宣布擴大雲端保護方案布局，新增Cillium與Hypershield，當中顯現出該公司對於eBPF技術的重視，由於上個月CNCF技術委員會成員來臺揭露K8s未來3大發展焦點時，其中一項也就是eBPF，突顯這項發展多年的eBPF技術，如今正被資安界看到更多可能性。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166180"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊</span></strong></a></h2> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda已鎖定南亞、非洲電信業者多年。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘餌、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形，先前已經通報業者（尚未登記CVE），用戶需多加偵測並注意廠商的回應與緩解。</p> <p>在漏洞消息方面，有多達6個明確的零時差漏洞利用的情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果針對旗下多個作業系統與Safari瀏覽器修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生是在10月12日，等於事發相隔一個月才公布，違反重訊發布規範，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，從原本600多家，擴大至包含服飾業者Uniqlo、NET，以及全國電子等6,800多家零售業者。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166286"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬臺仍在使用</span></strong></a></h2> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。由於已出現攻擊行動，我們要提醒的是，還沒修補的用戶需盡速更新與清查是否已受影響。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人並不知道這類設備需要中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164110">【2024年6月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">【2023年5月資安月報】</a></h3> <p> </p> </div></div></div>
2024/12/6 15:22作者羅正漢https://www.ithome.com.tw/news/166394
【資安日報】12月3日，惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織在執法單位從事執法行動，破壞基礎設施之後，另起爐灶再度從事攻擊行動的情況不時傳出，而最近一波惡意軟體SmokeLoader再度出沒的攻擊行動相當值得留意，因為這是在遭執法單位查緝之後，該惡意程式的最新活動。</p> <p>值得留意的是，這波攻擊行動針對臺灣的企業而來，駭客的目標涵蓋製造業、醫療保健、資訊科技等多個產業。特別的是，攻擊者竟使用內容幾乎一模一樣的釣魚信，對不同公司下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166324"><strong style="font-size: 22px;">收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" style="width: 300px; float: right;" /></a></p> <p>今年5月，歐洲刑警組織與十多個國家的執法單位聯手，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在今年9月看到新一波的SmokeLoader攻擊行動，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/166325"><strong style="font-size: 22px;">Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" style="width: 300px; float: right;" /></a></p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，他們發現疑似利用零時差漏洞的攻擊行動，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer取得Any.run找到的惡意檔案，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-interlock">勒索軟體Interlock疑從9月出現，對8個國家企業組織發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spyloan-android-malware-on-google-play-installed-8-million-times/">安卓惡意軟體SpyLoan透過Google Play市集散布，已被下載800萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/smokedham-backdoor-unc2465s-stealth-weapon-for-extortion-and-ransomware-campaigns/">駭客組織UNC2465佯稱提供合法工具，散布後門程式Smokedham以從事勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/ai-powered-fake-news-campaign-targets.html">俄羅斯影響力活動Undercut鎖定烏克蘭及美國選舉而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166305"><strong style="font-size: 22px;">Windows Server 2012、2012 R2存在MotW零時差漏洞</strong></a></p> <p>11月28日專門提供微修補的資安業者0patch指出，他們在伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p><a href="https://www.ithome.com.tw/news/166327"><strong style="font-size: 22px;">針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明</strong></a></p> <p>上週資安業者Nozomi揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166326"><strong style="font-size: 22px;">國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" style="width: 300px; float: right;" /></a>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，從今年7月至11月執行名為Operation Haechi-V的執法行動，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://finance.ettoday.net/news/2866164"><strong style="font-size: 20px;">台新銀行加入國際資安事件應變小組論壇FIRST，為臺灣第一家參與該組織的金融機構</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> </div></div></div>
2024/12/3 17:33作者周峻佑https://www.ithome.com.tw/news/166328
Wasm是雲原生技術的下一步發展，更是GAI實現快速推論關鍵助力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際顧問公司Gartner每年都會發表一張新興科技發展周期報告，盤點2千項技術和應用框架，以未來2年到10年的變革和影響性為比較標準，選出當年最重要的25項新興技術，繪製成當年的新興技術成熟度曲線圖。全球爆紅的生成式AI，正是2023年進入這份清單，但是，在同一年，還有另一項技術和GAI一起入選，就是WebAssembly，簡稱Wasm。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>WebAssembly的影響力媲美GenAI和Docker</strong></span></span></p> <p>到了2024年的新興科技發展周期報告，Gartner甚至將WebAssembly和GenAI並列為唯二，跨出「期望過高的巔峰期」，即將進入技術成熟度曲線的「幻滅期」，這也代表了，Gartner認為，這兩項技術已經度過了炒作階段，接下來經過一段時間改善和優化，就會進入穩定發展的成熟期，最快2～5年，就會對全球帶來變革式的影響。</p> <p>Gartner對WebAssembly影響力的期待，僅次於GenAI，遠遠超過其他新興技術。Gartner特別看好WebAssembly的理由是，這項技術賦予網頁應用超高效能，特別適合微服務和無伺服器環境的應用。目前的缺點是，會提高複雜度，大規模導入的學習門檻也很高。</p> <p>不只跨國顧問公司看好這項技術，今年是K8s問世十年，因這項技術擴大成型的雲原生生態圈，回顧過去之際，也開始思考K8s和雲原生技術的下一個十年發展方向。有不少技術意見領袖，紛紛將WebAssembly視為K8s下一個十年最重要的發展，與eBPF、IT永續並列為雲原生技術未來三大關鍵發展方向。尤其到了今年11月，在美國鹽湖城舉辦的Kubecon北美場大會中，WebAssembly成了這場K8s生態圈年度大會中最熱門的話題。今年也首度將WebAssembly技術年會與Kubecon大會共同舉辦，不少科技公司和企業出來分享自己使用Wasm的經驗，例如美國高盛金融集團、德國製造大廠博世Bosch集團、工廠自動化設備大廠西門子等。</p> <p>CNCF推廣大使太田航平早在今年10月來臺參加K8s高峰會時，在主題演講中就強調，K8s的下一波發展有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？他解釋，WebAssembly可以提供一個獨立的執行環境，不限任何開發語言、作業系統和CPU的執行環境。換句話說，WebAssembly可以提供一個通吃任何開發語言、作業系統，甚至是CPU架構的執行環境。他更現場展示後端工程師慣用的GO語言、網站開發語言Ruby和行動應用常用的Swift如何編譯成Wasm格式的二進會檔來執行，Docker容器也可以放進Wasm來執行。</p> <p>太田航平特別強調，WebAssembly技術，可以將不同的開發語言編譯成二進位格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不只科技巨頭，跨國金融集團、製造大廠也開始嘗試</strong></span></span></p> <p>Google是參與WebAssembly標準的推動者，更是第一批採用這項技術的科技公司，許多知名的服務都靠WebAssembly來創造出流暢的使用體驗，像是用C++語言開發的Google地球，就是靠V8瀏覽器引擎的WebAssembly多執行緒支援，才在瀏覽器中實作出桌面版般的任意放大縮小、飛行視角般的瀏覽操作。線上版Google Sheets用Wasm封裝Java計算引擎，讓超大型試算表提高了1.8倍的計算速度。Google Photo團隊則靠Wasm，將用單一語言開發的照片編輯功能程式碼，部署到iOS、Android和Web等不同平臺上，開發一次，不用任何改寫就能到處部署。</p> <p>Google旗下開源機器學習框架TensorFlow的JS版本的核心，同樣用Wasm縮短了好幾倍的模型推論時間，甚至用Wasm結合多執行緒，比用GPU加速的JavaScrpit 2D/3D函式庫WebGL來執行相同推論，可以縮短好幾倍的時間，這個效能優化，讓沒有GPU的行動裝置，也能快速進行AI推論。</p> <p>Adobe是另一家大力擁抱Wasm的愛用者，像是Lightroom線上相片編輯和特效工具、Express（前身是Spark）線上相片設計工具，都採用了WebAssembly技術來優化操作體驗。甚至是他們旗下最知名的設計工具Photoshop，這是一套用C++語言開發的多執行緒軟體，Adobe花了很多年，想要將這款設計圈最重要的軟體搬上雲端，一直克服不了JavaScript的效能問題，後來找來Google幫忙，才在2021年，打造出Web版Photoshop測試版，去年正式推出，Adobe也用這項技術陸續將更多需要重度運算需求的軟體產品，也慢慢搬上雲端。 </p> <p>光是運用WebAssembly的SIMD（單指令流多資料流）處理能力，對大型圖檔中大量像素進行平行處理計算，平均就提高了3～4倍的處理速度，有些特效處理甚至可以加快80～160倍的速度。WebAssembly讓線上版Photoshop具有不輸桌面原生軟體版的流暢性和速度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>高盛集團開發者平臺大幅改用Wasm封裝API</strong></span></span></p> <p>不只是科技巨頭愛用，也有大型企業開始嘗試Wasm，例如高盛銀行有一個每天數百萬次，甚至爆量到上億次呼叫請求的開發者API平臺，他們在2023年時，花了8、9個月驗證如何用Wasm來封裝不同語言，如Go、Java、Typescript開發的API外掛，統一這些外掛程式的部署和管理。高盛銀行第四季正式釋出了第一款用Wasm打包的API外掛，不出3個月，全部的API外掛程式在年底時都改用Wasm形式來提供。</p> <p>高盛集團早在好幾年前，就開始採用API優先戰略，也推出了一個開發者平臺，釋出各種類型的API給內部各部門和外部第三方合夥夥伴和合作開發者。</p> <p>他們也打造了一個完全用API架構的數位銀行交易平臺，同樣提供了大量API，可以將高盛金融服務嵌入到各種第三方應用中。這個開發者評平臺提供了包括三大類，資料類AP像是資料篩選、資料分析處理、資料管理等資料類API，也有用於風險分析和投資分析的工具服務，還有一大類是銀行金融交易類的API，像是銀行交易類API，如支付、財富管理API等，也包括了一套金融區塊鏈API，這些API會以外掛的彈性組合形式來對外提供。這個高盛集團的開發者平臺，每天的API呼叫次數加起來，高達數百萬次，甚至上億次。 </p> <p>這些外掛API部分來自開發者平臺團隊開發，更多是不同產品團隊各自開發。因為這些API是多年來陸續開發的成果，採用的開發語言涵蓋了Java、Go和TypeScript。不同團隊各有自己的開發實踐。<br /> 高盛平臺團隊想要找到一個技術，可以用來統一不同開發語言，使用單一獨立的runtime環境，來提高安全性，還要讓程式碼更容易重複使用。所以，他們先從一個重複帳號檢查功能開始進行PoC驗證，成效不錯。</p> <p>尤其，將Wasm編譯流程加入到原有的開發流程時，仍舊可以套用原本多數開發流程的工具和安全機制，像是程式碼掃描、套件管理、相依性管理工具，都不需要有太大變動，讓開發者可以繼續使用原本熟悉的工具。改用Wasm編譯後的API程式檔案，執行效能明顯提高，也更方便和其他部門共享不同程式語言開發的元件。</p> <p>高盛集團工程管理總監Rohan Deshpande指出，善用Wasm，可以提高API外掛生態圈品質和彈性的關鍵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%AB%98%E7%9B%9Bapi%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B%E9%9B%86%E5%9C%98.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color:#696969;"><strong>高盛銀行有一個每天數百萬次呼叫請求的開發者API平臺，他們在2023年時開始驗證如何用Wasm，來封裝不同語言所開發的API外掛，統一這些外掛程式的部署和管理，最後讓全部的API外掛程式都改用Wasm形式來提供。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高盛集團</span></span></p> <p>德國製造大廠Bosch有個研究團隊，則在2023年底時，分享了在自駕車軟體和工廠系統運用Wasm的經驗。他們用Wasm搭配容器技術，來部署汽車駕駛系統的嵌入式軟體元件，大幅簡化了電動車內不同類型異質裝置的安裝管理。他們還看上Wasm的毫秒級冷啟動能力，在工業自動化設備的邊緣主機上，用Wasm來部署監控軟體，可以幾乎即時的速度，來分析工控PLC系統回傳的資料，來判斷是否出現問題要發出預警，就算邊緣主機當機（製造工廠環境常見的故障風險），也能快速（毫秒等級）在另一臺邊緣主機啟用新的Wasm監控軟體，做到幾乎即時的故障自動切換能力，不會中斷對工廠自動化產線的持續監控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Amazon影音服務靠Wasm支援8千種各類裝置</strong></span></span></p> <p>Amazon的Prime Video服務則看上了Wasm通吃各種裝置、平臺的能力。Amazon這項影音服務數百萬名顧客所用的裝置高達8千種類型，除了電腦、手機，還有遊戲主機、各類數位電視、機上盒、USB串流棒等。每次要改版，幾乎很難針對每一種環境提供專門的升級版本。所以，Amazon從2020年8月開始測試Wasm，發現同樣的功能，用Rust語言開發，再編譯成Wasm檔案格式執行，可以比用JavaScript開發的執行速度快上10到25倍，便決定在2021年大幅改用WebAssembly混用JavaScript，來簡化軟體版本升級的流程。</p> <p>Amazon會在裝置上預載兩種執行環境，一個是WebAssembly VM，另一個是JavaScript VM。需要大量運算的功能，例如動畫模擬、渲染計算等，就改用Wasm技術編譯成二進位檔，放到WebAssembly VM中執行，而Prime Video App則保留原本的JavaScript程式碼，載入到另一個JavaScript VM環境中來執行。這個做法，不只更容易靠一兩種語言，支援到更多類型的裝置，高運算負載的程式碼從JavaScript改為Wasm後，省下了30MB的記憶體，只需要7.5MB就能順暢執行，也降低了不少硬體規格的門檻，提高在低階或行動裝置上的執行效能。</p> <p>WebAssembly並非是這幾年隔空出現的新技術，而是問世十年的老技術，一開始是為了解決 JavaScript直譯式語言速度太慢的問題，尤其Web應用的功能越來越複雜，程式檔也越來越大，動輒數萬、數十萬行的Web應用程式碼，如何提高大型Web應用在瀏覽器中的執行速度成了一大挑戰。早在2010年時，有位軟體工程師Alon Zakai打造了一款工具Emscripten，可以將C/C++程式碼編譯成JavaScript可執行的形式，2012年更是釋出了asm.js技術，這是JavaScript的一項子集合，可以在瀏覽器中執行C和C++程式碼來加速。這是WebAssembly標準出現前的JavaScript應用優化嘗試。</p> <p>2015年5月，JavaScript之父Brendan Eich特別來臺參加iThome舉辦的Modern Web大會，回顧這項技術的開發幕後秘辛以及20年來的發展。在演講中，他特別展示了在瀏覽器中執行的第一人稱3D射擊遊戲，來展示當JavaScript執行效率跟Bytecode程式一樣時，可以做到的能耐。這個現場展示，震驚所有參加者，包括臺下的我。</p> <p>一個月後，JavaScript之父就和四大瀏覽器平臺，發起了W3C WebAssembly社群小組，想要重新發明JavaScript網頁應用，以WebAssembly來命名新技術，顧名思義，就是Web的Assembly（組合語言）形式，要讓網頁應用也能擁有二進位Bytecode的執行格式。</p> <p>Brendan Eich指出，WebAssembly格式標準將成為一個網站程式碼的新中介層，可以提供一個二進位檔案格式標準來執行網頁。最大特色是，可以讓JavaScript程式的執行速度快20倍，讓網頁應用也能像桌面原生應用一樣的執行速度。因為，WebAssembly標準的作法是，直接定義了一個新的網頁執行層，而非如JavaScript子集合的作法，讓瀏覽器能直接執行二進位檔案格式的WebAssembly檔案，來達到像是執行Bytecode程式般的高效能。而且，當時JavaScript之父更指出一個未來的發展趨勢，這項技術不限於JavaScript這種語言，而是任何語言都可以用的技術。</p> <p>這項技術有多強？像是Adobe大砸200億美元收購的設計平臺Figma，正是靠WebAssembly技術才打造出操作流暢的線上工具，可以在瀏覽器上使用大量向量元件，組合成複雜、精美的網頁版面。正因為WebAssembly可以讓Web應用的執行速度，媲美桌面原生軟體般的執行速度，所以，不少人用「網頁組合語言技術」來形容。</p> <p>經過兩年努力，在2017年時，WebAssembly 發表了第一個版本，獲得Chrome、Safari、Edge、Firefox等主要瀏覽器的支持，也正式成了網頁標準之一。不過，這項技術，一開始只能在瀏覽器環境中執行，想要執行Wasm，還得先安裝一隻瀏覽器或瀏覽器引擎。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>Wasm走出瀏覽器，連Docker之父都驚艷</strong></span></span></p> <p>直到2019年，這一年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，提供了一個runtime程式和命令列工具，不需要瀏覽器，可以直接在桌機或伺服器端執行Wasm應用。同時，專案成員也發起了Bytecode聯盟，要將WebAssembly推廣到瀏覽器以外的世界。這也讓同一套Wasm封裝的程式碼，可以在瀏覽器或非瀏覽器的環境中執行，不需要維護兩套程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-WASI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Fastly%E5%82%91%E5%87%BA%E5%B7%A5%E7%A8%8B%E5%B8%ABLuke%20Wagner.png" style="width: 547px;" /></p> <p><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2019年是 Wasm走出瀏覽器，邁向廣大雲原生世界的關鍵一年。Mozilla、雲端業者Fastly等聯手發表了WASI（WebAssembly System Interface）專案，透過獨立的runtime和命令列工具，不需要瀏覽器，也可以直接在桌機或伺服器端中執行Wasm應用。</span></strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly傑出工程師Luke Wagner</span></span></p> <p>「如果WASM和WASI在2008年就出現，我們就不需要發明Docker技術了。」Docker之父Solomon Hykes這一句話點出了WebAssembly技術對雲原生生態圈的影響力，可以媲美Docker技術創造了整個雲原生技術浪潮的重要性。這句話也成了後來大家談到WebAssembly發展時，最常被引述的一句話，這是一項連Docker之父都讚嘆的新技術。</p> <p>跨出瀏覽器之後，橫跨到雲原生技術圈的WASM生態圈，從2020年開始茁壯，而且相關工具和技術專案數量越來越多，貢獻者規模越來越大，更多工具，更多開發語言開始支援，也開始出現大規模開發Wasm用的技術框架。</p> <p>WASI專案在2021年提出了新的元件模式（Component Model）草案，可以讓不同語言寫的程式碼，編譯成Wasm元件，此彼此有一套標準的元件輸入輸出方式來互動，舉例來說，用Go語言寫的Wasm元件，和用Rust語言寫的Was元件，有共同的標準輸入輸出方式，就像用同一種語言開發的元件一樣，甚至可以把這兩個元件，放入一個更大的Wasm元件中混用。這個元件模型，讓Wasm具備了跨各種語言的能力，這也是後來WASI專案0.2版的重要特色。Brendan Eich多年前提到的WebAssembly跨開發語言的能力，不只在瀏覽器中落實，更在瀏覽器外的廣大雲原生世界中實現了。</p> <p>到了2022年，已有超過40種語言支援Wasm，包括Rust, C, C++, JavaScript和GO語言。而且不只伺服器環境，還可以在邊緣裝置，甚至是IoT設備上執行Wasm程式。2022年10月，Docker公司更宣布加入Bytecode聯盟，要讓Docker引擎開始支援Wasm，直接在容器執行環境中，也能直接執行Wasm的二進位元件檔。</p> <p>Docker這一步，吸引了更多雲原生採用企業對這項技術的關注，雲原生組織CNCF在年度調查中觀察到，超過37%的企業開始試水溫嘗試WebAssembly，尤其可用於Serverless架構中的兩款Runtime，包括WasmEdge和WAMR開始受到關注。CNCF這份調查報告最後的結論是「容器已經成為新標準，而WebAssembly是未來。」這個雲原生生態圈最重要的組織，開始認真將WebAssembly視為接下來的重要發展方向。</p> <p>不只是容器技術指標廠商開始擁抱，虛擬化技術也開始向Wasm靠攏。微軟Azure技術長Mark Russinovich在2023年Build開發者大會上發表了Hyperlight，可以在Hypervisor上直接執行Wasm應用。Hyperlight可以產生一個微型VM（Micro-VM），比執行一個容器所用的資源更小，啟動速度超快，具有Hypervisor層隔離強度的執行環境，來執行Wasm元件。1秒鐘可以啟動1千個這種執行Wasm的微型VM ，延遲時間甚至只有250微秒，也就是一秒的四千分之一。微軟讓虛擬機器、容器和Wasm可以在同一個Hypervisor環境中並存。</p> <p><span style="font-size:20px;"><span style="color:#3366ff;"><strong>後續報導請見：</strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166257" target="_blank"><span style="color:#3366ff;">WebAssembly如何成為雲原生生態圈關鍵技術</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/166267" target="_blank"><span style="color:#3366ff;">WebAssembly生態圈有哪些重要專案？Wasm生態地圖重點剖析</span></a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/166268" target="_blank"><span style="font-size:20px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1210-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=bh7pAHR_" style="width: 600px;" /></span></strong></span></a></p> </div></div></div>
2024/11/29 12:25作者王宏仁https://www.ithome.com.tw/news/166256
Google Gemini App開放Workspace企業及教育用戶下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://workspaceupdates.googleblog.com/2024/11/now-available-gemini-mobile-app-for-workspace-users.html" target="_blank">宣布</a>，Gemini Android及iOS版獨立應用程式已提供Workspace用戶下載，在行動裝置上作業更方便。</p> <p>Gemini App讓用戶可存取Workspace中的核心Gemini服務（core service）。利用App，企業用戶可在行動期間查詢資訊、研究，或利用手機拍攝手寫筆記、再匯入到Google Docs或Gmail，或將白板上的圖表轉成數位圖表。在App上的資料處理和傳輸，也都能獲得Workspace的資料保護。</p> <p>Google同時宣布手機版App擴大部署到教育方案用戶，可以核心或附加服務存取Gemini。用戶必須以企業和教育版帳號登入使用。</p> <p>Gemini App目前已支援150多國家地區及語言。但是部分Web版Workspace服務目前還未部署到Gemini App上，包括Workspace外掛、檔案上傳和客製化個人助理Gemini。Google日前再為Gemini加入超過13種檔案類型的支援，包括TXT、DOC、DOCX、PDF、XLSX及Google Sheets與Docs，最多一次可上傳10個檔案，每個檔案最大100MB。</p> <p>iOS版Google App並不支援以Google Workspace帳號驗證，因此想用Workspace帳號驗證的iOS用戶必須下載Gemini App。而在Android版Gemini App方面，目前尚不支援Work Profile。</p> <p>這次變更對以附加服務存取Gemini App的Workspace用戶不會有影響，他們可以持續存取Gemini App。</p> </div></div></div>
2024/11/29 10:26作者林妍溱https://www.ithome.com.tw/news/166271
Android版Google Gemini可外掛連結Spotify
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google Gemini AI助理再添擴充功能的外掛。繼WhatsApp後，9to5Google<a href="https://9to5google.com/2024/11/26/spotify-gemini-extension/" target="_blank">發現</a>Android版Google Gemini將能以外掛再整合Spotify，提供更直覺而連貫的服務。</p> <p dir="ltr">報導是在今年稍早有用戶<a href="https://www.androidauthority.com/spotify-google-gemini-extension-coming-soon-apk-teardown-3448585/" target="_blank">發現</a>Google App執行Spotify的設定程式碼後，Google進一步拓展第三方服務外掛。這讓用戶可以口說或文字提示，要求Android版Gemini App使用這個線上串流音樂服務。</p> <p dir="ltr">根據Gemini App的<a href="https://support.google.com/gemini/answer/15300097" target="_blank">設定</a>，要用使用這功能，必須先建立Gemini和Spotify連結。用戶可按指示建立兩者的連結。完成後，就可叫Gemini搜尋Spotify歌曲、歌單並播放。用戶可以選擇前一次使用的音樂服務，或是連結一種以上的音樂服務但不指定特定一種（其他如Yahoo Music）。但只有Spotify Premium訂閱戶才能指定播放特定歌曲。</p> <p dir="ltr">目前僅Android版Gemini App有Spotify外掛，Web版、iOS版及Google Gemini in Messages都還沒有。Android版Gemini App上的Spotify外掛只在Gemini設定使用英文、以及啟用Gemini Apps Activity時才能使用。雖然外掛可使用口說提示，但用戶必須記得要先設定好Hey Google及Voice Match才能使用Hey Google提示。</p> <p dir="ltr">Gemini App第一個<a href="https://support.google.com/gemini/answer/15574928?hl=en" target="_blank">外掛</a>是WhatsApp。Android用戶可叫Gemini App在WhatsApp撥打電話和發送訊息，或叫它編寫和編輯訊息。Google正漸次將本功能部署到全球。</p> </div></div></div>
2024/11/27 14:02作者林妍溱https://www.ithome.com.tw/news/166219
美國司法部提議Google出售Chrome業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">提議</a>法院，應要求Google出售Chrome業務，以有效解決Google搜尋市場的壟斷。</p> <p>哥倫比亞特區聯邦地方法院法官Amit P.Meht今年8月<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，Google利用不當通路手段維持非法壟斷搜尋及搜尋廣告市場。美國司法部這份提交法院的建議最終判決文件，是對法官建議懲處及矯正措施。但最終決定權仍是在Meht法官手上。</p> <p>這份23頁的文件和<a href="https://www.ithome.com.tw/news/165427" target="_blank">10月份</a>司法部的提議大致雷同，但用詞更為明確。內容主要說明Google是透過和裝置、瀏覽器業者簽定獨家合約、集中及獨攬用戶使用分析資料等方法，而獲致搜尋引擎及搜尋廣告的獨大地位。美國司法部指出，Google持有及控制Chrome及Android將減弱矯正措施的效果，因此必須讓Google放棄（divest）Chrome，後者是鞏固其壟斷地位的重要因素，以實現競爭者通路合作的可能。</p> <p>司法部也認為Android是支持Google壟斷的因素，但說要求出售該業務可能引發Google和其他市場參與者的強烈反對，因此建議行為矯治手段來削弱Google對Android生態系的控制。但美國政府說，一旦矯治措施無效，也會建議要求Google出售這個作業系統。</p> <p>為解決Google壟斷對搜尋服務及搜尋文字廣告市場的損害，且確保Google無法再維持壟斷或閃避法院判決，司法部提議法院禁止Google和第三方廠商如裝置製造商或瀏覽器業者簽定獨家合約、禁止它擁有和控制搜尋相關產品（如Chrome）、禁止Google收購、少量投資或合作以免扼殺新興業者，也要求Google將搜尋分析資訊和業界共享、提高廣告投放的透明度，以及成立技術委員會每月向政府報告Google搜尋及廣告拍賣改革的進度等。</p> <p>Google法務長Ken Walker周三<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-nov-2024/" target="_blank">回應</a>，這份建議已無限上綱，範疇遠超越法院決定，也會摧毁Google眾多產品，不只是搜尋，最終損及美國民眾利益。</p> <p>Google認為，出售Chrome和Android，以及公開用戶分析內容將危及美國用戶的安全和隱私，影響用戶使用Google搜尋、也會傷害仰賴Google搜尋的業者如Mozilla Firefox，且使Google對AI的投資卻步。Google並說，政府要求技術委員會，是對Google搜尋和其他科技過度的微管理。</p> <p>Google將在12月提交自有版本提議。本案預計於2025年由法院作出最終判決。</p> </div></div></div>
2024/11/22 11:37作者林妍溱https://www.ithome.com.tw/news/166148
ChatGPT進階語音模式也支援Web版，數周內推向免費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/kevinweil/status/1858950061637419167" target="_blank">宣布</a>，能讓ChatGPT流暢對答的進階語音模式（Advanced Voice Mode），現在也支援Web版。目前只提供給付費版用戶，不過免費用戶再等幾周就可以用了。</p> <p>進階語音模式是在最新的GPT-4o語音合成模型上開發而成，具備更快的語音輸入、輸出回應能力，賦予ChatGPT和用戶流暢來回對談的能力。<a href="https://www.ithome.com.tw/news/158968" target="_blank">9月</a>OpenAI將進階語音模式部署到Android及iOS版ChatGPT，並提供5種聲音選擇。最近OpenAI將這個新功能<a href="https://t.co/vVRYHXsbPD" target="_blank">推向</a>Windows和Mac桌機版App，而且聲音選擇增加為9種。</p> <p>在最新宣布下，以桌機版瀏覽器使用ChatGPT的用戶，也可以啟用進階語音模式了。現階段提供給付費方案，包括Plus/Teams/Enterprise/Edu用戶，但OpenAI說，預計再幾個禮拜會推向免費用戶。</p> <p>在Web版使用進階語音模式，需從ChatGPT提示視窗右下角的Voice圖示開啟，並且需開啟瀏覽器存取電腦麥克風的權限。啟用後，用戶會被帶向有藍色圓球圖示的<a href="https://techcrunch.com/2024/09/24/openai-rolls-out-advanced-voice-mode-with-more-voices-and-a-new-look/" target="_blank">介面</a>展開對談。</p> </div></div></div>
2024/11/21 12:53作者林妍溱https://www.ithome.com.tw/news/166131
Google提前發布Android 16預覽版，調整更新策略加速裝置與系統上市腳步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了縮短硬體裝置與系統的同步時程，Google現在就推出<a href="https://android-developers.googleblog.com/2024/11/the-first-developer-preview-android16.html">Android 16開發者第一預覽版</a>，並調整年度更新策略，帶來嵌入式照片選擇器等新功能。Android 16預計會在2025年正式發布，將比以往第三季發布主要版本提早一季，藉此縮短硬體裝置與作業系統推出的等待時間。</p> <p>開發者預覽版提供了測試平臺，供開發者與製造商提早適應新系統，同時進行相容性測試。Android 16的主要更新包含多項新API，以及影響應用行為的系統更新。Google表示，提前發布的目的是要讓其合作夥伴能在裝置上市初期，即可提供用戶最新的Android系統操作體驗。</p> <p>另外，Google也宣布在2025年，將首次採用一年兩次的API發布策略，除了第二季的主要版本之外，第四季還將推出次要更新，並把重點放在功能強化與最佳化，但不會包含影響應用程式行為的變更。這些變化使得開發者需要提前進行年度相容性測試，以迎接版本變化。</p> <p>除了更新時程調整，Android 16開發者預覽版還釋出多項新功能，其中嵌入式照片選擇器，讓應用程式能高效存取媒體，並且提升使用者的隱私保障。嵌入式照片選擇器提供一個安全的內建方式，讓應用程式只能夠存取本地和雲端儲存中選定的圖像和影片，而非整個媒體庫。</p> <p>同時，嵌入式照片選擇器可直接嵌入應用程式的視圖層級，使其成為應用介面的一部分，減少視覺切換，提升使用者體驗。開發者要整合嵌入式照片選擇器，則需要使用即將推出的Android Jetpack函式庫。</p> <p>Android 16也首次加入健康紀錄相關API，採用FHIR格式支援醫療資料的讀寫。隱私沙箱功能（Privacy Sandbox）自 Android 13引入後，在Android 16中進一步強化，新增了SDK獨立執行環境的應用，提供進階使用者資料安全保護。</p> </div></div></div>
2024/11/21 08:42作者李建興https://www.ithome.com.tw/news/166126
Google釋出支援iOS的獨立Gemini程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google周四（11/14）終於<a href="https://blog.google/products/gemini/gemini-iphone-app/" target="_blank">釋出</a>支援iOS的獨立<a href="https://apps.apple.com/us/app/google-gemini/id6477489729" target="_blank">Gemini程式</a>。過去Gemini程式僅出現在Android平臺，iOS用戶必須透過Google程式來使用功能有限的Gemini服務。</p> <p dir="ltr">Gemini是Google DeepMind所開發的大型語言模型，基於Gemini的聊天機器人Bard，也在今年2月統一命名為<a href="https://www.ithome.com.tw/news/161254" target="_blank">Gemini</a>。</p> <p dir="ltr">新的Google Gemini程式被定位為AI助理，提供 Gemini Live聊天、學習、圖像生成，以及整合其它Google程式的功能。其中，Gemini Live允許使用者直接以語音與Gemini對話，可用來練習面試，目前提供10種聲音供使用者選擇，支援包括中文在內的數十種語言。</p> <p dir="ltr">Gemini還能幫助使用者學習，不僅可詢問它任何科目的問題，還能請它量身打造學習計畫，並測驗學習成果。它採用了Imagen 3模型，提供圖像生成能力，可將使用者的文字描述轉換成AI圖像。也能直接要求Gemini存取其它的Google服務並提供訊息，例如YouTube、Google地圖、Gmail及行事曆等。</p> </div></div></div>
2024/11/15 14:24作者陳曉莉https://www.ithome.com.tw/news/166039
DeepL推出語音轉文字服務DeepL Voice
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國AI業者DeepL周三（11/13）發表了<a href="https://www.deepl.com/en/blog/deepl-voice" target="_blank">DeepL Voice</a>，它能聽懂13種語言，並將它們轉成30種語言的字幕，以協助不同語言的使用者對話，目前提供DeepL Voice for Meetings及DeepL Voice for Conversations兩種服務。</p> <p>DeepL成立於2017年，同年便推出DeepL Translator翻譯服務，去年發表了AI寫作助理<a href="https://www.ithome.com.tw/news/155200" target="_blank">DeepL Write</a>，最新的DeepL Voice雖然聽得懂不同的語言，但還是以文字輸出，而非語音，目前可辨識的<a href="https://support.deepl.com/hc/en-us/articles/16810100955676-About-DeepL-Voice-for-Meetings#h_01JC608XD0476YFWSJM3Z9T0WP" target="_blank">語音</a>包括英文、法文、西班牙文、德文及日文等13種，並未包括中文，但所支援的字幕則涵蓋了中文等30種語言。</p> <p>其中，<a href="https://support.deepl.com/hc/en-us/articles/16810100955676-About-DeepL-Voice-for-Meetings#h_01JC608XD0476YFWSJM3Z9T0WP" target="_blank">DeepL Voice for Meetings</a>允許與會者說著自己國家的語言，並同步翻譯成其它語言，讓開會也能打破語言的藩籬。至於<a href="https://support.deepl.com/hc/en-us/articles/16813214348316-About-DeepL-Voice-for-Conversations#h_01JC649BBRTXXDRB1N1Q6424TT" target="_blank">DeepL Voice for Conversations</a>則可在一臺行動裝置上運作，人們可透過該裝置對話並看到所選擇語言的翻譯，支援Android與iOS裝置。</p> </div></div></div>
2024/11/14 14:05作者陳曉莉https://www.ithome.com.tw/news/166017
【資安日報】11月12日，多組駭客透過SEO下毒手法，將使用者導向冒牌電子商務網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客先對合法網站下手，再對瀏覽網站的使用者發動攻擊的情況，過往陸續傳出這類事故，但類似的攻擊出現新的手法：攻擊者先在合法網站植入惡意程式，從而影響搜尋引擎的結果，將上網搜尋的使用者導向駭客的惡意網站。資安業者趨勢科技指出，這樣的威脅有越來越嚴重的趨勢，截至目前為止，他們已看到6組人馬從事相關攻擊，甚至有共用部分基礎設施的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165966"><strong style="font-size: 22px;">冒牌電子商務網站透過SEO下毒散布，攻擊者先攻擊合法網站左右搜尋引擎結果，引誘受害者上門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SEOmalware-Fig02-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SEOmalware-Fig02-2.png" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技與日本警界、學界、資安學界聯手調查，他們要緝捕透過搜尋引擎最佳化（SEO）散布的惡意軟體家族，此次公私協防對象涵蓋香川大學、神奈川縣警察總部、千葉縣警察總部、日本網路犯罪控制中心（JC3）等多個組織，並指出駭客疑似彼此共用基礎設施，從而儘可能提高搜尋引擎最佳化下毒（SEO Poisoning）攻擊的成功機率。</p> <p>根據上述機構的觀察，最近幾年冒牌電子商務網站數量暴增，2023年JC3獲報的網站數量有47,278個，相較於2022年的28,818個，多出超過六成。攻擊者先對合法網站下手，植入SEO惡意軟體，而這些軟體會影響搜尋引擎的查詢結果，導致使用者搜尋會看到駭客廣告的內容，並被引導到冒牌電子商務網站。</p> <p>他們後續總共找出6個SEO惡意軟體家族進行調查，分析227,828個假電子商務網站、1,242個C2伺服器，結果發現，其中有3組人馬僅使用單一、專屬的惡意軟體犯案，但有1組人馬相當不同，因為他們同時運用多種惡意軟體家族，從事攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/165964"><strong style="font-size: 22px;">惡意軟體GootLoader鎖定澳洲，針對愛貓人士而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/seo-poison-gootloader1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/seo-poison-gootloader1.png" style="width: 300px; float: right;" /></a>在散布惡意軟體的手法當中，搜尋引擎最佳化下毒（SEO Poisoning）可說是相當常見，通常攻擊者會假借提供常見的應用程式及遊戲，或是破解軟體、盜版軟體的名義，引誘Google搜尋的使用者上當，但如今，有人專門針對喜好特定動物的人士而來。</p> <p>資安業者Sophos揭露最新一波惡意程式GootLoader的攻擊行動，本來攻擊者就會透過搜尋引擎最佳化中毒的手法，來取得受害電腦的初始入侵管道，這次也不例外，但這波攻擊有所不同，駭客鎖定的對象，竟是詢問在澳洲養孟加拉貓是否合法的使用者。這種專門針對特定地區愛貓人士的情況，其實並不常見。</p> <p>根據研究人員的調查，3月底他們在MDR用戶環境當中，察覺新的GootLoader變種開始積極活動的跡象，循線調查發現，攻擊者透過搜尋引擎最佳化中毒手法，藉由Google搜尋將使用者導向特定網路論壇，而使用者詢問的問題，是有關在澳洲養孟加拉貓是否需要執照（Do you need a license to own a Bengal cat in Australia），一旦他們執行搜尋，檢索結果列出的第一項網址，就是駭客放置的惡意廣告。</p> <p><a href="https://www.ithome.com.tw/news/165968"><strong style="font-size: 22px;">下載GitHub電腦版請小心！攻擊者透過多個管道散播假冒此工具的惡意軟體Fickle Stealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/new-stealer-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new-stealer-5.jpg" style="width: 300px; float: right;" /></a></p> <p>近期新的竊資軟體（Infostealer）不斷出現，並採取多階段攻擊的手段，而能夠繞過視窗作業系統及端點防護軟體的偵測，並挖掘各式機敏資料，傳送給攻擊者。</p> <p>例如，今年5月資安業者Trellix發現的Fickle Stealer，就是典型的例子。這款惡意程式以Rust打造而成，攻擊者透過多種媒介進行散布，從而在瀏覽器及多種應用程式收集帳密資料、上網記錄、信用卡資料等個資，特別的是，該惡意軟體透過PowerShell指令碼繞過使用者帳戶控制（UAC），並具備能迴避防毒軟體偵測的機制，甚至能在東窗事發後顯示錯誤訊息掩飾，並自我刪除。</p> <p>值得一提的是，駭客將其偽裝成Windows版GitHub應用程式，並帶有無效簽章。他們使用GitHub, Inc的名義進行簽章，而第二簽章則是署名為Microsoft Public RSA Time Stamping Authority，攻擊者這麼做的目的，顯然是企圖讓此惡意程式的來源看起來合法。</p> <p><a href="https://www.ithome.com.tw/news/165954"><strong style="font-size: 22px;">攻擊者積極利用ZIP檔案串接手法，意圖隱藏惡意軟體</strong></a></p> <p>道高一尺，魔高一丈，攻擊者持續使用新的手段逃避資安防護，引起研究人員關注。資安公司Perception Point警示，近期興起的ZIP檔案串接手法（ZIP Concatenation）正在被攻擊者積極利用，用於規避安全檢測。資安研究人員揭露近期利用該技術的攻擊事件，釣魚郵件中附有名為SHIPPING_INV_PL_BL_pdf.rar的壓縮檔案，誘導受害者下載並開啟。</p> <p>這種攻擊手法將多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中增加隱蔽性，由於不同解壓縮工具的顯示差異，使部分惡意內容不易被察覺，而對使用者構成更大的威脅。</p> <p>以上述的壓縮檔案為例，使用者若以7-Zip開啟會看到無害的PDF檔案，但如果使用WinRAR或是Windows檔案總管開啟，駭客刻意隱匿的惡意檔案就會現身。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/amazon-confirms-employee-data-breach-after-vendor-hack/">因第三方供應商遭受MOVEit事故波及，Amazon證實資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/roblox-developers-targeted-in-supply-chain-attack-with-malicious-npm-packages/">惡意NPM套件鎖定Roblox開發者而來，意圖進行供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-ymir-ransomware-partners-with-rustystealer-in-attacks/">勒索軟體Ymir夥同竊資軟體RustyStealer，攻擊受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/earth-estries-evolving-toolkit-a-deep-dive-into-their-advanced-techniques/">中國駭客Earth Estries濫用視窗作業系統內建防毒元件，持續於受害環境活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/spynote-malware-fake-antivirus-targets-android-users-in-sophisticated-new-campaign/">安卓惡意軟體SpyNote假冒防毒軟體，暗中在後臺取得多項權限</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165935"><strong style="font-size: 22px;">馬自達車載系統軟體漏洞，可允許駭客執行任意程式碼</strong></a></p> <p>趨勢科技漏洞懸賞專案ZDI的研究人員發現，日本車廠馬自達（Mazda）的車載系統Connect Connectivity Master Unit（CMU）有多項漏洞，可讓駭客執行程式碼，最嚴重者可影響車輛安全，受影響車款包括最受歡迎的Mazda 3，涵蓋2014至2021年式的車款。</p> <p>研究人員發現到的6項漏洞，多半源自處理輸入指令時「消毒」（sanitization）不夠充分，讓接近裝置的攻擊者可以連上USB裝置，像是將iPod或外接硬碟連接CMU展開攻擊。成功濫用這些漏洞可讓攻擊者以root的權限執行任意程式，造成阻斷服務攻擊，或讓系統無法作用，甚至影響行車安全。</p> <p>值得注意的是，ZDI指出，這些漏洞目前尚未修補，他們也沒有公布通報的過程，以及業者回應經過。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165955"><strong>【11月11日】6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165932"><strong>【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> </div></div></div>
2024/11/12 17:58作者周峻佑https://www.ithome.com.tw/news/165971
【資安週報】1104~1008，用戶身分安全受矚目，焦點涵蓋Passkey無密碼登入、金融Fast-ID、強制啟用MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月第一週的資安消息中，在防護動向上，以身分安全為主要焦點，有3起消息都與此有關，其焦點涵蓋Passkey無密碼登入、金融Fast-ID，以及強制啟用MFA。</p> <p>例如：我們最近發布的封面故事，就是關於臺灣網路服務業者至少已有3家業者，包括：露天市集、可樂旅遊、智冠科技，均在大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」，這不僅代表開始跟上國際業者腳步，也讓用戶能有更安全簡便的登入方式；關於金融Fast-ID驗證轉接中心的進度，先前金管會已透露將於明年6月上線，11月初台北金融科技展上更是公布先導機構預計達20家，不只銀行、保險、證券期貨，也擴及投信投顧與政府機構；Google Cloud宣布明年強制啟用MFA的消息中，提到目前仍有3成帳號未啟用MFA，打破眾人對IT人員早就啟用MFA、重視帳號安全的想像，因此引發外界關注。</p> <p>還有兩則新聞突顯資安防護上的新技術焦點，我們認為同樣值得關注，一是聯合學習，一是AI抓漏。前者是在科技防詐的發展中，臺灣金融業正聚焦聯合學習技術的應用，目前已有3項實證計畫都在檢驗其有效性，並要促進應用落地；後者是涉及LLM模仿人類安全專家找出漏洞的發展，Google的Project Zero團隊與DeepMind共同研發的AI抓漏專案Big Sleep，已有首個公開實例出現。</p> <p>另外值得一提的是，臺灣駭客年會企業場在11月登場，副總統蕭美琴也到場支持並給予鼓勵，不只推動產官學研與社群力量的持續合作，更強調確保供應鏈的穩定，將能增強外商對臺灣的信心。</p> <p>在威脅態勢方面，有一起針對臺灣的攻擊最值得留意，思科Talos指出今年7月出現針對臺灣的臉書企業用戶及廣告帳號的攻擊，其手法是以侵犯版權為由，或假冒企業的法律部門，企圖散布竊資軟體LummaC2、Rhadamanthys。還有兩則駭客攻擊活動揭露，都與資安產品被鎖定有關。</p> <p>●臺灣企業臉書粉專管理員遭鎖定，駭客聲稱收信人的公司盜用他們的圖片及影片，揚言採法律行動，誘騙收信人開啟偽冒為PDF的可執行檔，以植入竊資軟體。<br /> ●英國國家網路安全中心（NCSC）揭露有攻擊者鎖定Sophos XG防火牆設備植入Pygmy Goat的後門程式，資安業者Mandiant分析攻擊者與與中國駭客有關。<br /> ●有攻擊者將舊版的Cortex XDR代理程式部署到企業，資安業者Palo Alto Networks指出這是藉由自帶驅動程式（BYOVD）手法。<br /> ●繼上月美國多家電信業者電信業者傳出遭中國駭客Salt Typhoon入侵，2家新加坡電信也傳出受駭，並且疑為同一駭客所為。</p> <p>至於資安事件方面，在國內，以生產汽機車聞名的上市公司三陽工業，發布資安重訊說明部份資訊系統遭受駭客網路攻擊；國際間，則有2起消息受關注，包括：施耐德電機傳出Jira伺服器資料外洩、駭客聲稱從Nokia合作廠商竊得原始碼。</p> <p>在漏洞消息方面，這一星期有4大漏洞利用狀況，其中CyberPanel伺服器管理平臺的漏洞最受關注，因為在研究人員揭露相關漏洞資訊後出現攻擊行動，這可能突顯安全研究人員與供應商之間溝通不良，造成用戶需要為此買單的狀況。</p> <p>●CyberPanel上月修補經研究人員通報的安全漏洞，後續發現攻擊者鎖定並布署勒索軟體Psaux，美國CISA將CVE-2024-51567列入已知漏洞利用清單。<br /> ●11月Android例行安全更新中，修補已遭利用的安卓框架元件零時差漏洞CVE-2024-43093，以及高通上月修補的零時差漏洞CVE-2024-43047。<br /> ●Palo Alto Networks在7月修補Expedition轉移工具的漏洞CVE-2024-5910，11月8日該業者接獲CISA通知，已有證據顯示該漏洞正被積極利用。<br /> ●開源Web伺服器Nostromo nhttpd在2019年修補的老舊漏洞CVE-2019-16278，如今仍有攻擊者鎖定未修補用戶發動攻擊。</p> <p>至於其他漏洞修補動向，還可以留意的包括：HPE Aruba Networking的Wi-Fi基地臺系統軟體、思科的工控無線URWB路由器、以及ABB的智慧建築能源管理系統的漏洞修補。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165840"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</span></strong></a></h3> <p>使用語音網釣（vishing）的攻擊手法，最近2年陸續有惡意軟體出現，但大多是針對視窗作業系統的用戶而來，假借提供遊戲、應用程式、破解軟體等名義散布，但如今，也有專門針對行動裝置的攻擊事故。</p> <p>近期資安業者Zimperium揭露的安卓惡意軟體FakeCall攻擊，就是典型的例子，不過值得留意的是，攻擊者整合了手機的電話功能，而能在使用者授權的情況下，挾持電話內容，以便騙取相關金融資料。</p> <h3><a href="https://www.ithome.com.tw/news/165859"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</span></strong></a></h3> <p>駭客針對臉書企業帳號的管理員，以及管理廣告的用戶而來的情況，每隔一兩個月就出現相關攻擊行動，但最近出現專門鎖定臺灣用戶而來的攻擊。</p> <p>究竟攻擊者身分為何？目前仍不得而知，但從駭客使用了中國用語的情況，容易讓人聯想是來自中國或是華人。</p> <p><a href="https://www.ithome.com.tw/news/165889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</span></strong></a></p> <p>各國執法機關共同合作，破壞特定的勒索軟體、竊資軟體運作，近期有所斬獲，繼上個月荷蘭國家警察在跨國執法行動Operation Magnus當中，<a href="https://www.ithome.com.tw/news/165776">成功破獲竊資軟體RedLine及Meta的網路基礎設施</a>，本週國際刑警組織（Interpol）宣布，他們與全球95個國家執法單位聯手，經過5個月的時間，總共查獲約3萬個疑似用於網路犯罪的IP位址，並成功封鎖超過2.2萬個。</p> <p>特別的是，他們提及香港、蒙古、澳門的執法單位參與這次行動的情況，並公布成果。</p> <h3><a href="https://www.ithome.com.tw/news/165902"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</span></strong></a></h3> <p>惡意程式朝向模組化設計的現象，可說是越來越普遍，因為攻擊者藉此能夠彈性搭配不同的外掛模組，從事各式活動，本週資安業者Fortinet揭露的Winos 4.0，就是典型的例子。</p> <p>研究人員特別提到，Winos 4.0已從一般的後門程式發展成惡意程式框架，功能與滲透測試工具Cobalt Strike、Silver相當，攻擊者能藉此控制受害電腦並執行多種惡意行為。</p> <h3><a href="https://www.ithome.com.tw/news/165932"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</span></strong></a></h3> <p>研究人員在調查資安漏洞的過程，很有可能面臨系統維護業者、軟體開發業者的關切，認為研究人員在從事駭客行為而採取法律行動，對此，近期有國家特別針對研究人員調整相關法律，而引起注目。</p> <p>德國聯邦司法部本週提出新的刑法修正草案，就是針對此事而來，而透過修法保護資安研究人員的做法已有先例，2022年，美國修訂《電腦詐欺及濫用法案（CFAA）》，豁免研究人員遭到起訴的風險。</p> <p> </p> </div></div></div>
2024/11/11 08:00作者羅正漢https://www.ithome.com.tw/news/165936
【資安日報】11月6日，國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各國執法機關共同合作，破壞特定的勒索軟體、竊資軟體運作，近期有所斬獲，繼上個月荷蘭國家警察在跨國執法行動Operation Magnus當中，<a href="https://www.ithome.com.tw/news/165776">成功破獲竊資軟體RedLine及Meta的網路基礎設施</a>，本週國際刑警組織（Interpol）宣布，他們與全球95個國家執法單位聯手，經過5個月的時間，總共查獲約3萬個疑似用於網路犯罪的IP位址，並成功封鎖超過2.2萬個。</p> <p>特別的是，他們提及香港、蒙古、澳門的執法單位參與這次行動的情況，並公布成果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165879"><strong style="font-size: 22px;">駭客改造公開工具EDRsandblast發動自帶驅動程式攻擊，企圖繞過EDR代理程式防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-353688-137213-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-353688-137213-1.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點電腦的防毒軟體及EDR系統偵測，攻擊者打造能繞過這些端點防護系統的工具可說是越來越常見，而在最近一起攻擊行動裡，駭客測試新型態的端點防護繞過工具引起研究人員注意。</p> <p>資安業者Palo Alto Networks揭露發生在客戶的資安事故，攻擊者向初始入侵掮客（IAB）購買能透過遠端管理軟體Atera存取的管道，而能成功進行目標企業的網路環境，在攻擊行動裡，對方試圖運用惡意系統，將該廠牌的Cortex XDR代理程式部署到虛擬環境。研究人員認為，駭客此舉是藉由自帶驅動程式（BYOVD）手法，測試新的端點防護繞過工具。</p> <p>這起攻擊行動的發現，在於該公司旗下的威脅情報團隊Unit 42接獲客戶遭到勒索通報，結果發現，其中2個環境型態不明的用戶端環境受到相關攻擊。攻擊者在這些端點電腦安裝了舊版的Cortex XDR代理程式，研究人員在對方不知情的狀態下成功存取這些端點，並找到一系列的作案工具，循線於駭客論壇找到專門兜售相關工具的訊息。</p> <p><a href="https://www.ithome.com.tw/news/165878"><strong style="font-size: 22px;">惡意軟體Pygmy Goat鎖定Sophos防火牆而來，意圖入侵政府機關網路環境</strong></a></p> <p>駭客開發Linux惡意程式的情況，最近兩年越來越頻繁，其中又以針對VMware虛擬化平臺而來的勒索軟體較為常見，但如今，有人運用這方面的技術、鎖定特定廠牌的防火牆系統打造惡意軟體。</p> <p>英國國家網路安全中心（NCSC）近日揭露名為Pygmy Goat的後門程式，他們在Sophos XG防火牆設備找到這支惡意軟體，此為32位元x86的ELF共用物件檔案，攻擊者設置LD_PRELOAD環境變數，從而透過SSH daemon（sshd）二進位檔案載入。</p> <p>雖然NCSC並未透露使用Pygmy Goat從事攻擊行動的人士身分，但提及該惡意程式與另一支名為Castletap具備類似的戰術、手段、流程（TTP），經過資安業者Mandiant分析，使用Castletap的攻擊者身分很有可能就是中國駭客，這樣的情況，很難不讓人聯想Pygmy Goat也與中國駭客有關。</p> <p><a href="https://www.ithome.com.tw/news/165885"><strong style="font-size: 22px;">新加坡電信疑似遭到中國駭客Volt Typhoon入侵</strong></a></p> <p>今年8月美國電信業者Lumen指出，中國駭客組織Volt Typhoon利用Versa Director零時差漏洞CVE-2024-39717，入侵網路服務供應商（ISP）、託管服務供應商（MSP），如今傳出電信業者遭到此駭客組織攻擊的消息。</p> <p>根據彭博社、路透社的報導，2名知情人士聲稱新加坡電信（SingTel）遭到入侵，調查人員認為，攻擊者的身分就是Volt Typhoon。</p> <p>對此，新加坡電信的發言人向這兩家新聞網站說明，他們在6月偵測到惡意軟體，隨後便進行相關處理，尚未出現資料外洩的情況，服務也並未受到影響，該公司已向相關單位通報此事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/new-android-banking-malware-toxicpanda.html">安卓金融木馬ToxicPanda攻擊歐洲、香港、秘魯，感染逾1,500臺裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/apt36-refines-tools-attacks-indian-targets">巴基斯坦駭客組織Transparent Tribe散布木馬程式ElizaRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/lastpass-warns-of-fake-support-centers-trying-to-steal-customer-data/">密碼管理解決方案業者LastPass提出警告，有冒牌客服企圖竊取用戶資料</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165888"><strong style="font-size: 22px;">Google修補安卓兩個零時差漏洞</strong></a></p> <p>11月4日Google發布本月份安卓作業系統的例行更新，當中總共修補51個漏洞，值得留意的是，其中有2個漏洞CVE-2024-43047、CVE-2024-43093，疑似已出現有限的、目標式的漏洞利用情形。</p> <p>其中，CVE-2024-43047最早是高通在10月公布，影響數位訊號處理器（Digital Signal Processor，DSP）服務，為記憶體釋放後再進行濫用（Use After Free，UAF）的弱點，CVSS風險評為7.8。</p> <p>另一個漏洞CVE-2024-43093涉及權限提升，影響12至15版安卓作業系統，但特別的是，該漏洞不僅出在作業系統框架，也存在於Google Play系統更新模組當中的Documents UI元件。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/okta-fixes-auth-bypass-bug-three-month-lull">Okta修補身分驗證漏洞，使用者名稱超過52個字元就有可能觸發</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165875"><strong style="font-size: 22px;">國際警方破獲逾2.2萬個用於網路犯罪的惡意IP位址，逮捕41名嫌犯</strong></a></p> <p>國際刑警組織（Interpol）周二（11月5日）公布Synergia II執法行動（Operation Synergia II）的成果，指出已查獲了超過2.2萬個與網路威脅相關的惡意IP位址，並逮捕41名嫌犯。</p> <p>Synergia II主要鎖定網路釣魚、資訊竊取及勒索軟體等惡意活動，結合了全球95個國家的執法機構，並與Group-IB、趨勢科技、卡巴斯基與Team Cymru等資安業者合作，藉由資安業者在追蹤非法網路活動上的專業，來識別全球的惡意伺服器。</p> <p>該行動的期間為今年4月1日至8月31日，Interpol與資安研究人員在這期間，總計發現了3萬個可疑的IP位址，關閉了其中的2.2萬個裝置，確認了逾100名嫌犯的身分，逮捕了當中的41名。其中，香港有1,037個伺服器被關閉，蒙古有一臺伺服器被查扣，澳門也有291臺伺服器被關閉，也涉及馬達加斯加及愛沙尼亞。</p> <p><a href="https://www.ithome.com.tw/news/165869"><strong style="font-size: 22px;">2024金融科技防詐新態勢，聯合學習機制成最新亮點</strong></a></p> <p>鑑於臺灣的詐騙亂象頻傳，在因應網路犯罪的科技防詐上，不只是政府機關、網路服務業、電信業要採取行動，金融業的防範措施也至關重要。近年來，金融業正聚焦AI技術的深化運用，做到更有效的偵測及預防詐騙與洗錢，特別的是，今年科技防詐發展的重要焦點，就是金融監督管理委員會（金管會）為了促進多家金融業運用聯合學習及資料隱私強化技術，推動這方面的聯合自主實證，以發展防範詐騙及金融犯罪的模型，並期許日後能夠真正落地推廣。在11月初舉行的臺北金融科技展上，金管會舉辦了科技防詐主題式的推廣活動成果發表會，當中也就呼應了運用聯合學習來提升防詐能力的應用態勢。</p> <p>這是因為，現場展示3項實證新技術阻詐的最新進展，都與聯合學習（或稱聯邦學習，Federated Learning）有關，儼然成為提升防詐能力的新關鍵，讓各家金融機構在不共享原始數據的情況下，可以共同訓練模型，確保資料安全，並提升及早偵測異常狀況的能力。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.404media.co/suspected-snowflake-hacker-arrested-in-canada/">Snowflake資安事故嫌犯傳出在加拿大遭到逮捕</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165859"><strong>【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165840"><strong>【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165820"><strong>【11月1日】中國駭客鎖定各家廠牌的網路設備下手，挖掘零時差漏洞並用於攻擊行動</strong></a></p> </div></div></div>
2024/11/6 17:57作者周峻佑https://www.ithome.com.tw/news/165889
Google修補安卓兩個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月4日Google發布<a href="https://source.android.com/docs/security/bulletin/2024-11-01">本月份安卓作業系統的例行更新</a>，當中總共修補51個漏洞，值得留意的是，其中有2個漏洞，疑似已出現局部、針對的漏洞利用情形。</p> <p>這些漏洞分別為CVE-2024-43047、CVE-2024-43093，Google皆列為高風險層級，分別影響高通元件，以及安卓框架元件，Google Play系統更新元件。</p> <p>其中，CVE-2024-43047最早是<a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/october-2024-bulletin.html">高通在10月公布</a>，影響數位訊號處理器（Digital Signal Processor，DSP）服務，為記憶體釋放後再進行濫用（Use After Free，UAF）的弱點，CVSS風險評為7.8。</p> <p>另一個漏洞CVE-2024-43093涉及權限提升，影響12至15版安卓作業系統，但特別的是，該漏洞不僅出在作業系統框架，也存在於Google Play系統更新模組當中的Documents UI元件。</p> </div></div></div>
2024/11/6 17:52作者周峻佑https://www.ithome.com.tw/news/165888
Meta證實Llama模型已被應用於美國國家安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周一（11/4）<a href="https://about.fb.com/news/2024/11/open-source-ai-america-global-security/" target="_blank">證實</a>，已與眾多業者合作，將Llama模型導入美國政府機構以執行各種應用，包括國防與國家安全。</p> <p>Llama的全名為Large Language Model Meta AI，是Meta在2023年2月發布的開源大型語言模型，迄今<a href="https://www.ithome.com.tw/news/164823" target="_blank">下載量</a>已近3.5億次，目前的最新版本為今年9月釋出的<a href="https://www.ithome.com.tw/news/165241" target="_blank">Llama 3.2</a>。</p> <p>Meta Llama與美國政府之間的橋樑包括Accenture Federal Services、AWS、Anduril、Booz Allen、Databricks、Deloitte、IBM、Leidos、Lockheed Martin、微軟、甲骨文、Palantir、Scale AI與Snowflake。</p> <p>其中，甲骨文利用Llama來合成飛機維護文件，以讓技術人員能夠更快且準確地診斷問題，使重要的飛機更快恢復運作；Scale AI 則微調了Llama以支援特定的國家安全團隊任務，例如行動規畫，或是找出對手的漏洞等；國防及航太製造商Lockheed Martin則直接將Llama整合到旗下的AI Factory，以加速程式碼生成、資料分析及強化業務流程。</p> <p>至於微軟Azure與AWS則在自己用來處理敏感資料的雲端平臺上，代管各種Llama模型，以支援政府需求；IBM也在watsonx解決方案中支援Llama，以讓各個國家安全機構能夠在自我管理的資料中心及雲端中使用Llama。</p> <p>Meta解釋，由於大型語言模型能夠處理大量資料、推論並產生可用的見解，得以支援美國國家安全的許多方面，例如簡化複雜的後勤與規畫，追蹤恐怖主義的融資，或是強化網路防禦；而且開源系統對於協助美國建立全球技術最先進的軍隊，以及與盟友制定新技術的全球標準至關重要，它能加速國防研究與高階運算，辨識安全漏洞，以及改善不同系統之間的通訊。</p> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）<a href="https://www.ithome.com.tw/news/164093" target="_blank">曾疾呼</a>開源才是AI的未來，Meta也相信美國的開源模型將超越中國與其它地方的模型，隨著開源模型變得更強大，被更廣泛地使用，或許會出現AI模型的全球開源標準，如同Linux或Android一般，而此一標準將替全球AI發展奠定基礎，並被融入技術、基礎設施、製造、金融及電子商務中。</p> </div></div></div>
2024/11/6 14:30作者陳曉莉https://www.ithome.com.tw/news/165874
Google Maps整合Gemini，以自然語言搜尋地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google周四（10/31）<a href="https://blog.google/products/maps/gemini-google-maps-navigation-updates/" target="_blank">宣布</a>，將在身為第7個擁有20億用戶的Google服務Google Maps中整合大型語言模型（LLM）Gemini，讓使用者以自然語言搜尋，例如「晚上可以跟朋友一起做的事」，Google Maps就會秀出建議地點。此外，Google Maps亦將提供更多可改善駕駛人壓力的功能，例如自動列出路線地標，在複雜地段上強化導航，以及自動展示目的地附近的停車場。</p> <p dir="ltr">除了Google Maps之外，其它擁有20億用戶的Google服務/產品還包括搜尋、Gmail、Android、Chrome、Google Play及YouTube，而它們也已全都採用Gemini模型。</p> <p dir="ltr">Google表示，該公司利用AI來分析數十億張的圖像，再加上由社群及當地合作夥伴所貢獻的資料，每天可在Google Maps上執行超過1億次更新，讓全球的使用者都看到最新資訊，現在每月已有超過20億用戶使用Google Maps，現在則將利用Gemini模型進一步改造Google Maps，協助使用者取得世界上複雜問題的答案。</p> <p dir="ltr">整合了Gemini的Google Maps現在支援自然語言查詢，例如當詢問「晚上可與朋友一起做的事情」時，Gemini即會在地圖上秀出酒吧或現場演奏的各種地點，摘錄某個地點的用戶評論，也可針對某個地點詢問其它問題，像是「它有戶外座位嗎？」</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-google%20maps-gemini.png" style="width: 600px;" /></p> <p dir="ltr">此一嵌入Gemini的Google Maps本周將率先於美國市場的Android與iOS行動程式上推出。</p> <p dir="ltr">Google Maps一向是駕駛人的好幫手，本周Google也宣布了幾項可減輕駕駛壓力的新功能。其中之一是當駕駛人選擇好至目的地的路線時，只要直接點選「增加停靠點」（add stops），系統就會自動跳出熱門的地標、景點及用餐選項。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-google%20maps-feature-add%20stops.png" style="width: 418px;" /></p> <p dir="ltr">此外，若是必須途經多車道、多岔路或多出口的地方，則有一個強化導航（Enhanced Navigation）功能可於地圖上清楚地顯示車道、人行道與路標，系統會利用藍線來指引使用者應該駕駛的車道。</p> <p dir="ltr">Google亦將更新Google Maps上的到達指南，將展示目的地附近的停車場，還會提醒使用者儲存停車位置。</p> <p dir="ltr">多數新功能都將在本周透過Android與iOS的Google Maps更新，於全球市場推出，強化導航功能則會到下個月才上線。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/11/1 14:28作者陳曉莉https://www.ithome.com.tw/news/165808
跟上國際腳步，臺灣Passkey應用實例出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近年來，無密碼登入前景看好，基於FIDO2標準的Passkey，是應用普及的最新焦點。回顧2023年初，FIDO聯盟執行長暨行銷長Andrew Shikiar來臺參加研討會，他預期Passkey（通行密鑰）的潮流，可望促進更多消費端網站應用程式邁向無密碼。</p> <p dir="ltr">那時已有多家業者擁抱Passkey。例如：國際支付業者PayPal、電子商務平臺業者Shopify，金融服務業者Robinhood，旅遊休閒平臺Kayak，電商購物平臺Best Buy、eBay，都開始支援這項新的安全驗證方式，讓網站服務用戶每次登入不用記憶密碼，透過掃臉或指紋就能安全登入。</p> <p dir="ltr">因此，我們也持續關切臺灣的網路服務業者，是否重視網路釣魚威脅，針對用戶提供這類更進階的抗網釣MFA，可惜當時並未找到相關案例。</p> <p dir="ltr">時隔一年後，臺灣已有少數業者率先採取行動，導入Passkey以增強用戶登入體驗與安全性。在這些先行者的帶動之下，臺灣用戶對於Passkey無密碼的接受度，勢必也將隨之提升，促使更多網路服務業者提供這類兼顧快速與安全性的新型登入機制。</p> <p dir="ltr">為了瞭解國內導入現況與挑戰，這次我們找到3家業者，當中有電商領域的露天市集，還有旅遊服務的可樂旅遊，以及遊戲點數儲值的智冠科技，特別的是，訴求採用Passkey的對象不只是終端消費者（B2C、C2C），也包括合作廠商（B2B）。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87%EF%BC%8D%EF%BC%B2%EF%BC%A1%EF%BC%B7%EF%BC%8D%EF%BC%93.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>提供Passkey無密碼登入的風潮已吹向臺灣，今年我們發現，已有一些消費端的網站與應用程式，提供這項全新登入機制，而且，為了促進民眾使用，這些業者還特別製作宣傳頁面，並搭配獎勵活動，介紹這是免記密碼、讓會員帳號安全升級的登入，來吸引用戶啟用。<br /> 儘管業者宣傳用詞不同，但從實際登入過程，我們可以發現，他們的系統操作介面，都會提到Passkey、通行密鑰（或密碼金鑰）。</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>FIDO2與通行密鑰崛起，成為無密碼普及的關鍵</strong></span></span></p> <p dir="ltr">近年來，FIDO線上身分認證的技術發展，備受各界關注。例如，可望促進無密碼登入應用普及的FIDO2標準在2018年推出，當時微軟、日本Yahoo，以及美國政府的Login.gov網站服務，很快就提供支援，後續也有更多業者跟進，包括Line、eBay等。</p> <p dir="ltr">臺灣的無密碼登入推廣也不落人後，從2020年開始，內政部與多家臺灣金融業實際推出FIDO應用，讓民眾登入政府服務、金融業服務，可以使用無密碼的方式驗證身分，較可惜的是，當時這股風潮未能廣泛擴及其他產業。</p> <p dir="ltr">為了加速FIDO2標準的應用普及，2022年有新突破。主要原因有二：</p> <p dir="ltr">（一）FIDO聯盟公布多裝置FIDO憑證白皮書，對WebAuthn標準提出突破性的修改，引入了可複製與備份的特性。</p> <p dir="ltr">（二）FIDO聯盟成員Google、蘋果與微軟，都承諾擴大對FIDO的支援，之後也相繼推動Passkeys，也就是可儲存為Passkey通行密鑰的FIDO憑證，促使FIDO2標準的無密碼體驗更普及。</p> <p dir="ltr">在此發展態勢之下，使得Passkey一舉躍為最新潮流。如今，全球有越來越多的網路服務，都已提供Passkey支援。</p> <p dir="ltr">現在臺灣也出現Passkey導入實例。今年我們看到，國內至少已經有3家業者，在他們的網站大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」。</p> <p dir="ltr">例如，電商服務業露天市集自今年1月開始，已經追隨國際大型電商業者eBay、Amazon的腳步，已陸續為國內用戶提供App與網站的Passkey登入支援。</p> <p dir="ltr">有更多業者在7月宣傳，像是：可樂旅遊在其網站與App新增FIDO快速登入，智冠科技針對旗下點數儲值平臺MyCard App，提供FIDO生物識別登入。</p> <p dir="ltr">儘管業者的宣傳用詞不盡相同，但從這些網站或App的實際登入過程，我們發現，操作介面會跳出Passkey、通行密鑰（或密碼金鑰的描述），而透過這些關鍵字的標示，也代表國內這些網路服務業者都已採用FIDO2標準的底層技術，支援Passkey無密碼登入。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>提供無密碼登入的考量點，不只提升會員帳號登入安全</strong></span></span></p> <p dir="ltr">關於應用程式與網站服務支援Passkey登入的好處？從三家業者的經驗來看，帳號登入安全性的提升是主要考量，而且，他們也從不同層面獲得效益。</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 露天市集 </span></span></strong></p> <p dir="ltr">以電商服務業為例，露天市集提供Passkey登入主要關注3大好處，包括：幫助用戶節省忘記密碼的困擾與時間；支援生物辨識與裝置綁定，確認為本人使用，因此安全性更高；節省企業支付簡訊OTP認證的成本。</p> <p dir="ltr">露天市集共同營運長周書華表示，他們在10年前就推出「露天代碼產生器」App，當時在國內算是相當新穎的技術，可以提供App形式的兩步驟驗證。</p> <p dir="ltr">只是，雖然這提供了更安全登入的方式，但對於用戶而言，還要額外開啟App、記住OTP碼並輸入，導致使用率一直沒有顯著成長。相對來說，現在提供的Passkey登入，不僅更可以幫助用戶避免遭受網釣，使用方便性也大增。</p> <p dir="ltr">再者，去年他們為了提升帳號密碼登入的安全性，擴大簡訊OTP的使用範圍，涵蓋不同裝置、異地登入或超過半年未登入等高風險情境，這也導致他們需要每月發送數十萬封簡訊，如今提供Passkey登入也能降低簡訊發送的成本。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 智冠科技 </span></strong></span></p> <p dir="ltr">另一家率先主推Passkey的臺灣業者，是提供MyCard遊戲點數儲值服務的智冠科技，該公司網路發展部經理李哲瑋表示，他們在預期成效上，聚焦5大重點，包括：提高會員登入安全性、改善密碼登入失敗率，降低密碼登入失敗被鎖定的客訴案件，提升品牌服務滿意度，以及降低簡訊OTP成本。</p> <p dir="ltr">在此當中，他們最重視會員帳號安全的強化。這是因為，面對詐騙與帳號盜用問題，他們不斷強化MyCard服務的帳號登入安全，像是手機號碼綁定、裝置綁定，以及國別與IP位址的條件驗證。</p> <p dir="ltr">特別的是，2022年他們針對MyCard App，新增手機生物辨識登入的機制，現在則是新升級為FIDO生物識別登入。李哲瑋指出，前者是單純串接手機本身的生物識別功能，後者是採用FIDO國際標準，因此，這兩種生物辨識，背後其實有明顯的防護強度差異。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 可樂旅遊 </span></strong></span></p> <p dir="ltr">採用Passkey的重要性與效益，也被旅遊服務業者看到。可樂旅遊旅行社資訊系統總經理馬規倫表示，在提供更安全的登入方式之餘，他們還有一個不同的著眼點，那就是希望能夠藉此留住用戶。對於一般人而言，業者若強調強化網站與行動App資安防護，通常會擔心使用方式可能變得複雜、麻煩，而感到排斥，為何反而能因此留住顧客？</p> <p dir="ltr">他解釋，旅遊服務不是經常交易的商品，換言之，旅遊業的網站或App並非大家每天都在使用的服務，因此，這項機制避免用戶因為忘記密碼而離開，同時能避免用戶遭網釣，提供高安全性。</p> <p dir="ltr">更進一步來看，提供FIDO快速登入對可樂旅遊的正面形象也有幫助。這是因為，大家對旅遊業的印象多是傳統產業，而他們也想朝向旅遊業中的科技領導產業發展，因此他們需要更多努力。</p> <p dir="ltr">這次可樂旅遊率先採用Passkey，也大大鼓勵內部創新，他們盼能秉持如此精神，帶動旅遊業的科技發展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>促進用戶體驗新安全登入，以獎勵活動吸引大眾</strong></span></span></p> <p dir="ltr">如何推動新的無密碼登入機制？我們注意到這些業者相當積極，不只是向用戶推廣新的安全登入機制，還會透過舉辦活動的方式，以獎勵用戶為誘因，增加使用者對於新機制的啟用意願。</p> <p dir="ltr">例如，露天市集為此申請經費、辦獎勵活動，提醒用戶重視帳號安全，號召大家啟用Passkey，就能領取50元露幣，最新一波活動是提供打拋豬炒飯的兌換序號。他們祭出多種措施吸引用戶參與，使更多人實際體驗Passkey登入的便利，也藉此強化用戶帳號登入的保護。</p> <p dir="ltr">無獨有偶，智冠科技同樣為了宣傳MyCard App升級FIDO生物識別，舉辦啟用即可領點數的活動，最高獎勵為MyCard 10,000點，並搭配抽獎送iPhone手機活動，激勵用戶啟用這項新機制。</p> <p dir="ltr">而在可樂旅遊的推廣上，亦針對新增的FIDO快速登入舉辦每月抽獎活動，發送可折抵訂單金額的獎項，包括5,000元、1,000元與500元的折扣碼，鼓勵會員做好快速登入的設定。</p> <p dir="ltr">特別的是，可樂旅遊還提到他們會從公司內部宣導做起，如此才能讓自家人員在與用戶接觸時也能順利向外推廣。</p> <p dir="ltr">而且，可樂旅遊也在其同業服務平臺提供FIDO快速登入，換言之，他們的應用不僅是提供給一般消費者，也提供給全臺合作的旅遊同業。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>國內民眾對Passkey仍感陌生，政府獎勵政策帶動產業升級</strong></span></span></p> <p dir="ltr">這些業者之所以積極對外推廣，我們認為可能有兩大原因。</p> <p dir="ltr">首先，多數國內消費者不熟悉Passkey無密碼登入，因此，如何讓用戶容易理解啟用新機制的必要性，就是一大考驗。例如，露天市集指出，前兩年他們對此技術抱持觀望態度，主因是考慮國內用戶對Passkey並無概念，教育使用者的成本會很高。</p> <p dir="ltr">國際間雖然有不少網站服務直接標榜Passkey，像是PayPal、Amazon電商等，但對臺灣廣大消費者而言，仍很陌生。</p> <p dir="ltr">目前來看，部分國內業者更著重說明採用FIDO國際標準的必要性，因為金融業先前已有推動這項技術，又或者是聚焦在更安全的無密碼登入，更簡單的掃臉與指紋登入，利用一些較為親民的標語，促進民眾願意啟用新機制，以及認識這項技術為何能帶來更高安全性。</p> <p dir="ltr">其次，政府在這一兩年內，也在設法鼓勵產業導入FIDO技術，成為引領國內企業導入相關應用的重要推手。</p> <p dir="ltr">這是因為，當我們了解上述業者的導入經驗時，不只是提到大家先前已在關注FIDO技術，想要強化用戶帳號登入安全，他們同時也都指出一個契機，就是政府積極推動打詐，這兩年正推動產相關應用計畫。</p> <p dir="ltr">具體而言，這是數位發展部數位產業署（數產署）提出的「智慧防詐與數位信任應用發展計畫」，當中就有強調「數位信任場域服務實地驗證」，並規畫出4種類別，FIDO安全身分識別技術就是一例，其他還包括隱碼技術、電子簽章技術、區塊鏈技術。</p> <p dir="ltr">換言之，數產署希望透過政府的獎勵計畫，促進國內產業在資安與數位信任的技術應用上，能實際採取更多行動。</p> <p dir="ltr">特別的是，我們在詢問數產署相關負責人時，也就是數產署平台經濟組科長江繼元，他向我們表示，雖然最高獎勵有300萬元，但有一定的門檻，而且，若參與計畫的企業未達成效，獎勵名額也會從缺。這是此計畫的特殊之處，以FIDO項目而言，計畫目的強調需促進民眾使用，因此政府對於申請參與計畫的企業有所要求：每企業的FIDO系統登入至少達3萬人次。甚至，有些企業承諾更高的使用人次，像是智冠科技所訂出的目標，是50萬使用人次。</p> <p dir="ltr">就目前我們所知，上述業者的使用人次都已經達標，或是差不多達標，而數產署也將在今年11月發表相關成果。 </p> <p dir="ltr">另一方面，在上述數位信任場域服務實地驗證計畫之前，去年數產署就有不同推動辦法，當時的重點是鼓勵發展相關技術與產品服務，也就是針對資安業者而來，今年則是聚焦在電商、第三方支付、遊戲業者等網路服務產業。</p> <p dir="ltr">綜觀這些新技術應用的推動，包括政府對資安業者與企業的兩次獎勵計畫，以及服務業者對用戶的獎勵活動，就在這一層層推波助瀾下，確實讓國內首波Passkey應用實例，出現較明顯的進展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>首波支援Passkey業者數量不少，組織內部應用實例也浮出檯面</strong></span></span></p> <p dir="ltr">更進一步來看，國內目前提供Passkey無密碼登入的網路服務業者，其實不只上述這3家，我們在數產署的「數位信任場域服務實地驗證計畫」申請列表中，可以找到更多有意導入的服務業。</p> <p dir="ltr">例如，申請FIDO項目的有6家業者，不只是露天市集、可樂旅遊、智冠科技，還有全國加油站、雷特遊戲。</p> <p dir="ltr">值得注意的是，根據數產署的說明，還有一家列於名單的業者是微風廣場，該公司其實也有意導入，但由於這需在一定時間內完成導入與達到成效，因此微風廣場在報名計畫後已表示退出。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Paaskey%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><strong><span style="color: rgb(105, 105, 105);">政府積極推動打詐，像是數位發展部數位產業署推動數位信任場域服務實地驗證計畫， FIDO安全身分識別技術就是其中一項類別，初期有6家業者參與，包括露天市集、可樂旅遊、智冠科技、雷特遊戲、全國加油站，微風廣場因為時程無法趕上而退出計畫。</span></strong></p> <p dir="ltr">對於更多國內導入現況，我們也詢問有協助導入經驗的廠商與FIDO專家，以了解更多情形。</p> <p dir="ltr">例如，全國加油站的App、HyRead電子書平臺，同樣也採用FIDO2標準的底層技術，支援Passkey無密碼登入。協助這兩家業者導入的凌網科技，該公司副總經理高承億向我們表示，全國加油站在今年8月支援，並是首個實體門店業者應用的案例，HyRead則是他們子公司凌網知識的網路服務，從去年底就開始支援，且帳號登入介面是強調「啟用零信任」，原因是他們在應用FIDO2標準之餘，也加上其他的身分安全認證措施。</p> <p dir="ltr">關於雷特遊戲的應用上，FIDO聯盟台灣分會會長張心玲指出，該公司是以FIDO取代手遊的傳統密碼登入方式。</p> <p dir="ltr">上述都是提供給外部使用者的案例，特別的是，也有企業是將FIDO技術應用於公司內部，也就是針對內部使用者的系統登入安全而來，張心玲表示，誠品、中央研究院就是近期的導入實例。</p> <p dir="ltr">綜觀這些最新進展，我們可以看到無密碼登入在臺的發展，確實已在不同產業間發酵。未來，隨著Passkey無密碼登入的普及，或許用戶對於通行密鑰Passkey這樣的術語，會有更高的接受度，甚至在使用其他線上服務時，可能也會期望並要求相同的身分驗證方法。</p> <p dir="ltr"> </p> <p dir="ltr"><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> Passkey將具備跨裝置使用能力，憑證可攜是關鍵 </span></strong></span></span></p> <p dir="ltr"><strong>關於Passkey登入機制的最新動向，自然是跨多種運算裝置應用的最新發展，而且，這也是先前Passkey被認為能夠促進無密碼登入普及的關鍵。</strong></p> <p dir="ltr"><strong>最近有兩項重大突破，一是Google在9月宣布可跨平臺同步Passkey，另一是FIDO聯盟在10月發表新規範以推動憑證可攜。</strong></p> <p dir="ltr"><strong>首先是橫跨行動裝置平臺、瀏覽器、雲端服務的Google生態系，9月19日Google宣布，在Android與Chrome瀏覽器中，原先可以存放通行密鑰（Passkey）的Google Password Manager，已經可以提供同步Passkey到不同的平臺上使用的能力。</strong></p> <p dir="ltr"><strong>也就是說，當Google用戶無須在各個裝置建立不同通行密鑰Passkeys，只要建立一次，就能使用原先設定的認證方式登入。</strong></p> <p dir="ltr"><strong>FIDO聯盟也有相關進展，他們在10月14日發表新的規範，主要將制定憑證交換協定（CXP）與憑證交換格式（CXF），目的是推動憑證的可攜，也就是促使不同的密碼管理員或生態系統間，能讓憑證安全交換。</strong></p> <p dir="ltr"><strong>這也顯示出，當前的Passkey應用其實仍未完善，而這些新的發展動向，一旦可以打通這些隔閡，將能再次加速Passkey的採用，並且進一步改善用戶體驗。</strong></p> <p dir="ltr"><strong>此外，最近還有科技大廠Amazon發布新的消息，原先他們已在自家的電商網路服務，提供Passkey登入的支援，如今更是打算在即將到來的2025年，積極促成旗下更多應用及服務都能支援Passkey。</strong></p> <p dir="ltr"><span style="color:#FFFF00;"><strong><span style="background-color:#696969;"> Google推出跨平臺Passkey同步新能力，擴展一組通行密鑰的使用侷限 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%201%E5%9C%96%EF%BC%89%E8%B7%A8%E5%B9%B3%E8%87%BAPasskey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="text-align: center; width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>9月Google用戶可跨平臺同步使用Passkey，我們也試著體驗其效果。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>以支援Passkey無密碼登入的露天市集網路服務為例，當我們在露天市集App申請啟用Passkey後，會在手機端建立並於Google密碼管理工具儲存一組Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>接著我們到Windows電腦操作，在登入Google帳號的Chrome瀏覽器的環境，開啟露天市集網站服務，並且選擇Passkey無密碼登入。此時，介面會跳出「使用已儲存的ruten.com.tw密碼金鑰（通行密鑰）」，點選來自手機型號的那組Passkey，隨後手機會跳出使用螢幕鎖定功能的畫面，通知將使用ruten.com.tw的通行密鑰，此時，我們使用手機原先設定的指紋辨識或人臉辨識，就能以免輸入密碼方式，直接在電腦上登入露天市集會員帳號。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p dir="ltr"><span style="color:#FFFF00;"><strong><span style="background-color:#696969;"> 用戶可以設定多組通行密鑰，期待日後打通生態隔閡 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%202%E5%9C%96%EF%BC%89%E8%B7%A8%E5%B9%B3%E8%87%BAPasskey%E7%99%BB%E5%85%A5_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="text-align: center; width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>關於通行密鑰（Passkey）的應用，我們常見到相關的文件說明或介紹，會以a passkey或passkeys來稱呼，顯示平時使用的通行密鑰，可以有很多個。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>以提供FIDO快速登入的可樂旅遊網路服務為例，當我們在Windows電腦上，以Chrome瀏覽器開啟可樂旅遊網站，可以在電腦端建立並儲存1組Passkey，並且將這組Passkey置於Windows Hello。若要達到這樣的使用效果，用戶需注意電腦本身是否支援Windows Hello與Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>另一方面，當我們在手機登入可樂旅遊App，也能在手機端建立並儲存1組Passkey、置於Google密碼管理工具。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>因此，之後當我們在電腦網頁版使用免輸入密碼的快速登入時，介面會跳出「使用已儲存的<a href="http://www.colatour.com.tw">www.colatour.com.tw</a>密碼金鑰（通行密鑰）」，接著在這部裝置的選項中，會出現來自Windows Hello的1組Passkey，而在其他裝置的選項中，會出現來自手機型號的1組Passkey。</strong></span></p> <p dir="ltr"><span style="color:#696969;"><strong>有了這兩組Passkey，都可以讓使用者以無密碼方式登入其會員帳號。隨著之後不同密碼管理員或生態系統間的隔閡，將會被打通，或許屆時用戶在同一服務就不用建立多組Passkey。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165788
【遊戲點數儲值服務業Passkey應用實例：智冠科技】MyCard帳號安全再強化，App登入有FIDO加持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">身為臺灣知名遊戲通路業者的智冠科技，旗下MyCard服務已是該公司的重要業務，為了強化用戶帳號的登入安全，今年7月，該公司針對MyCard App的登入，新增加FIDO生物識別登入功能，成為臺灣首波導入Passkey的業者之一。</p> <p dir="ltr">MyCard是許多遊戲玩家熟悉的點數儲值平臺，營運至今長達17年，不僅為玩家提供更便利的支付方式，也為遊戲開發商帶來更多商機。然而，隨著網路犯罪日益猖獗，用戶帳號安全一直是MyCard面臨的重要挑戰。</p> <p dir="ltr">因此，智冠科技從MyCard服務上線以來，持續強化用戶帳號安全，以今年而言，7月22日正式推出基於FIDO標準的生物識別機制，於MyCard App導入Passkey無密碼登入，讓使用者能以更安全、便利的方式進行身分驗證。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>因應詐騙與帳號盜用，帳號安全機制需要持續疊加與升級</strong></span></span></p> <p dir="ltr">為何導入FIDO無密碼網路身分識別？智冠科技網路發展部經理李哲瑋表示，這要從先前的帳號防護經驗談起。</p> <p dir="ltr">過去幾年來，為了防範MyCard服務上的詐騙與帳號盜用問題，智冠科技不只是要建立防詐機制，也推出多項帳號安全機制，並持續關注更進一步的作法。</p> <p dir="ltr">例如，2007年MyCard服務上線的會員帳號Email驗證，2012年增加晶片卡、MOTP、通訊鎖的進階驗證，到了2014年，加入安全支付密碼機制，也就是帳號點數交易轉移需額外輸入支付密碼。</p> <p dir="ltr">2018年出現重大轉變！因為智冠科技將MyCard會員註冊系統優化後，要求所有會員帳號都必須完成手機號碼綁定；2019年繼續增加單一行動裝置綁定，加強MyCard App登入安全性；2021年進一步針對會員註冊的IP位址與國別，導入相關條件驗證，避免跨區帳號盜用。</p> <p dir="ltr">2022年是新的轉捩點！此時他們新增手機生物辨識登入的機制，讓用戶的登入可以更簡便，但他們留意國內金融業積極導入基於FIDO的生物識別技術，以及「TWID身分識別中心」在MID（Mobile ID）門號認證的發展。</p> <p dir="ltr">因此，他們展開FIDO技術的可行性評估，今年開始展開行動，主要因為得知數位發展部數位產業署有相關推動，也就是「數位信任場域服務實地驗證計畫」，於是，智冠在3月決定參與該計畫的FIDO應用項目。</p> <p dir="ltr">李哲瑋透露，他們這麼做還有另一層考量。由於智冠科技用戶涵蓋多國，不只臺、港、澳，以及中國、東南亞，還有少數歐美玩家，若符合FIDO國際標準也有額外效益，像是國際廠商合作方面，因此先聚焦Passkey的導入。</p> <p dir="ltr">至於前述提到的MID行動身分識別，雖然是以國內電信門號為主，但他們認為這是後續可以關注的重點，希望對用戶帳號安全防護帶來更好的效益。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>初期以MyCard App登入應用為主，兩大考量是關鍵</strong></span></span></p> <p dir="ltr">關於導入Passkey、推出FIDO生物識別快速登入，智冠科技目前將這項功能提供於MyCard App。為何只有App登入應用此技術？李哲瑋解釋，主要有兩大考量。</p> <p dir="ltr">首先，根據他們的內部統計顯示，大部分用戶都透過行動裝置使用其服務，其次，現階段用戶在電腦登入會員時，已有不需在網站輸入帳密的方式，並且都是需要透過MyCard App執行。</p> <p dir="ltr">基於上述這兩項考量，他們選擇以MyCard App作為前期FIDO導入重點。</p> <p dir="ltr">以智冠科技的導入歷程而言，今年3月開始進行前期評估，5月到7月是建置期，並在7月22日正式對外提供。而在推出之前，還經過一個星期的內部測試，而且從6月就開始對用戶宣導，鼓勵他們升級使用FIDO登入。</p> <p dir="ltr">李哲瑋表示，評估導入FIDO時，他們聚焦兩個面向，一是會員登入機制是否需要相應的調整，一是自行開發或與外部廠商合作。</p> <p dir="ltr">由於這次計畫有時間壓力，加上智冠內部的程式都是內部人員開發，因此他們擔心與外部廠商合作時，會因為溝通而導致時程延宕，加上公司本身的產業鏈與其他領域不同，客製化需求不少，以及希望自己在使用者流程的掌控度更高，以便提供更好的客戶體驗，最終決定自行開發設計。</p> <p dir="ltr">不過，對於該公司的技術團隊而言，FIDO2是陌生的新技術，他們因此找到工研院，請專家提供協助，讓公司能夠順利導入。而且，該公司也開發對應FIDO2標準的驗證伺服器，並取得FIDO聯盟的認證。</p> <p dir="ltr">之所以取得這項認證，李哲瑋表示，目的不僅是希望獲得用戶信任，也符合他們推廣FIDO應用範圍的長期策略，目前他們也正持續評估FIDO技術在子公司內的應用場景，並計畫將此技術擴展至數位內容合作夥伴。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>傳統生物識別登入已過時，FIDO生物識別讓安全再升級</strong></span></span></p> <p dir="ltr">關於這次升級FIDO生物辨識，智冠科技提到他們面臨的一項挑戰，就是如何與用戶溝通、說明升級的必要性。</p> <p dir="ltr">這是因為，該公司在2022年已推出手機生物辨識登入，在2024年7月新升級FIDO生物識別登入，但對MyCard App用戶而言，這兩種方式在後續登入的操作，可能沒有明顯差異。</p> <p dir="ltr">李哲瑋強調，在帳號安全上，這兩種機制的防護強度並不相同。</p> <p dir="ltr">簡單來說，MyCard App在2022年提供的手機生物辨識登入，主要是結合iOS與Android裝置本身的生物識別功能，作法較傳統；現在新提供的FIDO生物識別登入，背後採用國際FIDO聯盟訂定的網路身分識別標準，當中結合公開金鑰加密架構與生物辨識技術，讓伺服器端只有保存公鑰，將身分驗證在裝置端進行，提供更好的網站登入安全機制。</p> <p dir="ltr">具體而言，他們採用FIDO2標準所衍生的Passkey，目前智冠科技在iOS與Android手機端採用的FIDO2標準驗證，其實就是應用蘋果與Google的Passkey通行密鑰。例如，當我們在iPhone手機登入MyCard App，此時可以看到Face ID生物辨識的登入畫面，顯示是以Passkey進行無密碼登入。</p> <p dir="ltr">因此，為了促進用戶理解這次升級的原因，李哲瑋表示，智冠科技在機制上線前一個月，就設立宣傳網站，希望提早讓用戶知道為何要升級，了解FIDO是國際標準，藉此提升用戶的接受度。</p> <p dir="ltr"> </p> <p dir="ltr"><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 智冠MyCard服務推8大帳號安全機制 </span></strong></span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 時間 </span> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 新增帳號安全機制 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2007年 </span> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> MyCard平臺的會員服務機制上線，提供會員帳號Email的驗證。 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2012年 </span></span><span style="color:#E6E6FA;"> </span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 增加進階驗證機制，包括晶片卡、MOTP、通訊鎖。 </span></span></strong></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 2014年 </span></span> <span style="background-color:#000000;"> </span><span style="color:#FFFFFF;"><span style="background-color:#000000;">增加進階驗證機制，提供會員帳號點數轉移時的安全支付密碼機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2018年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 會員帳號增加手機門號綁定，等於需經過手機號碼與Email的雙驗證，才能使用MyCard服務。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2019年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App會員登入，提供單一行動裝置綁定機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2021年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 增加進階驗證機制，針對會員註冊的IP位址、國別，進行條件驗證。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2022年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App提供串接手機生物辨識的登入機制。 </span></span></strong></p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(105, 105, 105);"> 2024年 </span></span> <span style="color:#FFFFFF;"><span style="background-color:#000000;"> 針對MyCard App升級FIDO生物識別機制，提供基於FIDO2標準Passkey的更安全登入。 </span></span></strong></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">資料來源：智冠科技，iThome整理，2024年11月</span></span></p> <p dir="ltr"><a href="http://www.ithome.com.tw/article/165792" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></span></a><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165792" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1206-feng_mian_p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=wKmS6Qm5" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/11/1 08:00作者羅正漢https://www.ithome.com.tw/news/165789
Wasmer 5.0新增多個後端支援，完整相容於iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly執行環境<a href="https://wasmer.io/posts/introducing-wasmer-v5" target="_blank">Wasmer更新第5版本</a>，新增對V8、Wasmi和WAMR後端的實驗性支援，並且首次完整支援iOS。這次更新不僅提升了Wasmer跨平臺靈活性，也讓WebAssembly在行動和桌面裝置上的應用更為簡單便捷。</p> <p>Wasmer開發團隊在新版Wasmer中所加入的新後端支援，包括Google V8引擎、以Rust編寫的Wasmi，以及針對行動端的WAMR，皆經由Wasm-C-API整合。每一個新後端都有其優勢，V8引擎源自於Chrome的JavaScript引擎，適用於iOS和Android，開發者將可透過V8除錯器和Chrome Devtools更好地進行除錯，而且整合V8也就相當於底層支援WebAssembly例外處理和垃圾回收功能。</p> <p>Wasmi是專門替Rust最佳化的WebAssembly直譯器，特別適用於純Rust程式碼的nostd環境或是區塊鏈。WAMR設計針對行動端資源占用少，是作為iOS開發的理想選擇。這些多元後端擴展了Wasmer執行環境適用性，使其更加靈活。</p> <p>而Wasmer 5.0也透過V8、Wasmi和WAMR的整合，實現WebAssembly在iOS裝置上的完整支援，並且克服iOS 14之後版本對JIT編譯的限制，允許WebAssembly模組直接在iOS裝置執行，而且不需要對應用程式碼進行更動。</p> <p>Wasmer開發團隊由於要提升執行效能和開發效率，Wasmer 5.0將不使用的Emscripten綁定和重複相依項目移除，減少約2萬行程式碼。此精簡措施讓Wasmer更為輕量，同時反序列化效能提升50％。此外，升級Cranelift和LLVM 18編譯器進一步提高執行速度，讓Wasmer 5.0比前一版本快約8％。這些最佳化不僅減少維護成本，還提升開發效率。</p> <p>整體而言，Wasmer 5.0在多後端支援和跨平臺應用上，展現出與其他WebAssembly解決方案不同的優勢。像是Bytecode Alliance開發的Wasmtime，注重於伺服器端的高效能應用，但是目前僅支援Cranelift後端，而WasmEdge則更專注於物聯網和嵌入式裝置，對大規模雲端和行動應用的支援相對有限。</p> <p>Wasmer 5.0在更新之後成為了一個更靈活的解決方案，或將可進一步推動WebAssembly的普及並擴展應用的可能性。</p> </div></div></div>
2024/10/30 21:44作者李建興https://www.ithome.com.tw/news/165778
Google有超過1/4的新程式碼是由AI生成的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從OpenAI在2022年底發表ChatGPT以來，AI已席捲了科技領域，各大科技業者無不加速擁抱AI，不管是建立AI模型，或是於作業中導入AI，本周Alphabet及Google執行長Sundar Pichai即趁著財報日，<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q3-2024/#full-stack-approach" target="_blank">揭露AI於Google的進展</a>，指出Google的新程式碼中，已經有超過1/4是由AI生成的，再由工程師負責審查與接納。</p> <p>Pichai先描繪了Google在AI創新上的全棧優勢，首先是具備強大的AI基礎設施，涵蓋資料中心、晶片與全球光纖網路，其次則是擁有一流的研究團隊，最後則是藉由觸及全球數十億人的產品及平臺，來實現廣泛的全球影響力，形成良性循環。</p> <p>其中，Google投資了位於美國、泰國與烏拉圭的基礎設施，也簽署了首個向多個小型模組化反應爐購買核能的企業協定，還針對硬體與模型進行重大的改善，讓AI Overviews每個查詢的機器成本，在18個月內減少超過90%，而客製化Gemini模型的尺寸則大了一倍。Google同時使用Nvidia的GPU與自製的TPU，目前使用的是代號為Trillium的第六代TPU；至於AI研究則是有賴DeepMind團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 500px;" /></p> <p>而正在開發的Project Astra則定位為未來的通用AI助理，可帶來多模態的互動功能，允許使用者透過語音、文字、圖像與影片與之溝通。Google計畫在明年開放外界試用Project Astra。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-google%20io%20keynote-Project%20Astra.png" style="width: 600px;" /></p> <p>Pichai指出，迄今Google已經有7種產品或平臺的用戶數超過20億，而且它們全都採用Gemini模型。相關服務涵蓋了搜尋、Android、Chrome、Google Play、YouTube及Gmail，再加上該季新入榜的Google Maps。</p> <p>此外，Google已將Gemini應用程式團隊併入Google DeepMind，以加速新模型的開發，並簡化訓練後的工作。Google內部也利用AI來改善寫程式的程序，目前已有超過1/4的新程式碼都是由AI所生成。</p> <p>結合AI能力的<a href="https://www.ithome.com.tw/news/160879" target="_blank">Circle to Search</a>則已於超過1.5億臺的Android裝置上推出，人們用它來購物、翻譯文字與了解周圍的世界，在嘗試過Circle to Search的使用者中，有1/3每周都會使用它。基於影像辨識的Google Lens每月已被用來執行逾200億次的視覺化搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Google%20Lens%E6%96%B0%E5%A2%9E%E5%BD%B1%E7%89%87%E5%8F%8A%E8%AA%9E%E9%9F%B3%E6%90%9C%E5%B0%8B%E5%8A%9F%E8%83%BD.png" style="width: 432px;" /></p> <p>在今年第三季創下114億美元營收，成長35%的Google Cloud也提供各種AI服務，包括AI基礎設施與企業AI平臺Vertex等。</p> <p>看起來，未來不管是大型科技業者或企業都可能會將AI融入每個環節中而無法再切割，AI模型將無所不在。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/10/30 13:26作者陳曉莉https://www.ithome.com.tw/news/165758
【資安日報】10月29日，中國駭客開發專偷雲端資料的惡意軟體工具包並用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Evasive Panda最近動作頻頻，先是使用後門程式Macma<a href="https://www.ithome.com.tw/news/164099">攻擊臺灣及美國的macOS用戶</a>，後來<a href="https://www.ithome.com.tw/news/164300">對網際網路服務供應商（ISP）發動DNS中毒攻擊</a>，再對不安全的軟體更新機制下手，最近有研究人員指出，這些駭客最近2年開發了惡意軟體工具包，專門偷取企業組織的雲端資料。</p> <p>值得留意的是，這款工具包在駭客從事攻擊行動2年後才被發現、揭露，且有部分元件用途仍不明朗，代表相關行蹤可能相當不易察覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165749"><strong style="font-size: 22px;">中國駭客開發專偷雲端資料的惡意軟體工具包，前兩年臺灣有政府機關與宗教組織遇害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudscout-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定雲端服務來進行偵察、收集資料的情況，近期有不少研究人員對這樣的現象提出警告，如今有資安業者發現，他們看到駭客專門打造一組工具包，用來從雲端服務存取、搜尋企業組織的機敏資料。</p> <p>資安業者ESET指出，中國駭客組織Evasive Panda於2022年至2023年攻擊臺灣政府機關和宗教團體，過程中利用名為CloudScout的工具包，攔截連線階段（Session）及Cookie，而能從多種雲端服務挖掘資料。此外，該工具包還能透過外掛程式擴充功能，並與該組織慣用的另一款惡意軟體框架MgBot緊密協作。</p> <p>研究人員發現這起攻擊的緣由，在於他們偵測到該組織於臺灣某個政府機關部署3個過往未被揭露的.NET模組CGD、CGM、COL，而這些元件的主要功能，就是藉由挾持網路的連線階段內容，而能存取Google Drive、Gmail、Outlook等公有雲服務。研究人員提及，駭客主要透過瀏覽器組態竊得Cookie，然後在特定的網路連線請求當中利用，從而得到雲端服務的存取權限。</p> <p><a href="https://www.ithome.com.tw/news/165750"><strong style="font-size: 22px;">美國政府證實電信業者遭到中國駭客入侵</strong></a></p> <p>華爾街日報先後於9月底至10月初報導，中國駭客Salt Typhoon已成功入侵美國多家網際網路服務供應商（ISP），目的是滲透美國政府的竊聽系統並收集情報，駭客潛入的業者包含AT&T、Verizon、Lumen，如今美國政府也發布公告，證實中國資助的駭客非法存取他們的電信基礎設施。</p> <p>10月25日美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，表示他們正在調查中國駭客未經授權存取電信業者基礎設施的行為。</p> <p>究竟攻擊者的身分為何？這份公告並未透露，也沒具體交代資安事故發生的經過。但此公告一出，外界不禁懷疑可能與Salt Typhoon的網路間諜活動有關。值得留意的是，中國駭客的攻擊行動不光針對美國，相鄰的加拿大也是目標。</p> <p><a href="https://www.ithome.com.tw/news/165751"><strong style="font-size: 22px;">法國大型ISP業者Free證實資料遭到外流</strong></a></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，上週末有人在駭客論壇BreachForums兜售法國大型網路服務供應商（ISP）Free的內部資料，他們聲稱握有19,192,948筆客戶帳號資料，以及511萬筆國際銀行帳戶號碼（IBAN）。對此，10月26日Free向法新社透露證實資料外洩的情況，表示他們因管理工具遭到鎖定而遇害，導致部分個資遭到未經授權存取。</p> <p>而對於外洩的資料，Free強調不含密碼、無銀行卡片，也沒有電子郵件、簡訊、語音訊息等通訊內容。該公司表示，他們的服務及營運並未受到這起資料外洩事故影響。該公司已向法國國家資訊科技和公民自由委員會（CNIL）、國家資訊系統安全局（ANSSI）通報此事，並採取法律行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russia-targets-ukrainian-conscripts-with-windows-android-malware/">俄羅斯駭客UNC5812偽裝成與烏克蘭友好組織，意圖透過Telegram散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cert-ua-identifies-malicious-rdp-files.html">俄羅斯駭客APT29利用惡意RDP組態檔案入侵組織網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-targets-sonicwall-vpns-to-breach-corporate-networks/">勒索軟體Fog鎖定SonicWall防火牆的VPN功能而來，意圖入侵企業網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rekoobe-backdoor-and-typosquatting-domains-a-potential-threat-to-tradingview-users/">後門程式Rekoobe鎖定交易社群網站TradingView用戶而來</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/synology-fixes-critical-vulnerabilities-in-synology-photos-and-beephotos-after-pwn2own-exposure/">群暉修補Pwn2Own發現的相簿應用程式弱點</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165692"><strong style="font-size: 22px;">美國發布首個AI國家安全備忘錄</strong></a></p> <p>10月24日美國總統拜登（Joe Biden）發布首個與人工智慧（Artificial Intelligence，AI）有關的國家安全備忘錄（National Security Memorandum，NSM），其三大重點為確保美國引領全球的AI發展，利用尖端的AI技術推動美國國家安全，以及推動AI的國際治理。</p> <p>上述三大重點支柱的細項包括：拜登簽署《晶片法案》（CHIPS Act）以投資開發AI系統所需的大量高階晶片；將競爭對手針對美國AI產業的間諜行動的情報列為最高優先等級；指定AI安全研究所（AI Safety Institute）作為美國AI產業的主要聯繫窗口；加強對National AI Research Resource的支持，以讓大學、民間與小企業的研究人員可進行有意義的AI研究，而非只仰賴大企業。</p> <p><a href="https://www.ithome.com.tw/news/165688"><strong style="font-size: 22px;">美國防部將以三年、四階段推動CMMC規則</strong></a></p> <p>為了讓美國國防工業產業（DIB）的供應鏈業者，有足夠的時間準備、理解和實施CMMC規則（CMMC Rule）的各種要求，以及解決任何CMMC評估、啟動過程中遭遇到的各種問題，並提供培訓所需的評估人員時間，美國國防部（DoD）為CMMC規則制定了三年、四階段的推動計畫。</p> <p>美國國防部會分成四個階段推動CMMC規則（CMMC Rule），第一階段也就是初步實施階段（Initial Implementation），自《48 CFR規則》（48 CFR Rule）生效日期開始；在適用的情況下，招標將要求CMMC認證等級第一級（Level 1）或第二級（Level 2）認證的自我評估（Self - Assessment）。</p> <p>第二階段在第一階段開始後的12個月啟動，在適用的情況下，美國國防部會在相關的國防採購招標案中，要求相關的業者必須取得CMMC認證等級第二級的第三方認證（C3PAO）。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165725"><strong>【10月28日】上周四勒索軟體RansomHub聲稱攻擊臺灣被動元件製造廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165697"><strong>【10月25日】Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> </div></div></div>
2024/10/29 16:58作者周峻佑https://www.ithome.com.tw/news/165752
Meta釋出Llama 3.2 1B/3B模型的量化版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年9月<a href="https://www.ithome.com.tw/news/165241" target="_blank">開源</a>Llama 3.2的1B與3B模型之後，Meta周四（10/24）釋出了<a href="https://ai.meta.com/blog/meta-llama-quantized-lightweight-models/" target="_blank">1B與3B模型的量化版</a>，讓模型大小平均減少了56%，記憶體使用量平均減少了41%，模型速度提高了2~4倍，還能降低功耗，以讓這些模型能夠部署到更多的行動裝置上。</p> <p>Meta說明，他們使用量化感知訓練（Quantization-Aware Training，QAT）與後訓練量化（SpinQuant）兩種方法來量化這兩個模型。前者使用LoRA調節器，於訓練過程中即考慮量化的影響，著重的是模型的準確性，後者則是在模型完成訓練後再進行量化，強調模型的可移植性。</p> <p>不管是Llama 3.2的1B或3B模型都各自有兩個量化版本，因此總計有4個量化模型，分別是Llama 3.2 1B QLoRA、Llama 3.2 1B SpinQuant，以及Llama 3.2 3B QLoRA與Llama 3.2 3B SpinQuant。</p> <p>Meta指出，這些量化的模型比非量化（Llama BF16）模型快得多，佔用更少的記憶體，使用更低的功耗，同時還保持與Llama BF16版本幾乎相同的精度。</p> <p>量化後的Llama 3.2 1B/3B模型儘管只支援8,000個Token的脈絡（原本支援12.8萬個Token），但Meta的評測卻發現，不管是Llama QLoRA或Llama SpinQuant等量化版本的各項基準測試，都與原來的Llama BF16版本相去不遠。</p> <p>Meta是與合作夥伴共同開發了量化模型，並將這些模型提供給搭載Arm CPU的高通與聯發科的系統單晶片。除了CPU之外，Meta亦計畫透過神經處理單元（NPU）來提升這些量化模型的性能，其合作夥伴已經於開源的行動裝置推論解決方案ExecuTorch上整合了可利用NPU的基礎元件，也正努力於NPU執行這些量化模型。</p> <p>迄今Meta已於Android OnePlus 12、三星S24+/S22及iOS裝置上測試過這些量化模型，確定它們都可達到相當的準確性。</p> </div></div></div>
2024/10/25 16:13作者陳曉莉https://www.ithome.com.tw/news/165694
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
華為發表切割Android的HarmonyOS NEXT正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為於本周三（10/23）<a href="https://www.huawei.com/cn/news/2024/10/harmonyos5" target="_blank">發表了</a>HarmonyOS NEXT正式版，同時宣布已開放HUAWEI Pura 70系列、HUAWEI Pocket 2系列，以及11吋的HUAWEI MatePad Pro平板電腦測試HarmonyOS NEXT。</p> <p>HarmonyOS NEXT是華為自製的原生作業系統，跟HarmonyOS最大的差異是它不再兼容Android，將完全與Android切割。</p> <p>華為表示，HarmonyOS NEXT採用全新的分散式軟總線，裝置之間只要靠近即可感知並連接；亦整合了AI，提供Harmony Intelligence服務；新版作業系統禁止9種不合理的權限，包括讀取應用程式列表及簡訊等，也針對包括相機、圖庫或通訊錄等7種使用場景推出安全存取機制；由於採用了自家的方舟引擎（MapleEngine），深度整合軟、硬體讓HarmonyOS NEXT的流暢度提升了30%，續航力增加56分鐘，執行時節省1.5GB的記憶體。</p> <p>Huawei Central<a href="https://www.huaweicentral.com/harmonyos-next-is-a-closed-operating-system-just-like-ios-developer/" target="_blank">指出</a>，如同蘋果的iOS，HarmonyOS NEXT是個封閉的作業系統，只適用於華為的裝置，無法支援其它品牌，此外，HarmonyOS NEXT已經不含任何來自美國的元件，不管是Linux、其它作業系統核心或程式語言。</p> <p>在HarmonyOS NEXT之前，華為裝置都是搭載仍相容於Android的HarmonyOS，華為常務董事余承東表示，目前的HarmonyOS含有1.1億行的程式碼，已有超過1.5萬款的HarmonyOS原生應用程式上架，採用HarmonyOS的裝置亦已突破10億個。</p> </div></div></div>
2024/10/24 14:38作者陳曉莉https://www.ithome.com.tw/news/165664
高通、Google合推AI車上資訊系統開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠高通（Qualcomm）和Google本周<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-announces-multi-year-strategic-collaboration-withgoogle" target="_blank">宣布簽定</a>多年技術合作，將共同打造數位駕駛艙開發框架，以提供車商開發結合AI與雲端技術的車聯網與車上資訊系統。</p> <p>雙方將結合高通的車用平臺Snapdragon Digital Chassis和Google技術，包括Android Automotive OS、Google Cloud與生成式AI打造汽車數位化系統，以及車聯網的標準化參考框架。高通Snapdragon Digital Chassis是高通今年初CES 2024宣布的數位化汽車平臺，由3種單系統晶片（SoC），包含自動駕駛（Ride）、座艙（Cockpit）、車聯網（Auto Connectivity）及Snapdragon車到雲服務（Car-to-Cloud Services）軟體組成。</p> <p>這項合作目標則以高通的數位汽車平臺為基礎，打造二款參考框架，加速汽車廠商開發。一是生成式AI驅動的數位座艙開發框架，內建Google Android Automotive OS（AAOS），提供使用者可客製化的Google AI語音使用者介面與即時驅動程式更新，簡而言之，可讓汽車業者能開發自有版本Gemini助理。二是整合式軟體定義車輛（Software-Defined Vehicle，SDV）車到雲（car-to-cloud）框架。Snapdragon Connected Services Platform是高通針對物聯網（IoT）推出的平臺，旨在提供安全連網服務。在此則是提供統一框架，允許汽車產業透過Google Cloud快速開發可彈性部署於車上AAOS或其他平臺的應用服務，並且可隨時更新。</p> <p>高通同時<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-races-ahead-in-the-evolution-of-software-defined-vehicl" target="_blank">發表</a>Snapdragon Cockpit Elite及Snapdragon Ride Elite二款晶片。高通對媒體<a href="https://www.reuters.com/technology/artificial-intelligence/qualcomm-alphabet-team-up-automotive-ai-mercedes-inks-chip-deal-2024-10-22/" target="_blank">表示</a>，賓士汽車將在未來車款使用Snapdragon Cockpit Elite。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-Snapdragon%20Cockpit%20Elite-Snapdragon%20Ride%20Elite.png" style="width: 450px;" /></p> <p>這並非兩公司第一次合作。2021年雷諾汽車集團已曾在Mégane E-TECH Electric車款中<a href="https://www.qualcomm.com/news/releases/2021/09/qualcomm-works-google-bring-premium-and-intelligent-vehicle-experiences" target="_blank">使用</a>其Snapdragon Cockpit晶片，以執行Google車上服務，包括Google Maps、Google Assistant和Google Play。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> </div></div></div>
2024/10/24 09:38作者林妍溱https://www.ithome.com.tw/news/165658
資安業者警告，多個熱門行動程式直接將AWS與Azure憑證寫入程式中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克（Symantec）本周<a href="https://www.security.com/threat-intelligence/exposing-danger-within-hardcoded-cloud-credentials-popular-mobile-apps" target="_blank">警告</a>，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其它3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p>還有一款摩托車追蹤暨社交程式EatSleepRIDE Motorcycle GPS是在程式碼中寫下了Twilio憑證，該程式亦有超過10萬次的下載。</p> <p>賽門鐵克表示，此一趨勢令人感到不安，這代表任何有權存取應用程式二進位檔或原始程式碼的使用者都能取得這些憑證，並濫用它們以擺布或竊取資料，帶來嚴重的安全威脅。</p> <p>該公司建議開發人員在建置程式時應該將敏感憑證儲存於環境變數中，而不是直接嵌入至程式碼；並應採用秘密管理工具以安全地儲存及存取憑證；如果憑證必須儲存於程式中，那麼至少要將其加密；應該定期檢查及審核程式碼以預防類似或其它漏洞；在CI/CD 管道中整合自動安全掃描工具，以及早檢測各種漏洞。</p> </div></div></div>
2024/10/24 08:36作者陳曉莉https://www.ithome.com.tw/news/165656
衛福部資訊處揭次世代數位醫療平臺計畫進展，還自建LLM標準轉換器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處副處長王美珠日前在臺灣醫院資訊主管會議中，代表資訊處處長李建璋說明次世代數位醫療平臺計畫，包括要落實3大核心、5大願景，比如以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library）、接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法，來實現資料統一、規則統一、應用程式統一等3大願景。她還揭露，衛福部資訊處用大型語言模型（LLM）打造病歷資料標準轉換器，不只能除錯，還能將內容轉換為SNOMED CT、LOINC等國際標準。</p> <p><span style="font-size:22px;"><strong>衛福部推次世代數位醫療平臺計畫，鎖定3大核心、5大願景</strong></span></p> <p>王美珠表示，臺灣要打造智慧醫療護國神山，需要資料、算力和演算法，但臺灣各家醫院長年來發展出各自的醫療資訊系統（HIS）、資料格式與標準不一，再加上國內重要醫療資料庫彼此間也有資料邏輯不同、資料庫架構存在差異等資料互通問題，導致寶貴的醫療大數據無法好好被應用。</p> <p>而衛福部提出為期4年的次世代數位醫療平臺計畫，就是要解決這些問題。該計畫聚焦「一個平臺、三大核心、五大願景」，其中三大核心是指，確保不同平臺的「資料統一、規則統一、應用程式統一」，衛福部資訊處分別要以採用國際醫療資料交換標準FHIR、建置規則庫（Rule library），以及接軌FHIR智慧醫療應用程式市集SMART on FHIR等3大方法來實現。</p> <p>其中，採用FHIR是為了讓底層資料標準統一，規則庫則用來收集健保申報的FHIR程式，供醫院下載使用，並可延伸用於醫院品質監測、管理。至於SMART on FHIR，則是美國一款FHIR版的醫療App市集平臺，衛福部要鼓勵醫院和廠商發展符合SMART on FHIR規格的應用，並在該市集上架，跨出臺灣市場。</p> <p>衛福部資訊處希望透過這3大核心，發展出5大願景，也就是建立臺灣智慧醫療生態系、推動醫院品質管理數位化、發展智慧化臨床試驗平臺、成立真實世界電子病歷資料庫，以及實現個人化數位健康管理。</p> <p>針對第一項願景，衛福部資訊處也已聯手16家醫院，<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">成立了3大類型AI中心</a>，包括負責任AI執行中心、臨床AI取證驗證中心、AI影響性研究中心，來落實AI模型透明和安全機制、加速TFDA智慧醫材取證、爭取健保給付等智慧醫療最後一哩路痛點，來塑造臺灣醫療AI生態系。</p> <p>之後，衛福部資訊處也將鼓勵這些智慧醫材上架到SMAR on FHIR市集，來拓展海外市場。甚至今年11月，衛福部資訊處將邀請SMART on FHIR創辦人暨哈佛醫學院教授Kenneth Mandl來臺簽約、舉辦相關工作坊，推動臺灣本地SMART on FHIR的應用開發。</p> <p><span style="font-size:22px;"><strong>次世代數位醫療平臺計畫瞄準醫中、區域地區醫院和衛生所，分3階層作法</strong></span></p> <p>再來，衛福部推動的次世代數位醫療平臺本身，分別針對醫學中心、區域/地區醫院、衛生所提出各自作法。</p> <p>比如針對醫學中心，衛福部資訊處決定各家維持各自的HIS系統，但資訊處要建置FHIR資料中臺／數據中臺，來讓醫學中心<strong>統一使用FHIR標準</strong>、促進資料互通，預計在接下來2年完成。（如下圖）</p> <p>接著是區域／地區醫院，衛福部希望逐步翻新這些醫院的HIS，要建置類似Android架構的數位醫療平臺（DHP）。也就是說，衛福部聯手工研院和醫資廠商，要打造一套共用的數位底盤PAUL（Platform Advancing Unified Healthcare），來將醫院原有系統升級為次世代電子病歷系統，並保留各醫院系統客製化開發的彈性。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%89-%E6%AC%A1%E4%B8%96%E4%BB%A3%E6%95%B8%E4%BD%8D%E9%86%AB%E7%99%82%E5%B9%B3%E5%8F%B0%E4%B9%8B%E5%85%B1%E9%80%9A%E8%A6%8F%E5%8A%83.jpg" /></p> <p>至於衛生所，衛福部則要建置公版HIS，來讓衛生所直接使用，降低維運成本。</p> <p><span style="font-size:22px;"><strong>針對醫學中心，要導入國際標準、建置臺灣核心資料交換集</strong></span></p> <p>衛福部資訊處還針對醫學中心的資料互通發展，提出3種作法。首先是標準化電子病歷內容，包括導入國際實驗室數據標準LOINC、國際醫學名字標準SNOMED CT、國際處方藥物標準RxNorm，再來是採用國際標準工具FHIR來交換資料，最後是定義必須標準化的最小資料元素，如此才能真正確保資料標準統一、病歷能夠跨院互通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%86%AB%E5%AD%B8%E4%B8%AD%E5%BF%83.JPG" /></p> <p>而這個最小資料元素，就是衛福部參考美國USCDI制定的臺灣核心資料交換集TW CDI（TW Core for Data Interoperability），目前可在衛福部TW Core IG網頁中查看。王美珠說明，這個資料集不只益於未來醫學研究，衛福部資訊處還希望，針對特定應用需求，醫療機構以聯盟形式制定TW CDI+實作指引，來發展更多元應用，形成臺灣超級醫學資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWCDI.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWIG.JPG" /></p> <p>她也解釋，導入上述這些國際標準，是因為早期臺灣發展健保代碼因費用計算而設計，顆粒度不夠細緻。而採用國際標準，不只能細緻描述疾病，這些資訊還能作為後續分析、AI研究使用。</p> <p><span style="font-size:22px;"><strong>衛福部打造LLM標準轉換器，要加速病歷資料標準化</strong></span></p> <p>另一方面，既然要推動病歷資料標準化，衛福部資訊處考量，此舉會涉及各大醫學中心過往累積的病歷資料，這些資料量非常龐大，要轉換標準不可能單靠人工完成。</p> <p>因此，衛福部資訊處打造了LLM標準轉換器，能將原始臺灣病歷按國際標準自動改寫，並且還能自動萃取SNOMED CT、LOINC、RxNorm等國際編碼，甚至自動列出編碼來比對，來讓人工確認。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E7%B7%A8%E7%A2%BC%E5%B7%A5%E5%85%B7.JPG" /></p> <p>衛福部資訊處希望繼續優化這款工具，之後供醫學中心使用。</p> <p>另一方面，衛福部資訊處也希望，結合LLM和一系列開源軟體來協助醫學中心，確保病歷資料標準化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%E5%B7%A5%E5%85%B7.JPG" /></p> <p>他們也建置一套Inferno平臺，可供醫學中心測試FHIR病歷資料是否完全標準化，要是通過，就會發給標章。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/api%E6%B8%AC%E8%A9%A6.JPG" /></p> <p></p> </div></div></div>
2024/10/22 20:40作者王若樸https://www.ithome.com.tw/news/165634
高通發表支援生成式AI的全球最快手機晶片Snapdragon 8 Elite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通（Qualcomm）在本周舉行的Snapdragon高峰會（Snapdragon Summit）上，<a href="https://www.qualcomm.com/news/releases/2024/10/qualcomm-unveils-snapdragon-8-elite-with-the-world-s-fastest-mob" target="_blank">發表了</a>新一代的Snapdragon 8 Elite行動平臺，它採用了原本應用在個人電腦的Oryon CPU，先進的Adreno GPU，以及Qualcomm Hexagon神經網路單元（NPU），CPU性能是前一代的45%。Android Authority採用GeekBench 6<a href="https://www.androidauthority.com/snapdragon-8-elite-benchmarks-3492368/" target="_top">進行基準測試</a>，顯示Snapdragon 8 Elite的多核性能超越了蘋果的iPhone 16 Pro。</p> <p>根據高通的<a href="https://www.qualcomm.com/content/dam/qcomm-martech/dm-assets/images/company/news-media/media-center/press-kits/snapdragon-summit-2024/day-1/documents/Snapdragon8EliteProductBrief.pdf" target="_blank">產品介紹</a>，Snapdragon 8 Elite的CPU尖峰時脈為4.32 GHz，CPU效能提升了45%，電池效率改善了44%，是行動產業最大的共享快取，可提供飛快的資料檢索，且其整體耗電可節省27%，延長2.5小時的遊戲時間。</p> <p>Snapdragon 8 Elite也強調其生成式AI能力，包括已受到許多AI模型的支援；支援全球最大的生成式AI模型生態體系；支援更長的Token輸入；利用Qualcomm Sensing Hub來理解個人化脈絡，以讓多模態生成式AI助理得以提供最符合需求的建議；快了45%的Qualcomm Hexagon，以及每瓦特的性能改善都讓它能更好地處理AI任務。</p> <p>而由AI驅動的AI ISP（Image Signal Processor）帶來了各種AI技術，Limitless Segmentation能夠識別並分割圖像，以分別強化它們，從人臉、頭髮、衣服、物件到背景等；而Real-time Insight AI則能在嚴苛的條件下捕捉與強化自然的皮膚及天空色調；Video Object Eraser則能用來刪除影片中不必要的元素。</p> <p>Android Authority利用GeekBench 6比較了Snapdragon 8 Elite與Snapdragon 8 Gen 3、iPhone 16 Pro、Samsung Galaxy S24 Ultra及Google Pixel 9 Pro XL的差異，發現它除了在單核測試中輸給了iPhone 16 Pro之外，其它評測都明顯領先，包括在多核測試中領先iPhone 16 Pro。iPhone 16 Pro搭載的是蘋果自行開發的A18 Pro處理器。</p> <p>而包括華碩、Honor、iQOO、OnePlus、OPPO、RealMe、三星、Vivo及小米等業者，都準備在未來幾周推出採用Snapdragon 8 Elite的裝置，其中，外傳華碩即將在下個月正式發表搭載Snapdragon 8 Elite的電競手機系列ROG Phone 9。</p> </div></div></div>
2024/10/22 11:30作者陳曉莉https://www.ithome.com.tw/news/165604
【資安日報】10月18日，紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客濫用防守方滲透測試工具的情況相當頻繁，最常見的是Cobalt Strike，利用Brute Ratel C4（BRC4）的情況不時傳出，但今年，出現駭客鎖定紅隊演練工具的現象。</p> <p>繼上個月思科揭露<a href="https://www.ithome.com.tw/news/164855">有人使用名為MacroPack的紅隊演練框架打造惡意檔案</a>，本週資安業者趨勢科技針對另一款工具EDRSilencer遭到濫用的情況提出警告，並指出已有駭客將其當作重要武器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165571"><strong style="font-size: 22px;">紅隊演練工具EDRSilencer傳出遭濫用，駭客可藉此阻斷EDR連外而無法通報異常</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRSilencer-Fig10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRSilencer-Fig10.png" style="width: 300px; float: right;" /></a>防守方用來進行滲透測試及紅隊演練的工具，被駭客拿來從事網路攻擊的現象，可說是越來越氾濫，其中最常見的是Cobalt Strike，利用Brute Ratel C4（BRC4）也有不少，但今年出現駭客採用其他工具的情況。</p> <p>根據資安業者趨勢科技的監控，有人利用名為EDRSilencer的紅隊演練工具從事攻擊行動，此工具利用視窗作業系統內建的Windows篩選平臺（Windows Filtering Platform，WFP），號稱能干擾市面上16款常見的端點偵測與回應（EDR）系統運作。</p> <p>究竟該紅隊演練工具如何運作？主要是藉由動態識別的方式，找出正在執行的EDR處理程序，接著，攻擊者建立WFP過濾器，以此封鎖EDR系統的IPv4、IPv6對外流量，使得端點代理程式無法對主控臺傳送遙測資料及警示訊息。</p> <p><a href="https://www.ithome.com.tw/news/165559"><strong style="font-size: 22px;">2023年被用來攻擊的漏洞，高達70%為零日漏洞</strong></a></p> <p>Google麾下的資安業者Mandiant本周公布了2023年的漏洞分析報告，指出去年遭到利用的138個安全漏洞中，有97個屬於零日漏洞（Zero-day），41個為N日漏洞（N-day），儘管先前即曾預測駭客對零日漏洞的利用會愈來愈多，但現況比他們原本評估要嚴重許多。</p> <p>研究人員評估N日漏洞威脅態勢，通常會統計漏洞公開到利用的時間（Time-to-exploit，TTE）作為評估的依據，結果發現，駭客利用漏洞的時間逐年縮短，例如2018至2019年的TTE為63天，2020到2021年是44天，2021到2022再減少至32天，然而，去年的TTE降幅是史上最大，平均只有5天。</p> <p>根據Mandiant的統計，過去幾年零日漏洞的比例大致占6成，但去年一舉增加至7成，研究人員不排除這可能是威脅態勢重要的轉折點。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sonicwall.com/en-us/2024/10/horus-protector-part-2-the-new-malware-distribution-service/">惡意程式HORUS Protector號稱無法被資安系統偵測，吸引打手用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://any.run/cybersecurity-blog/phantomloader-and-ssload-analysis/">攻擊者挾持360防毒軟體散布惡意程式SSLoad</a></strong></p> <p></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165567"><strong style="font-size: 22px;">Spring框架存在路徑穿越漏洞，恐對網頁應用程式造成資安風險</strong></a></p> <p>10月17日Spring開發團隊發布資安公告，指出Spring Framework存在路徑穿越漏洞CVE-2024-38819，該漏洞影響6.1.13、6.0.24、5.3.40及以下版本，他們推出6.1.14、6.0.25、5.3.41版進行修補。</p> <p>針對這項漏洞出現的原因，該公司表示，應用程式藉由網頁框架WebMvc.fn或WebFlux.fn提供靜態資源的過程中，容易受到路徑穿越攻擊，攻擊者只要發送惡意HTTP請求，就有機會藉由正在運作的Spring應用程式處理程序，取得檔案系統的任意檔案。</p> <p><a href="https://www.ithome.com.tw/news/165572"><strong style="font-size: 22px;">SolarWinds的IT服務臺系統存在重大漏洞，疑似已出現未經授權的攻擊行動</strong></a></p> <p>本週SolarWinds針對旗下的IT服務臺系統Web Help Desk發布資安公告，指出該系統存在重大層級的CVE-2024-28988，這項漏洞涉及Java的去序列化處理，攻擊者有機會遠端執行程式碼（RCE），影響12.8.3 HF2版以前的系統，CVSS風險評為9.8分，該公司推出12.8.3 HF3修補，並呼籲用戶儘速套用。</p> <p>SolarWind之所以發現這項漏洞，是因為接獲趨勢科技漏洞懸賞專案Zero Day Initiative（ZDI）的通報，值得留意的是，ZDI在調查漏洞的過程，觀察到未經授權的攻擊行動，這代表該漏洞可能已被駭客掌握，並實際嘗試利用的現象。</p> <p><a href="https://www.ithome.com.tw/news/165565"><strong style="font-size: 22px;">趨勢科技資安閘道系統Cloud Edge修補命令注入漏洞</strong></a></p> <p>10月15日趨勢科技針對旗下的資安防護設備Cloud Edge發布資安公告，指出該設備存在重大層級的命令注入漏洞CVE-2024-48904，影響執行5.6SP2、7.0版韌體的設備，CVSS風險評為9.8分，該公司已發布更新修補。</p> <p>而對於該漏洞帶來的影響，趨勢科技表示，攻擊者能夠遠端於設備上執行任意程式碼（RCE），但除此之外並未對於漏洞形成的原因進一步說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://my.f5.com/manage/s/article/K000140061 https://offsec.almond.consulting/privilege-escalation-f5-CVE-2024-45844.html">F5 BIG-IP存在高風險存取控制繞過漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-45216-critical-authentication-bypass-vulnerability-patched-in-apache-solr/">Apache基金會修補Solr身分驗證繞過漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165527"><strong style="font-size: 22px;">美國防部公布CMMC規則，認證等級從原先五級簡化為三級</strong></a></p> <p>經過長期的研擬，美國國防部於今年8月15日公布專注政府採購程序和合約要求的48 CFR草案；到10月15日這天，則將32 CFR最終版（Final Rule）公布在聯邦公報（Federal Register）上，並於60天後（12月14日）正式生效實施。</p> <p>美國國防部（DoD）將國防工業產業（Defense Industrial Base，DIB）的業者，區分為一線供應商（承包商）和二線以下的供應商（分包商），這些國防供應鏈的業者若面臨需要處理、傳輸和儲存與聯邦合約資訊（Federal Contract Information，FCI），以及受控未分類資訊（Controlled unclassified information，CUI）時，都需要依據保護相關資料所面臨的網路安全風險，取得「網路安全成熟度模型認證（Cybersecurity Maturity Model Certification）」，簡稱CMMC認證。</p> <p>目前推動美國國防供應鏈業者取得的CMMC規則（CMMC Rule）的認證，其主要目的就是，要評估美國國防部相關承包商與供應鏈業者的網路安全防護能力，而CMMC規則的修訂，不只是希望確保承包商能夠遵循最佳實務做法，以保護網路上的敏感資訊，同時也使中小型業者更容易遵守這些規範。</p> <p><a href="https://www.ithome.com.tw/news/165521"><strong style="font-size: 22px;">Google著手推送Android 15，主打裝置防盜能力</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1016-Android 15_Private space.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 300px; float: right;" /></a>本週二（10月15日）Google宣布，已開始向Pixel裝置部署Android 15。新一代作業系統強化防盜保護，並允許使用者建立私人應用程式區域（Private Space），存放具有敏感資料的應用程式。</p> <p>該公司平均每年發布一次安卓大改版，並根據技術的演進添增新功能，例如近來即開始利用AI來強化防盜功能，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15提供了額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖定裝置。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-deprecates-pptp-and-l2tp-vpn-protocols-in-windows-server/">微軟宣布棄用Windows Server的PPTP、L2TP VPN通訊協定</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165552"><strong>【10月17日】Kubernetes映像檔製作工具存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165531"><strong>【10月16日】臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> </div></div></div>
2024/10/18 17:37作者周峻佑https://www.ithome.com.tw/news/165573
【資安日報】10月17日，Kubernetes映像檔製作工具存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對微服務管理平臺Kubernetes而來的攻擊行動，不時傳出相關事故，這樣的情況也使得不少研究人員調查這類系統的弱點，例如：出現在特定組態Azure Kubernetes服務（AKS）的<a href="https://www.ithome.com.tw/news/164619">權限提升漏洞WireServing</a>，以及<a href="https://www.ithome.com.tw/news/161050">Google Kubernetes Engine（GKE）重大風險漏洞Sys:All</a>，該漏洞能讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集。</p> <p>本月Kubernetes修補映像檔建置工具（Image Builder）的漏洞也相當值得留意，因為這些弱點有機會讓攻擊者取得虛擬機器（VM）的root權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=172839&SPOKE_DATE=20241016&COMPANY_ID=2450"><strong style="font-size: 22px;">通訊零售業者神腦國際傳出外部網路伺服器被駭客攻擊</strong></a></p> <p>10月16日連鎖通訊零售業者神腦國際於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，在查知此事後，該公司立即啟動相關防護機制，並採取隔離措施因應。</p> <p>而對於這起事故可能會造成的影響，他們表示根據初步評估，尚未發現個資或是內部資料外洩的情況，對營運及服務無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/volkswagen-says-it-infrastructure-not-affected-after-ransomware-gang-claims-data-theft/">勒索軟體駭客聲稱竊得汽車大廠福斯內部資料，該公司表示IT基礎設施不受影響</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/83877/">北韓駭客ScarCruft利用IE零時差漏洞散布惡意程式</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165546"><strong style="font-size: 22px;">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</strong></a></p> <p>Kubernetes資安回應團隊近期公布映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。</p> <p>這兩項漏洞較為嚴重的是CVE-2024-9486，主要原因在於：以Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>另一個漏洞CVE-2024-9594，則是涉及其他系統平臺提供者產生的映像檔，這些提供者包含Nutanix、OVA、QEMU，在映像建置過程也會啟用預設的帳密組態，而此預設帳密同樣可用於取得root權限，但不同的是，在映像檔建置完成後，這些帳密就會被停用。該漏洞被評為中度風險，CVSS評為6.3。</p> <p><a href="https://www.ithome.com.tw/news/165536"><strong style="font-size: 22px;">GitHub修補重大層級的SAML身分驗證繞過漏洞</strong></a></p> <p>10月10日GitHub發布Enterprise Server（GHES）更新3.14.2、3.13.5、3.12.10、3.11.16版，當中修補身分驗證繞過漏洞CVE-2024-9487、資訊洩漏漏洞CVE-2024-9539，以及1個尚未登記CVE編號的漏洞。</p> <p>其中，最值得留意的是被評為重大層級的CVE-2024-9487，攻擊者可藉由選用的加密斷言（assertion）功能繞過SAML單一簽入（SSO）身分驗證，而能在未經授權的情況下為使用者開通服務，或是存取GHES執行個體。此漏洞的4.0版CVSS風險評分達到9.5（滿分10分）。</p> <p>對於CVE-2024-9487發生的原因，GitHub表示是他們在今年5月緩解CVE-2024-4985（CVSS風險評為10分）的過程當中衍生。</p> <p><a href="https://www.ithome.com.tw/news/165548"><strong style="font-size: 22px;">Ubuntu身分驗證元件Authd存在高風險漏洞，攻擊者有機會發動UID欺騙攻擊</strong></a></p> <p>Canonical近期針對Ubuntu發布資安公告，揭露高風險漏洞CVE-2024-9312，這項弱點存在於身分驗證管理元件Authd，一旦攻擊者觸發漏洞，就有機會欺騙電腦，並針對特定使用者帳號進行未經授權存取，CVSS風險為7.6分，該公司提供0.3.6版Authd修補。</p> <p>究竟這項漏洞發生的原因為何？原因是Authd分配的UID是根據使用者名稱產生的純函數（pure function），再者，則是UID的集合太小，導致無法進行隨機分配。這樣的情況，使得該元件很可能會遭到利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5580">Nvidia生成式AI框架NeMo存在缺陷，攻擊者有機會執行程式碼或竄改資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2/">Apache修補雲端基礎設施CloudStack高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.oracle.com/security-alerts/cpuoct2024.html">Oracle發布2024第3季重大修補更新，公布旗下產品逾200個漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165515"><strong style="font-size: 22px;">Amazon將全面擁抱Passkey</strong></a></p> <p>繼去年開始於電商服務部署通行密鑰（Passkey）之後，Amazon於10月15日宣布，迄今已有超過1.75億的用戶於的Amazon帳號上啟用Passkey，該公司也計畫明年逐步於其他應用及服務推出Passkey。</p> <p>目前Amazon支援Passkey的部分，主要是在網頁版、iOS及Android的購物應用，以及Audible有聲書應用系統，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選項。根據Amazon的統計，以Passkey登入速度比其他方式快6倍，隨著愈來愈多用戶體驗到無密碼登入的方便，Passkey採用率每天都在成長。</p> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" style="width: 300px; float: right;" /></a>根據科技新聞網站The Verge的報導，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、Meta、Epic Games、蘋果、Amazon及HP的官網連結旁都出現了藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google也在藍勾勾顯示的旁邊提出說明，當中提到此標記的出現，是代表他們判斷現在瀏覽的網站就是代表該企業組織，但無法保證該企業或其產品資料的可信度。Google則向The Verge解釋，他們利用網站驗證、Merchant Center資料及人工審核等管道，來辨別網站的真偽。不過，目前該服務僅為小規模部署的實驗，尚未確定能否會成為正式功能。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165531"><strong>【10月16日】臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> </div></div></div>
2024/10/17 17:14作者周峻佑https://www.ithome.com.tw/news/165552
Google著手部署Android 15，私人空間上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（10/15）<a href="https://blog.google/products/android/android-15/" target="_blank">宣布</a>，已開始向Pixel裝置部署Android 15。新一代的平臺強化了防盜保護，並允許使用者建立私人空間（Private Space），以作為數位保險箱。</p> <p>Google平均每年更新一次主要的Android版本，並根據技術的演進添增新功能，例如近來即開始利用AI來強化Android的<a href="https://www.ithome.com.tw/news/165357" target="_blank">防盜功能</a>，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15上則有額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖住裝置。</p> <p>Android 15還有一個類似數位保險箱的私人空間功能。使用者可建立一個私人空間來存放各種敏感程式，例如社交程式、約會程式或金融程式等，當該空間被鎖住時，不管是從程式清單、檢視最近應用程式，或是從通知及設定中，都看不到置放於該空間中的程式。要存取私人空間必須進行額外的身分驗證，使用者還能選擇於手機上隱藏私人空間的存在。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 520px;" /></p> <p>此外，Android 15也改善了平板與摺疊裝置的工作能力，例如讓這些裝置可更容易固定及取消工作列（Taskbar），也能客製化工作列，放上常用的程式以提高工作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_%20pin%20taskbar%20on%20the%20screen.png" style="width: 600px;" /></p> <p>其它功能還包括允許電信營運商的傳訊程式可在缺乏行動或Wi-Fi網路時，透過衛星來傳訊；強化對通行密鑰（Passkey）的支援，對於那些採用Passkeys功能進行身分驗證的程式，只要點擊一下就能登入。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/10/16 15:14作者陳曉莉https://www.ithome.com.tw/news/165521
Amazon將全面擁抱Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/159335" target="_blank">去年</a>開始於電子商務服務中部署通行密鑰（Passkey）之後，Amazon周二（10/15）<a href="https://www.aboutamazon.com/news/retail/amazon-passwordless-sign-in-passkey" target="_blank">宣布</a>，迄今已有超過1.75億的用戶於他們的Amazon帳號上啟用Passkey，也計畫明年逐步於其它Amazon應用及服務推出Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。以Passkey來登入服務既不用記住密碼，也比利用簡訊傳送一次性代碼的雙因素身分驗證來得安全。</p> <p>目前Amazon已於網頁版、iOS及Android上的購物應用，以及Audible有聲書應用中支援Passkey，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選擇。根據Amazon的統計，以Passkey登入是其它方式的6倍快，隨著愈來愈多用戶體驗到無密碼登入的方便性，Passkey的採用率每天都在成長。</p> <p>Amazon電子商務資深副總裁Dave Treadwell表示，Passkey可替買家帶來易用性與安全性，儘管在可見的未來依然會存在著密碼，但Passkey卻是正確的方向，Amazon很高與成為Passkey的早期採用者。</p> <p>其實<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/162656" target="_blank">微軟</a>及<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/ios" target="_blank">蘋果</a>皆已支援Passkey，專門推動可減輕對密碼依賴之各種身分驗證標準的開放聯盟FIDO Alliance，也在<a href="https://www.ithome.com.tw/news/165496" target="_blank">本周發表</a>一標準草案，打算利用憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF）來推動Passkey與其它憑證的可攜能力。</p> </div></div></div>
2024/10/16 12:12作者陳曉莉https://www.ithome.com.tw/news/165515
零售IT雙周報第43期：不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，到送貨點就會標註出對應物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0922~1005)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#訂單履行 #物件辨識 #司機送貨</span></strong></span><br /> <strong>不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，投影出圈圈叉叉標出當下送貨點所需商品</strong></p> <p>將商品放進貨車車廂時，貨運司機往往需要同時考量空間最大化利用和送貨順序等複雜的因素，到每個送貨點，還需要翻找車廂內商品，閱讀商品描述、條碼、標籤、收貨資訊，才能蒐集齊該站點所需商品。這個翻找和揀貨過程每個站點都會花上幾分鐘，一天下來消耗可觀時間成本。</p> <p><a href="https://www.aboutamazon.com/news/transportation/amazon-vapr-delivery-van-packages">因應此痛點，Amazon打造了一套AI車廂內揀貨助手Vision-Assisted Package Retrieval （VAPR）</a>。到達一個送貨點時，AI會辨認出該站點所需商品，用貨架上投影機打上綠色的圈，並於其他商品投影紅色的叉。這樣一來，司機便能快速集齊要拿下車的商品。Amazon計畫在2025年初啟用超過1,000臺搭載VAPR的貨車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vapr2.jpg" style="width: 600px;" /></p> <p>VAPR技術基礎是Amazon物流中心內的商品視覺辨識技術Amazon Robotics Identification （AR-ID），可以即時定位和解讀多個條碼，用來取代手動掃描包裝條碼。搭載AR-ID的VAPR能利用專門為貨車車廂光照條件設計的鏡頭，來辨認不同包裝特徵及標籤，接著，再利用車內投影機標示出商品是否屬於該送貨點。</p> <p>初期測試顯示，VAPR把一個送貨點的揀貨時間從2至5分鐘縮短到1分鐘左右，一趟能省下司機約30分鐘。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #AI客服 #LLM #個人化購物 #AR購物 #沉浸式電商 #AdaptiveRetail</span></strong></span><br /> <strong>Walmart揭露一系列Adaptive Retail戰略新做法，利用生成式AI打造更多不同購物接觸點的個人化體驗</strong></p> <p><a href="https://corporate.walmart.com/news/2024/10/09/walmart-reveals-plan-for-scaling-artificial-intelligence-generative-ai-augmented-reality-and-immersive-commerce-experiences">零售龍頭Walmart近日揭露自家零售戰略Adaptive Retail的更多具體做法</a>，利用許多自家開發的AI與生成式AI技術，來大規模生成素材，支援不同購物通路的個人化體驗。</p> <p>第一個關鍵做法是Wallaby，一系列利用Walmart數十年數據訓練而成的零售領域LLM。這些LLM是他們在自家不同通路生成個人化體驗素材的技術基礎，也會與其他LLM並用。</p> <p>第二項做法是打造一個生成式AI客服機器人，能根據顧客身分來存取顧客訂單、退換貨請求等資訊，以進一步理解顧客需求，來應答或採取行動。</p> <p>第三是打造一個「內容決策平臺」（Content Decision Platform）。在顧客造訪電商等線上通路時，先用預測型AI等技術來分析顧客行為，再用生成式AI產出對應內容──而非只是利用AI重新排列組合不同版面元素。目前Walmart電商網站已經有部分內容採用此做法。他們預計明年年底於美國市場全面應用此技術，在每一個顧客造訪電商時，生成專屬首頁。</p> <p>第四個做法是打造AR平臺Retina，利用RPA、AI與生成式AI技術，來生成成千上萬個3D素材，用於AR購物體驗。目前Retina支援Walmart大大小小共10個AR購物體驗，以及沉浸式電商API（Immersive Commerce API）。後者是一個供外部開發者用來打造沉浸式電商的服務，目前開發者已經能透過Unity來存取此API。Walmart未來還計畫利用此平臺來打造頭戴式裝置的AR購物體驗，以及將現行AR購物體驗拓展到其他國家市場。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#LBS行銷 #遊戲化行銷 #門市內行銷 #智慧購物車</span></strong><br /> <strong>利用顧客數據及門市內地理位置數據，Instacart為智慧購物車打造門市內遊戲化行銷體驗</strong></p> <p>零售行銷科技廠商Instacart結合顧客數據與門市內走道等級的地理位置和商品數據，為旗下智慧購物車Caper Cart<a href="https://www.instacart.com/company/pressreleases/instacart-launches-new-gamified-capabilities-savings-on-caper-carts/">新增了3種LBS行銷功能</a>：LBS購物遊戲、LBS折價券與LBS廣告。</p> <p>購物遊戲是顧客在門市內購物過程中參與的互動任務，透過Caper Cart螢幕呈現。顧客可以透過完成特定挑戰來獲得獎勵，例如「尋寶遊戲」，於顧客所在位置呈現出商品限時折價優惠。或者，完成多次來店或重複購買等，包裝成遊戲任務的忠誠度計畫，來獲得折扣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/capercart.jpg" style="width: 600px;" /></p> <p>LBS折價券功能是傳送顧客所在走道附近商品的折扣通知。這項技術利用Caper Cart的室內定位能力，搭配顧客購買紀錄或購物車內容，提供個人化優惠。與此類似的LBS廣告功能，則是呈現特定商品或品牌的行銷素材，讓顧客快速加入購物車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></span><br /> <strong>Amazon推出5種商品視覺搜尋功能</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/visual-search-shopping-features">Amazon推出了5種新的商品視覺化搜尋功能</a>，包含視覺化建議，影像加文字的搜尋，相似商品視覺化推薦，搜尋結果播放影片以及圈選搜尋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs1.png" style="width: 600px;" /></p> <p>視覺建議功能會根據顧客輸入的搜尋詞呈現相關商品圖片，顧客可以點選最接近心目中商品的照片進行搜尋。影像加文字搜尋是，顧客上傳商品圖片來以圖尋找商品時，可以搭配描述文字來進一步描述搜尋結果。相似商品推薦功能，則是呈現顯示視覺上與一件商品相似的產品。搜尋結果中的影片，顧名思義是直接在搜尋結果頁面呈現商品影片。圈選搜尋則可圈出圖片中的特定單品，來快速以圖搜尋商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs%202.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></p> <p><strong>Google推出3種商品視覺搜尋功能</strong></p> <p><a href="https://blog.google/products/shopping/visual-search-lens-shopping/">Google近期也推出3種商品視覺搜尋功能</a>：Google Lens搜尋、即時搜尋螢幕畫面上物品，以及影像加文字的搜尋。Google Lens搜尋商品類似於以圖搜圖功能，使用者即時拍照或上傳照片到Google Lens，便會呈現出商品搜尋結果頁面，頁面包括價格、優惠和評論資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gvs.jpg" style="height: 500px;" /></p> <p>即時搜尋螢幕畫面上物品功能，是用Android圈選搜尋功能來以圖搜圖；影像加文字搜尋功能則是可以搭配描述文字來獲得更精確的搜尋結果。</p> <p>這些視覺化搜尋結果來自Google自家收錄了450億項商品的Shopping Graph資料集。使用者上傳圖片後，系統便是利用電腦視覺技術，與Shopping Graph數據比對出相似商品。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#生成式AI #顧客教育</span></strong></span><br /> <strong>Amazon推出又一生成式AI購物助手，根據搜尋商品類型呈現相關知識以協助購物決策</strong></p> <p>推出生成式AI對話式購物助手Rufus後，<a href="https://www.aboutamazon.com/news/retail/amazon-ai-shopping-guides-product-research-recommendations">Amazon推出又一生成式AI購物輔助功能</a>，在購客搜尋商品時，呈現購物時相關知識，包括建議考慮條件、熱門品牌、更多商品專屬分類等，以協助購物決策。例如，搜尋電視商品時，會生成解析度、面板分類、更新率等知識，或是室外電視、可攜帶電視等專屬於電視的分類等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzguidejpg.jpg" style="width: 500px;" /></p> <p>此功能支援超過100類商品，相關知識是由LLM蒐集商品目錄中的特徵、使用情境、功能、品牌和術語，再根據顧客搜尋內容生成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #日本全家 #OMO行銷</span></strong></span><br /> <strong>日本全家怎麼做RMN</strong></p> <p>近日一場活動中，日本全家便利商店行銷長足立光介紹自家RMN布局。日本全家RMN FamilyMart Media的主要行銷通路包括門市螢幕FamilyMartVision和支付工具 FamiPay。</p> <p>主要行銷形式是，利用第一方數據，來投放影音數位廣告。他們也會製作行銷內容，投放到社群媒體等外部通路，例如推特、Line、臉書等。日本全家數據來源包含自家線上App及線下會員消費數據，以及電信商Docomo、連鎖賣場唐吉訶德等合作廠商數據，手握超過3,500萬筆廣告ID。追蹤RMN行銷成效做法是，交叉分析消費行為、App使用情況、AI 攝影機數據、問卷調查等數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm(1).jpg" style="width: 600px;" /></p> <p>相較臺灣全家，日本全家做法更像是傳統程式化數位廣告加上門市內展示廣告，利用數據來大規模推送格式較標準化的廣告。臺灣全家則更類似整合行銷，為不同行銷案件設計不同通路和行銷手法，廣告格式也更多元，除了靜態和動態影像，還有App上多種互動式行銷模組、個人化商場、票券等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#LLMOps #推薦系統 #Line購物</span></strong></span><br /> <strong>Line購物如何打造導購推薦系統</strong></p> <p>收錄千萬商品的導購型電商Line購物如何利用機器學習，甚至生成式AI，來找出0.001%高度吸引顧客的商品？他們打造了一套以機器學習驅動的核心推薦系統Brickmaster，用檢索、排名、再排名3階段，逐步挑選出商品給顧客。</p> <p>Brickmaster背後利用哪些數據、如何設計ML機制、如何打造可信任框架讓非技術主管也能對推薦成效一目了然？本刊封面故事<a href="https://www.ithome.com.tw/article/165216">Line購物推薦系統大剖析</a>會進一步說明。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Walmart會員制零售品牌Sam’s Club將推出3,000坪的無人結帳店</p> <p>2. <a href="https://www.ithome.com.tw/news/165365">駭客鎖定Adobe Commerce、Magento購物網站今年6月公布的重大漏洞CosmicSting下手</a></p> <p>3. <a href="https://www.aboutamazon.com/amazon-fulfillment-center-robotics-ai">Amazon啟用55個足球場大的物流中心，自動化機械數量是過往物流中心10倍多</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Instacart、Google、郭又華攝影</p> <p></p> </div></div></div>
2024/10/14 14:47作者郭又華https://www.ithome.com.tw/news/165462
AI趨勢周報第261期：UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1004～1010）</span></h3> <h3><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UI螢幕 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MM1.5 </span></strong></span></h3> <p><span style="font-size: 22px;"><strong>UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果</strong></span></p> <p>蘋果發表多模態大型語言模型MM1.5系列模型，透過訓練階段精挑細選的資料混合方法，提高了模型對多文字圖像理解、視覺引用和定位（Grounding）以及多圖像推理的能力。該模型架構以前一代模型MM1架構為基礎，訓練原則也延續以資料為中心，探索在不同訓練周期中，不同的混合資料方法對模型表現的影響。</p> <p>舉例來說，團隊在MM1.5持續預訓練階段，導入高品質的OCR資料和合成圖說，可大幅提升模型對多文字圖像的理解力。又或是在監督式微調階段，對不同類型資料的影響進行分析，找出最佳的視覺指令微調資料混合方法。MM1.5系列模型的大小從10億參數到300億參數不等，採用不同類型架構，如密集模型和專家混合（MoE）模型。團隊表示，即使是10億參數和30億參數的小規模模型，透過精細的資料管理和訓練策略，也能發揮強大表現。</p> <p>特別的是，蘋果還同時打造了專門處理影片理解的模型MM1.5-Video，以及專門理解行動裝置UI（如iPhone螢幕）的MM1.5-UI模型。他們強調，將多模態模型應用於行動裝置螢幕互動，比如代表使用者與裝置互動或與使用者一起理解UI，是一項有潛力的應用場景，可提高使用效率和生產力。而MM1.5-UI單一模型，就能執行多種視覺引用和定位任務，還能摘要UI螢幕上的功能，甚至透過與使用者對話來互動。雖然模型拿下SOTA表現，團隊將繼續優化模型，比如透過多模態融合方法，將文字、圖片和使用者互動資料融合，設計出更複雜的網路架構，來讓模型參考多種資料來源、提高對行動裝置UI的理解。<a href="https://huggingface.co/papers/2409.20566">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-11%20180406.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">諾貝爾物理獎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經網路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>兩位機器學習先鋒獲得諾貝爾物理獎</strong></span></p> <p>瑞典皇家科學院日前宣布2024年諾貝爾物理獎得主，包括現年91歲的John Hopfield和76歲的Geoffrey Hinton，來表彰他們從1980年代開始，就以人工神經網路打下機器學習基礎。瑞典皇家科學院表示，人們談論的AI，通常指以人工神經網路為基礎的機器學習，也就是受大腦結構啟發，在人工神經網路中，大腦的神經元由不同值的節點來表現，節點之間透過連結來相互影響，如同大腦中的突觸，並可調整連結的強弱。</p> <p>其中，Hopfield是著名的理論物理學家及神經科學家，曾建立開創性的Hopfield網路，以一種特殊的方式來儲存並重建模式（Pattern）。簡單地說，該網路是透過物理學中，能量最小化的過程來進行自我組織與學習，成為之後許多深度學習研究的靈感來源。Hinton則以Hopfield網路為基礎，利用統計物理學工具，以不同方式建立了Boltzmann機器網路，能自動學習、辨識資料中的特徵，比如分類圖片，此舉推動了機器學習的重大發展。<a href="https://www.nobelprize.org/prizes/physics/2024/press-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配樂 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta預告影片生成AI模型Movie Gen</strong></span></p> <p>Meta最近揭露AI影片生成模型Meta Movie Gen，可生成高品質的圖片和影片、音效或配樂，效能比OpenAI Sora等先進模型要好。不過，Movie Gen還在開發中，Meta在官方部落格稱其為AI媒體研究的重大突破，具多模態能力，可處理圖片、影像和聲音，開發者輸入文字提示即可產生影片和音訊、編輯現有影片，或是將圖片轉化為影片，克服了生成影片常出現的物件扭曲／模糊、動作不自然、或罕見動作不完整等問題。</p> <p>早在2022年，Meta就發布第一代多模態AI模型Make-A-Scene，能產製影音、圖片和3D動畫，第二代則是基於擴散模型的Llama Image基礎模型，提供更高影音品質及圖片編輯功能。Movie Gen屬於第三代，融合所有模態，是以經授權或公開可用的資料集訓練而成的300億參數Transformer模型。該模型有4個版本，包括影片生成、個人化影片生成、精準影片編輯和聲音生成版本。Meta指出，Movie Gen將成為Meta未來多項新服務的底層引擎，比如明年將用於IG，未來也會整合其他平臺產品。<a href="https://ai.meta.com/research/movie-gen/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-10-12%20at%209_34_03%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Depth Pro </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果新模型1秒內將2D圖片轉為3D</strong></span></p> <p>蘋果日前展示最新視覺模型Depth Pro，能在不使用相機影像情況下，將2D圖片轉化成3D圖，在V100 GPU上0.3秒就完成。Depth Pro是一種零樣本單眼深度估計（Monocular depth estimation）的基礎模型，能在高解析度深度圖片中，加入細節銳利度，成為高品質3D圖像。</p> <p>使用單眼深度估計技術的好處是，可應用於任何類型圖片，還能零樣本訓練出具可量測的深度，能準確重製物件形狀、場景布局。尤其，這種模型預測方法不需要感測器數據，即可準確預測，也能用任何單一圖片來合成想要的圖片。</p> <p>在研究方法上，團隊使用2個視覺Transformer（ViT）模型，包括影像補片編碼器和一個影像編碼器，前者將圖片切成小補片，完成特徵提取、推論圖片像素的深度，後者以上下文訊息提升深度估計的準確性。在後處理階段，團隊以真實和合成資料集來提升量測準確性，以及物件邊界追蹤能力，再加上另一個影像編碼器模型提供的焦距估計，來優化3D圖片生成結果。最後，蘋果也發布Depth Pro模型程式碼和加權值。<a href="https://machinelearning.apple.com/research/depth-pro">（詳全文）</a></p> <p><img alt="" src="https://mlr.cdn-apple.com/media/depth_pro_teaser_5556ec04fe.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>輕量模型Gemini Nano開放測試</strong></span></p> <p>Google最近提供開發工具AI Edge SDK，Android開發者可用來試用Gemini Nano模型，打造各種場景的Android應用。進一步來說，Gemini Nano是Google Gemini系列模型之一，專門針對裝置端任務設計，模型可在裝置端完成所有運算，不需連接雲端伺服器。也就是說，敏感資料可留在裝置，且模型無需網路連線，也能提供完整功能。</p> <p>Gemini Nano適用的場景有智慧回覆、文本改寫、校對或是文件摘要，開發者可透過AI Edge SDK整合，控制輸出隨機性、Top K和回應最大長度等推理參數，來滿足不同應用需求。目前，Google開放給開發者測試的是Gemini Nano 2模型，而且，Google也開發一套Android系統服務AICore，可讓開發者簡單在裝置端執行模型，不必自己發布執行環境、模型和其他元件。<a href="https://android-developers.googleblog.com/2024/10/gemini-nano-experimental-access-available-on-android.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot Labs </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽體驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟發表新Copilot AI服務與功能</strong></span></p> <p>最近，微軟發表AI服務Copilot Labs，內含各種實驗性的新AI功能，首波新功能包括可理解使用者所查看網頁的Copilot Vision、能回答複雜問題的Think Deeper。其中，Copilot Vision是瀏覽器Edge的視覺AI助手，使用者允許，它就能與使用者正在閱讀的網頁互動，或是建議下一步，如摘錄、翻譯、尋找商品等。Think Deeper負責回答複雜問題，如使用者可詢問應該要搬到A城市還是B城市，或詢問哪款汽車最適合使用者的需求。</p> <p>同時，微軟也推出能與使用者語音交流的Copilot Voice、可摘錄新聞或天氣消息的Copilot Daily，其中，Copilot Voice是一個AI語音助理，有4種不同聲音，可在所有支援Copilot的平臺上使用。但該功能目前僅支援英文，只在美國、加拿大、英國、澳洲及紐西蘭等市場推出。Copilot Daily則是Copilot Voice衍生服務之一，使用者可透過Copilot Voice聲音，來唸出新聞與天氣重點。Copilot Voice與Copilot Daily目前皆免費使用。此外，微軟還更新瀏覽體驗，使用者能直接在Microsoft Edge中的網址列，輸入@copilot來啟用Copilot，或輸入Bing generative search來體驗生成式搜尋。<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/10/01/introducing-copilot-labs-and-copilot-vision/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 運算效能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> torchao </span></strong></span></p> <p><span style="font-size:22px;"><strong>可大幅改進AI模型運算效能！PyTorch釋出torchao函式庫</strong></span></p> <p>PyTorch最近發布全新原生函式庫torchao，透過低精度資料型態、量化和稀疏性技術，減少模型的計算成本和記憶體使用量，讓模型執行更有效率。torchao提供一套容易上手的工具組，支援多種模型推論和訓練最佳化方法，可廣泛用於PyTorch模型，LLaMA 3和Diffusion模型的效能都顯著提升。</p> <p>低精度資料型態是torchao加速的關鍵之一，該工具支援float8、int4等低精度資料型態，能有效減少計算成本和記憶體使用需求，像是在LLaMA 3 70B模型預訓練中，torchao提供了float8訓練流程，可將模型運算加速達1.5倍。在推論方面，torchao提供多種量化方式，包括權重量化和動態啟動量化。使用者可透過API自行選擇適合的量化策略，來達到最佳推論效能。稀疏性技術也是torchao提升模型效率的重要手段，有了稀疏性，torchao可最佳化模型參數計算，降低不必要的運算耗能。<a href="https://pytorch.org/blog/pytorch-native-architecture-optimization/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NVLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia開源媲美GPT-4o的多模態模型NVLM 1.0</strong></span></p> <p>Nvidia在上個月發表多模態大型語言模型NVLM 1.0，號稱能與封閉的GPT-4o或開源的Llama 3-V 405B、InternVL 2等模型媲美，最近則開源NVLM 1.0模型權重，接下來還會提供基於Megatron-Core框架的程式碼。就NVLM 1.0模型設計來說，Nvidia先是比較解碼器架構模型，也採用交叉注意力機制模型，根據其優缺點提出一種全新架構，來提升訓練效率和多模態推論能力。</p> <p>NVLM 1.0 72B在許多基準測試上雖然不是最突出，但在視覺語言及純文字任務上，都與Llama 3-V、GPT-4o、Claude 3.5 Sonnet和Gemini 1.5 Pro等模型相當，尤其在衡量光學字元辨識能力的OCRBench、自然圖像理解能力的VQAv2基準測試表現優異。NVLM 1.0 72B的指令遵循能力也不錯，且由於結合了OCR、推論、定位、常識、世界知識與程式碼撰寫等能力，綜合理解能力也更強大。<a href="https://nvlm-project.github.io/">（詳全文）</a></p> <p><img alt="" src="https://nvlm-project.github.io/jensen_v3.png" /></p> <p>圖片來源／蘋果、Meta、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI釋出更快的語音辨識模型Whisper large-v3-turbo</strong></p> <p><strong>2. <a href="https://github.com/Doriandarko/o1-engineer?utm_campaign=Data%20Points&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8Oit_bI2dCPM_umZ2otE05qE4G9L4xQVx4OffZa2O5oYfMHgxeiP1Dl8lk-B0SrQg4FUS8">O1-engineer程式碼撰寫工具在GitHub上開源，以OpenAI API驅動</a></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/11 18:28作者王若樸https://www.ithome.com.tw/news/165461
美國政府考慮提議拆分Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院8月判決Google在搜尋及廣告市場有壟斷行為，而提告的美國政府提議多項修正措施，包括拆分這家網路及軟體巨擘。</p> <p>哥倫比亞特區聯邦地方法官Amit P. Mehta 8月針對司法部及美國數州對Google提起的線上搜尋及搜尋廣告市場的壟斷官司，<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>Google具有壟斷行為（monopolist）。本周法院公布33頁由<a href="https://www.documentcloud.org/documents/25196894-doj-filing-re-google-antitrust-remedies" target="_blank">美國司法部提交文件</a>，針對Google以營收共享、集中用戶使用資料、搜尋第三方網站內容以進行AI訓練等手段擴大搜尋優勢，以及壟斷搜尋廣告的行為，提議多種矯治措施的框架。</p> <p>其中，為了防範Google藉由營收共享給裝置或瀏覽器業者獨享用戶平臺，司法部的提議小至要求Google告知用戶選擇權利、禁止使用預安裝或預設合約使Google成為預設搜尋，大到以行為和結構式手段，禁止Google利用Chrome、Play、Android等產品偏袒Google搜尋及相關功能如AI。結構層面的矯治意謂著要讓Google出售這些業務。</p> <p>在其他矯治手段方面，司法部希望能迫使Google在不影響用戶隱私下，透過API開放Google搜尋的索引、feeds、模型，以及Google行動版搜尋結果、功能及底層排序信號給競爭者。</p> <p>其次，由於Google使用第三方內容訓練AI演算法方面，美國政府要求Google允許第三方網站退出（opt-out）其資料擷取，並禁止Google和內容網站簽定排除其他AI業者的合約．</p> <p>最後，美國政府認為，Google透過強大的演算法和廣告平臺控制了大部分的搜尋廣告投放。因此司法部要求Google改變或取消一些使廣告主依賴Google的限制性條款，並要求Google提高廣告投放的透明度，確保其他廣告平臺的公平競爭權。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-framework/" target="_blank">Google回應</a>，美國司法部的提議框架，遠超過本案法律議題。而且其提議諸多不合理。包括要求Google分享資料才會危及用戶隱私，而限制Google AI技術，正是在AI發展關鍵期傷害美國創新能力。Google也聲稱其在搜尋廣告市場的優勢是因為其技術創新和用戶信任，而不是不公平競爭或壟斷行為，而市場上有多個其他搜尋引擎和廣告平臺，這表明市場並非完全被其壟斷。</p> <p>針對拆分Chrome、Android部門，Google表示，兩者合併運行，才能讓使用者免費使用，而且安全，可快速連網，拆分兩者將破壞這商業模式，提升用戶裝置成本、並減弱Android和Google Play對抗蘋果iPhone/App Store的能力。</p> </div></div></div>
2024/10/10 15:54作者林妍溱https://www.ithome.com.tw/news/165427
【資安日報】10月9日，零信任之父第一手導讀零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安威脅與日俱增，零信任架構成為最近幾年的熱門話題。但究竟什麼是零信任架構？在14年前提出此戰略理念的零信任之父John Kindervag，日前在國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇發表演說，指出其核心理念就是「拒絕信任」。</p> <p>他以美國特勤局保護總統的策略來比喻零信任架構，揭示零信任3個核心理念的關鍵要素，企業組織也應該依循這樣的策略，保護資料及網路環境的資產。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=211109&SPOKE_DATE=20241007&COMPANY_ID=3661"><strong style="font-size: 22px;">半導體IC設計業者世芯電子網站遭遇DDoS攻擊</strong></a></p> <p>10月7日上市半導體IC設計公司世芯電子（世芯-KY）在股市公開觀測站發布重大訊息，表示他們的網站受到DDoS攻擊，事發當下立即啟動相關防禦機制，後續網站已恢復正常運作。</p> <p>他們也對這起資安事故可能會造成的衝擊提出說明，根據初步評估，該公司目前無個資或內部檔案外洩情況，對公司營運無重大影響。而對於未來的防護機制改善，世芯表示現行的資安防護機制已足以因應相關攻擊，他們日後將持續密切監控來因應。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180811&SPOKE_DATE=20241007&COMPANY_ID=3057"><strong style="font-size: 22px;">儲存設備業者喬鼎資訊發布重大訊息，證實遭遇網路攻擊</strong></a></p> <p>本週一（7日）晚間上市儲存設備業者喬鼎資訊於股市公開觀測站發布重大訊息，他們表明遭遇網路攻擊，察覺此起事故後，隨即啟動防護機制，並對受害主機進行隔離。</p> <p>根據他們初步的評估，此事故對於公司營運無重大影響。在這份公告當中，喬鼎並未交代遭遇的資安事故類型、被攻擊的IT基礎設施與原因。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165405"><strong style="font-size: 22px;">微軟發布10月例行更新，修補5個零時差漏洞</strong></a></p> <p>10月8日微軟發布本月例行更新（Patch Tuesday），總共修補117個漏洞，較上個月79個多出不少，也是今年第3次公告超過100個漏洞的情況，其中包含7個權限提升漏洞、7個安全功能繞過漏洞、43個遠端程式碼執行（RCE）漏洞、6個資訊洩漏洞、26個阻斷服務（DoS）漏洞，以及7個能用於欺騙的漏洞。縱觀上述資安弱點，有5個是已被公開的零時差漏洞，而有2個出現實際被利用的情況。</p> <p>這些零時差漏洞分別是：Winlogon權限提升漏洞CVE-2024-43583、MSHTML平臺欺騙漏洞CVE-2024-43573、微軟管理主控臺（MMC）遠端程式碼執行漏洞CVE-2024-43572、Hyper-V安全功能繞過功能繞過漏洞CVE-2024-20659，以及Curl遠端程式碼執行漏洞CVE-2024-6197，CVSS風險評分介於8.8至6.5。</p> <p><a href="https://www.ithome.com.tw/news/165408"><strong style="font-size: 22px;">Ivanti雲端服務設備CSA修補3個零時差漏洞，已出現濫用活動</strong></a></p> <p>Ivanti針對旗下5款產品發布10月份安全性更新，修補資安漏洞。</p> <p>其中最值得留意的是雲端服務應用平臺Cloud Services Appliance（CSA），因為該公司這次公布的3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已出現部分用戶的系統遭遇漏洞濫用活動。</p> <p>對於這些漏洞遭到利用的情形，該公司指出是執行4.6版（並套用patch 518之前的修補程式）及舊版CSA的用戶遭到鎖定，而且，駭客不光利用上述的漏洞，還串連上個月19日公布的另一個路徑穿越漏洞CVE-2024-8963，CVSS風險評分達到9.4。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html">SAP發布10月例行更新，修補BusinessObjects重大漏洞</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cert-portal.siemens.com/productcert/html/ssa-850560.html">西門子電力監控設備存在重大漏洞，攻擊者有機會輕易得到管理權限</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/okta-fixes-sign-on-policy-bypass-vulnerability/">Okta修補能繞過登入政策的資安漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cacti-network-monitoring-tool-patches-security-flaws-including-rce-vulnerability/">網路監控工具Cacti發布緊急更新，緩解RCE、XSS漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-zero-day-automotive-systems-vulnerabilities-exposed/">車輛電子控制元件ECU存在嚴重漏洞，駭客有可能藉此掌控</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165397"><strong style="font-size: 22px;">零信任之父親臨SEMICON Taiwan 2024，親自導讀零信任架構</strong></a></p> <p>隨著網路安全威脅日益嚴峻，全球政府機構和企業正積極尋求創新方法來保護其數位與實體資產。在這一背景下，零信任架構（Zero Trust）逐漸成為最具影響力的安全戰略之一。全球率先針對零信任架構的提出者、也是現任Illumio傳道士John Kindervag，日前於國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇，這是他二度訪臺並公開發表演說，也揭露並分享對網路戰爭及零信任架構的深刻見解。</p> <p>零信任在全球資安是顯學，從最初問世至今也已超過14年，但許多人雖然知道這個概念，但在實際宣導與推動仍有落差，John Kindervag這次來臺演講也特別提到4大常見謬誤，提醒大家應正確認識零信任架構。</p> <p>舉例來說，John Kindervag發現：「很多人將零信任與多因素身分驗證（MFA）混為一談，或者認為它只是VPN的替代技術，這是錯誤的觀念。」他進一步解釋，零信任其實是一種戰略理念，能夠適用於任何組織，防止資料洩露並降低網路攻擊的成功率。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165357"><strong style="font-size: 22px;">Google開始釋出安卓裝置的防盜功能</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1007-android theft protection-image by Mishaal Rahman.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 300px; float: right;" /></a>科技記者Mishaal Rahman發現，Google於今年5月發表的安卓裝置防盜功能，已開始向美國用戶釋出，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等，該公司預計今年內陸續推送給執行Android 10以上版本的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月7日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165334"><strong>【10月4日】假借提供AI脫衣程式為誘餌，駭客企圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165282"><strong>【10月1日】駭客組織Storm-0501將攻擊範圍延伸到雲端環境</strong></a></p> </div></div></div>
2024/10/9 16:16作者周峻佑https://www.ithome.com.tw/news/165409
卡巴斯基證實關閉英國辦公室，裁員數十人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在撤出美國市場3個月後，Techcrunch<a href="https://techcrunch.com/2024/10/08/kasperksy-says-its-closing-down-its-uk-office-and-laying-off-dozens/" target="_blank">報導</a>，卡巴斯基計畫關閉英國分公司並裁減數十名員工。</p> <p>卡巴斯基英國分公司向媒體證實將結束運作，並把業務轉給合作夥伴。該公司表示此舉可讓他們「更有效管理英國的業務機會，強化整體業務活力」，並說客戶和合作夥伴都能通暢聯繫其歐洲團隊，以及合作夥伴網路。</p> <p>卡巴斯基倫敦辦公室有少於50名的員工。</p> <p>這是這家防毒業者繼7月退出美國市場後，第二個撤收業務的西方國家。美國指控卡巴斯基威脅國安，下令終止銷售。之後卡巴斯基將美國客戶<a href="https://www.ithome.com.tw/news/164886" target="_blank">轉給</a>了當地業者UltraAV。</p> <p>此後是一連串令用戶挫折的事。雖然已發出通知，但9月初卡巴斯基自我刪除並在用戶電腦上安裝了UltraAV，仍引發用戶抱怨未經同意擅自行動。另外，雖然還是有用戶想在Android上使用卡巴斯基防毒，無奈Google疑似下了殺手鐧，將之從Google Play Store<a href="https://www.ithome.com.tw/news/165348" target="_blank">下架</a>。</p> </div></div></div>
2024/10/9 13:41作者林妍溱https://www.ithome.com.tw/news/165403
美國法官要求Google Play開放第三方程式市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲開發商Epic Games在2020年因於《要塞英雄》（Fortnite）行動遊戲中嵌入自家的付費機制，遭到蘋果與Google下架，使得Epic Games同時<a href="https://www.ithome.com.tw/news/139405" target="_blank">狀告</a>蘋果與Google，然而，美國法官James Donato本周一（10/8）要求Google自今年11月1日到2027年的11月1日的3年之間，不得限制行動程式的支付方式，也必須開放競爭的應用程式市集於Google Play上架。Google則已決定要提出<a href="https://blog.google/outreach-initiatives/public-policy/epic-games-verdict-appeal/" target="_blank">上訴</a>。</p> <p>法官認為Google Play非法壟斷市場，因此，對Google的要求還包括允許開發者提供自Google Play之外下載程式的方法，明示各種支付方式，亦要求Google不得利誘開發者以讓他們獨家於Google Play中發布程式，不得利誘裝置製造商以預裝Google Play，也不得採取其它杯葛競爭對手的作法。</p> <p>Epic Games創辦人暨執行長Tim Sweeney很快就透過X<a href="https://x.com/TimSweeneyEpic/status/1843394692551192972" target="_blank">宣布</a>，Epic Games Store與其它應用程式商店將在2025年登上美國的Google Play Store，而且屆時將不再有來自Google的恐怖監管，也不再需要支付30%的程式稅賦。</p> <p>Google也在判決出爐的同一天便決定要上訴。Google強調，Google與蘋果是競爭對手，Android與iOS也是，它們之間的競爭非常激烈，法官的判決將削弱Android與iOS的競爭能力。Google試圖解釋Android並不是一個獨立的市場，更遑論非法壟斷，此外，相較於封閉的iOS，Android更為開放，市場亦也有眾多的程式市集。</p> <p>在提出上訴的同時，Google也要求法院暫停實施相關的補救措施。</p> <p>Google的大動作不難理解，因為Epic Games同時控告了蘋果與Google，但針對蘋果的判決在2021年就<a href="https://www.ithome.com.tw/news/146681" target="_blank">出爐</a>了，當時法官Yvonne Gonzalez Rogers認為蘋果並未壟斷，只要求蘋果開放第三方支付，而且不管是使用蘋果或第三方支付的開發者都一樣要提供銷售佣金予蘋果，外界認為蘋果在這場官司中並沒有輸。</p> <p>然而，法官對Google的要求卻可能永遠改變Android程式市集的生態。判決出爐的當天，Google母公司Alphabet的股價下滑了2.47%，以164.39美元作收。</p> </div></div></div>
2024/10/8 11:08作者陳曉莉https://www.ithome.com.tw/news/165381
Martech雙周報第62期：Saleforce推出SDR和業務教練代理人，能與潛在客戶互動並協助業務實戰演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0922~1005)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #SDR代理 #AI業務教練</span></span></strong><br /> <strong>Saleforce推出能與潛在客戶互動並協助業務實戰演練的AI代理人</strong></p> <p><a href="https://www.salesforce.com/news/stories/einstein-sales-agents-announcement/">Salesforce推出2種新型生成式AI代理人，業務開發專員（SDR）和業務教練，</a>預計於10月正式上線。這兩個AI代理人都是利用Salesfroce新推出的Low-code AI代理人建置平臺<a href="https://www.salesforce.com/ap/agentforce/">Agentforce</a>打造而成，利用RAG技術，它們會依據業務人員上傳的內部資料來生成回答及執行任務。這些資料包含產品規格、企業Q&A、過往業務案例、客戶檔案等。</p> <p>AI SDR可以操作Email或通訊軟體，來回答潛在客戶的產品問題、應對拒絕、篩選潛在客戶價值，以及替業務約談潛在客戶。業務可以調整AI SDR處理的案件類型和涉及金額。AI SDR處理到一定階段，會將相關資訊彙報給業務，由後者接手。業務可以透過儀表板來追蹤不同SDR代理人的案件處理情況、KPI等指標，來調整SDR設定或提前接手案件。</p> <p>AI業務教練則是可以模擬業務將洽談的潛在客戶，讓業務先實戰演練。業務教練會用文字轉語音功能，和業務實際問答。對談結束後，則會分析業務表現，給予建議。業務主管還能透過儀表板，來觀察底下業務與AI業務教練互動，是否能有效提升客戶開發成功率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行動裝置廣告 #行銷成效追蹤 #隱私權沙盒</span></span></strong><br /> <strong>Appsflyer推出利用Android隱私權沙盒來追蹤行銷成效的服務，以期降低對GAID的依賴</strong></p> <p>行銷數據分析大廠AppsFlyer利用Android隱私權沙盒的Attribution Reporting API技術，打造追蹤行銷成效的新服務。目前Unity的開發平臺及廣告服務Unity Ads已經支援這項服務。</p> <p>Appsflyer解釋，他們確信Google未來會因為隱私等理由而停用追蹤個別裝置的Google廣告ID（GAID）──蘋果幾年前的ATT政策就是禁止App追蹤個別iOS裝置，造成行銷追蹤斷點。為避免歷史重演，他們才在GAID正式宣布退場前，提早擁抱Google官方推出的替代追蹤方案，來降低自家客戶對GAID依賴度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #追蹤標準 #實體門市廣告</span></span></strong><br /> <strong>IAB推出RMN線下廣告的建議格式和追蹤標準</strong></p> <p><a href="https://www.iab.com/guidelines/in-store-retail-media/">美國互動廣告協會（IAB）及歐洲互動廣告協會（IAB Europe）針對RMN線下廣告推出建議格式和追蹤標準。</a>這份標準包括4大要素：術語定義、格式、店鋪區域定義及衡量標準。</p> <p>術語定義是針對店內數位零售媒體元素，提供明確定義與說明。格式指店內廣告的建議格式。店鋪區域定義了店內可投放廣告的主要區域分類，如入口處、結帳區、走道。衡量標準則是追蹤及分析各種店內廣告成效的建議方針。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI投廣 #GoogleAds</span></span></strong><br /> <strong>Google新推出多種AI廣告投放、素材生成及成效追蹤功能</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-ads-ai-features-update-september-2024/">Google宣布推出多項AI及生成式AI功能，用於廣告投放、素材生成及行銷成效追蹤。</a></p> <p>首先，協助廣告主製作搜尋廣告素材的聊天機器人，將開始支援德語、法語及西語。</p> <p>生成式AI圖片製作與編輯工具也有更新，將能用於搜尋廣告、Demand Gen廣告、App廣告和展示型廣告，過往此功能只能用於AI廣告代投服務Performance Max。此功能還新增了更多限定生成方向的選項。廣告主能提供最多五張參考圖片及一段提示文字，來一定程度限定AI生成方向。Perfomance Max的圖片製作工具中，廣告主還可以上傳自家Logo並指定AI生成素材的字體、用色，以維持廣告素材的視覺調性。圖片生成工具將新支援德語、法語、西語、葡語、荷語及義語。</p> <p>Google還新增了許多行銷成效追蹤及優化建議功能。其一是個別素材等級的轉換率追蹤功能，廣告主能看到不同素材的行銷成效，以及AI對素材的優化建議，例如「增加2行廣告標題」。Google還將Performance Max原本的廣告洞察、解釋及建議報表整合到同一個介面，來降低廣告主來回看不同報表的需求。</p> <p>其他Performance Max新功能還包括，廣告主可以比較自己和競爭品牌在廣告曝光的比例，以及排除負面關鍵字的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI購物助理 #RMN #搜尋廣告</span></span></strong><br /> <strong>Amazon開始在自家AI購物助理Rufus植入廣告版面</strong></p> <p>在正式推出購物助理聊天機器人Rufus不久後，<a href="https://advertising.amazon.com/API/docs/en-us/release-notes/index#awareness-sponsored-ads-may-begin-appearing-in-rufus-related-placements">Amazon即宣布</a>，開始<s>將於此服務介面</s>植入廣告版面。Amazon說明，根據與顧客的對話情境，Rufus可能會展示廣告主的行銷素材，並生成相關文字描述。目前，廣告主拿到的行銷成效報表仍不會包含在Rufus曝光的廣告，Amazon也沒有特別說明在Rufus曝光是否需要收費。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#TEE #數據隱私 #第一方數據 #機密運算</span></span></strong><br /> <strong>Google Ads將預設於可信任執行環境執行受眾匹配及行銷成效追蹤</strong></p> <p><a href="https://blog.google/products/ads-commerce/google-confidential-matching-data-privacy/">Google宣布將改用可信任執行環境（TEE）作為行銷成效追蹤及受眾匹配的預設環境。</a>他們推出了一個名為機密匹配（Confidential Matchng）的機制，做法類似於數據無塵室（DCR），可以在TEE中比對廣告主第一方資料及Google廣告資料，並輸出匹配後數據，用於行銷成效追蹤或受眾圈選。過往Google Ads的受眾數據圈選功能Customer Match，也會以機密匹配機制為預設處理方法。</p> <p>這些功能和改動都會自動生效，廣告主不需額外付費，不需要調整廣告設定。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自動化行銷 #AI代理人</span></span></strong><br /> <strong>HubSpot推出AI行銷解決方案Breeze，用生成式AI強化自動化行銷、素材生成與編輯、B2B業務和B2C客服</strong></p> <p><a href="https://www.hubspot.com/products/artificial-intelligence#below-header-breeze_wf_header_splash">CRM巨頭HubSpot推出AI行銷解決方案Breeze，用於強化行銷、素材生成與編輯、B2B業務和B2C客服。</a></p> <p>其中一個重要功能是Breeze Copilot<s>，一個</s>聊天機器人，可以用來提供行銷、業務和客服的相關建議，並自動化完成相關文書作業。</p> <p>另一個重要功能是各式AI代理人（這是一項功能？各式AI代理人是這項功能的名稱？），涵蓋內容生成、社群媒體、客戶開發及顧客服務等領域。這些代理人可以自動規畫、執行相關領域的作業，例如生成社群媒體圖文、聯絡潛在客戶、甚至是生成Podcast節目。</p> <p>其他功能還包括各式圖文創作發想及編輯、知識管理、報表生成等，超過80種用AI支援的行銷相關功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒 #行銷成效追蹤</span></span></strong><br /> <strong>隱私權沙盒的Protected Audience API迎來3項更新，用來強化行銷成效追蹤</strong></p> <p><a href="https://privacysandbox.com/news/upcoming-privacy-sandbox-developments/">Google用於追蹤瀏覽器行銷成效的隱私權沙盒系列技術之一，Protected Audience API，迎來3個更新，用以強化成效追蹤。</a></p> <p>第一是新增版面交易ID和版面ID欄位。行銷業界除了程序化廣告交易，還有特殊版面交易活動，由廣告主和版位提供商私下交易特定廣告版位。新增兩個新ID維度，是為了追蹤行銷成效時，能進一步區分一般版面和這些特殊版面。</p> <p>第二是新增點擊次數欄位，作為使用者與廣告素材互動踴躍度的指標<span style="color:#000000;">。這個欄位不會包含使用者事件等級數據，而是對廣告的點擊總次數</span>，以避免暴露過多使用者相關資訊。另外，興趣組別（Interest Group）有效期限<s>，</s>從30天延長到90天，以利購買周期較長的產業追蹤行銷成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://business.pinterest.com/pinterest-performance-plus/">Pinterest推出新廣告服務Performance+，包含生成式AI素材製作工具及多種程序化廣告投放選項</a></p> <p>2. 短影音巨頭<a href="https://www.tiktok.com/business/en-US/blog/introducing-search-ads-campaign?ab_version=experiment_2&agp_template_id=7400238737994547218">Tiktok推出搜尋廣告服務</a></p> <p>3. <a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-image-generator-adds-aspect-ratio-capability">Amazon推出可以根據不同尺寸版型生成專屬圖片素材的AI圖片生成工具</a></p> <p>4. 臺灣Martech廠商<a href="https://www.ithome.com.tw/pr/165145">Migo Data Solutions推出針對OMO品牌的數據整合平臺，以期加速企業將數據投入到行銷的效率</a></p> <p>5. <a href="https://advertising.roku.com/solutions/advertise/ads-manager">CTV巨頭Roku推出自助式廣告投放平臺，可以一站式投放廣告到多家串流服務提供者</a></p> <p>6. <a href="https://support.google.com/google-ads/answer/2464964?hl=zh-Hant">Google將停用成本效益管理系統（eCPC），明年3月底所有eCPC將自動改為手動調整CPC投放選項</a></p> <p>7. <a href="https://blog.google/products/ads-commerce/video-action-campaigns-demand-gen-upgrade/">Google明年Q2將合併影片行動廣告（Video action campaign）到需求開發廣告（Demand Gen）格式</a></p> <p>8. <a href="https://www.salesforce.com/news/stories/industries-ai-announcement/">Salesforce針對15個產業、100個以上行銷場景</a>推出AI輔助功能</p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Salesforce</p> <p></p> </div></div></div>
2024/10/7 11:18作者郭又華https://www.ithome.com.tw/news/165343
Google開始釋出Android的防盜功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技記者Mishaal Rahman本周<a href="https://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank">發現</a>，Google已開始向美國Android用戶釋出Android裝置的防盜功能，包括防盜鎖（Theft Detection Lock）、離線裝置鎖定（Offline Device Lock），以及遠端鎖定（Remote Lock）等。</p> <p class="rtecenter"><a href="http://www.threads.net/@mishaal_rahman/post/DAubWdwNnCI?xmt=AQGzkQsNKeqEllWKjQk-DzdncqzHfLkHNnb11KOqFx9j-uQ" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-android%20theft%20protection-image%20by%20Mishaal%20Rahman.jpg" style="width: 600px;" /></a></p> <p>Google是在今年5月<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">發表</a>Android裝置的防盜功能，包括提高裝置重置門檻，隱藏裝置上的敏感應用程式、強化身分驗證機制、防盜鎖、離線裝置鎖定及遠端鎖定等，預計於今年陸續支援採用Android 10以上的裝置。</p> <p>其中，防盜鎖是透過Google AI 來感應是否有人從使用者手中搶走手機並試圖快速離開，如果偵測到竊盜常見的動作，就會快速鎖定螢幕。倘若小偷試圖長時間切關手機的網路，就算是在手機沒電且關機的狀態下，螢幕也會自動鎖定。</p> <p>此外，雖然Google的Find My Device已允許使用者自遠端鎖定或刪除被竊手機的資料，但若使用者一時忘記自己的Google帳號及密碼，還是能夠藉由自己的電話號碼來鎖定手機螢幕，以及利用其它設備執行安全挑戰來存取Find My Device。</p> </div></div></div>
2024/10/7 10:27作者陳曉莉https://www.ithome.com.tw/news/165357
Google Play Store可能已移除卡巴斯基
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基在從美國市場撤出後，可能已遭Google從Play Store上移除。</p> <p>日前用戶<a href="https://forum.kaspersky.com/topic/is-kaspersky-blocked-removed-from-google-play-50791/" target="_blank">發現</a>無法從Google Play Store下載卡巴斯基防毒軟體，但是蘋果App Store則仍能下載這家俄國公司的防毒軟體。上周卡巴斯基<a href="https://forum.kaspersky.com/topic/is-kaspersky-blocked-removed-from-google-play-50791/#comment-188037" target="_blank">證實此事</a>。</p> <p>該公司說正在調查原因，卡巴斯基強調在所有平臺上架的產品都是一樣的，建議用戶轉向其他Android應用程式市集平臺，包括三星Galaxy Store、華為的Huawei AppGallery及小米的Xiaomi GetApps等。此外，用戶也可從卡巴斯基官網<a href="https://support.kaspersky.com/common/beforeinstall/16085#block1" target="_blank">下載.apk檔</a>安裝。</p> <p>這可能和卡巴斯基被迫撤出美國市場有關。卡巴斯基6月份被美國商務部以威脅國家安全為由，下令停止在美銷售產品後，7月宣布關閉美國分公司，退出當地市場。上個月卡巴斯基<a href="https://www.ithome.com.tw/news/164886" target="_blank">通知美國用戶</a>，當地訂閱用戶使用的防毒軟體將改成名為UltraAV的產品。</p> <p>雖然卡巴斯基方面已通知用戶，但仍然有大批用戶在9月23日才驚訝地<a href="https://techcrunch.com/2024/09/23/some-kaspersky-customers-receive-surprise-forced-update-to-new-antivirus-software/" target="_blank">發現</a>防毒軟體一夕之間變成了UltraAV。報導<a href="https://cybernews.com/news/kaspersky-users-shocked-by-automatic-antivirus-replacement/" target="_blank">指出</a>用戶電腦中的卡巴斯軟體自我刪除後，自動被安裝了美國業者Pango子公司UltraAV的軟體。一名美國前網路安全官員暨資安專家<a href="https://twitter.com/RGB_Lights/status/1838225276045529336" target="_blank">表示</a>這就是將電腦根存取權限交給卡巴斯基具有高風險的明證。</p> </div></div></div>
2024/10/5 19:45作者林妍溱https://www.ithome.com.tw/news/165348
輕量模型Gemini Nano開放測試，助Android裝置實現智慧化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/10/gemini-nano-experimental-access-available-on-android.html" target="_blank">開放Android開發者試用Gemini Nano</a>，該款模型可以在裝置上執行高效語言任務，且同時具備資料隱私、離線運作和成本效益等優勢。開發者可以透過Google提供的開發工具AI Edge SDK，簡單地在應用程式中整合模型，並自訂推理參數應用於多種場景。</p> <p>隨著人工智慧技術的發展，行動裝置上的智慧功能變得越來越重要，而Google藉由開放Gemini Nano模型，讓開發者在Android應用上也能提供類似Apple Intelligence的智慧化體驗。Gemini Nano早已經被用於多款Google應用程式，諸如Pixel截圖、Talkback和Recorder等，現在開放開發者實驗性存取。</p> <p>Gemini Nano是Google Gemini模型家族的成員之一，專門針對裝置端任務設計，可提供靈活且高效的智慧功能。Gemini Nano會在裝置端進行推理，也就是所有運算都會在裝置本地完成，不需要連接雲端伺服器，其優點在於敏感資料可以留存在裝置，增強了資料隱私性，其次是Gemini Nano無需網路連線也能提供完整功能，而這提升了使用體驗，此外，每次推理也不會產生額外的費用。</p> <p>由於裝置端生成式人工智慧模型，在較雲端伺服器運算能力低的裝置上運作，加上模型本身較雲端版本更小更具針對性，因此Gemini Nano模型適合執行更為明確任務，而非像是聊天機器人等開放式用例。</p> <p>Gemini Nano適用多種應用場景，包括智慧回覆、文本改寫、校對抑或是文件摘要。開發者可以透過AI Edge SDK進行整合，並控制諸如輸出隨機性、Top K和回應最大長度等推理參數，以滿足不同應用需求。</p> <p>目前開放給開發者測試的是Gemini Nano 2模型，相較前一代，Nano 2在品質上有明顯提升，雖然規模接近前一代的兩倍，但是Google指出，Nano 2在基準測試和實際應用表現都更為出色，能力甚至可媲美更大型的模型。</p> <p>Google開發了一個稱為AICore的Android系統服務，讓開發者可以簡單在裝置端執行模型，藉由AI Edge SDK與AICore的整合，開發者不需要自己發布執行環境、模型和其他元件，就可以直接執行生成式人工智慧。不過目前Gemini Nano僅支援Pixel 9系列裝置，未來還會擴展至更多設備。</p> </div></div></div>
2024/10/2 19:28作者李建興https://www.ithome.com.tw/news/165297
【資安月報】2024年9月，數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月國內最盛大的活動是國際半導體展，當中的半導體資安最新概況，成為本月主要資安焦點之一，其他重要資安消息中，臺灣政府機關及企業本月遭遇多起網路攻擊，有的是企業組織自己宣布，有的是資安業者公布駭客攻擊手法提到臺灣有企業遭鎖定，我們整理7大焦點，幫助大家快速回顧本月重要新聞。</p> <p><span style="color:#FF0000;"><strong>展示PQC晶片與應用的公版平臺</strong></span></p> <p>資安已成2024國際半導體展重要一環，不論半導體設備合規、工控資安防護，已是這幾年常見的展出重點，特別的是，今年還有後量子資安產業聯盟的最新概況的揭露，例如，工研院秀出可供產業界開發PQC晶片與應用的公版平臺，以及多家業者投入PQC應用發展，由於從晶片設計到硬體設備、韌體、網路通訊等都需要PQC密碼標準的導入，因此協助產業串接驗證數位邏輯設計的發展亦受關注。</p> <p><strong><span style="color: rgb(255, 0, 0);">大規模DDoS攻擊再現</span></strong></p> <p>臺灣至少45個單位與企業遭受DDoS攻擊。過去臺灣遭受大規DDoS攻擊，大家可能都會聯想到是中國駭客組織雖為，像是兩年前美國眾議院議長裴洛西訪臺前後的攻擊事件，這次情況頗令人訝異，因為這次攻擊是親俄駭客NoName057發動，他們並宣稱是不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張。但該組織對於中俄領土的說詞，其實反而吸引更多國際關注，並意識到俄羅斯領地不歸中國、臺灣也是如此的狀況，而其攻擊行動也呈現親俄分子跟隨中國對臺灣政府發動攻擊。</p> <p>另外值得留意的是，該組織相當猖狂，其實不只對臺灣多個政府和企業網站進行DDoS攻擊，在前半個月也以不同藉口持續對多國發動攻擊，包括烏克蘭、捷克、法國等地的政府機關網站。</p> <p><b style="color: rgb(255, 0, 0);">臺灣重大資安事件</b></p> <p>資安業者揭露多起駭客攻擊，其中幾起事件顯示臺灣政府與企業被鎖定，因此引發關注，另有4家上櫃公司揭露遭遇資安事故，涵蓋鋼鐵、半導體、環保與電子零組件業。<br /> <strong>●臺灣無人機製造商遭駭客鎖定。</strong>關於本土軍工產業遭鎖定的消息，近來持續受到關注，特別的是本月又有兩家資安業者揭露臺灣無人機製造商遭鎖定的狀況，一是趨勢科技揭露臺灣衛星及軍事工業今年持續遭鎖定，並指出攻擊者是中國駭客組織TIDrone，另一是Acronis研究人員揭露臺灣無人機業者遭鎖定，並指出攻擊手法包括濫用臺灣企業數位憑證，且可能涉及供應鏈攻擊。<br /> <strong>●臺灣政府機關在7月遭中國駭客Earth Baxia攻擊。</strong>趨勢科技指出其手法是藉由6月下旬GeoServer修補的漏洞取得初始入侵管道，並使用後門程式EagleDoor。<br /> <strong>●多家上櫃公司遭遇網路資安事件。</strong>有公司說明部份伺服器遭受駭客攻擊，例如，知名IC設計業者「創惟科技」，還有3家公司說明部分資訊系統遭受駭客網路攻擊，包括專注於複合螺絲及螺栓製造的「世鎧精密」、專注磁性元件與印刷電路板業務的「松上電子」，以及「崑鼎綠能環保」。</p> <p><font color="#ff0000"><b>殭屍網路威脅生生不息</b></font></p> <p>殭屍網路的威脅態勢不可輕忽，這個月不只是有殭屍網路Quad7最新一波攻擊行動的揭露，還有駭客組織入侵家用路由器來建立自身的物聯網殭屍網路的威脅態勢，要特別注意。繼去年打擊中國駭客Volt Typhoon使用的KV-botnet殭屍網路後，美國司法部今年9月宣布破獲由20萬網路設備組成的殭屍網路Raptor Train，並指出這是由中國駭客組織Flax Typhoon建立，目的是針對臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域展開攻擊。</p> <p><span style="color:#FF0000;"><strong>當心勒索軟體RansomHub</strong></span></p> <p>在勒索軟體威脅方面，有一項消息值得關切，今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月底發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。還可以留意的是，趨勢科技9月底揭露最新研究報告，指出該組織還會利用存在弱點的驅動程式來發動攻擊，並運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用。</p> <p><font color="#ff0000"><b>國家級駭客鎖定東南亞各國</b></font></p> <p>多年來中國駭客組織在網路上頻頻發動攻擊，持續引發資安界的重視，這個月又有許多攻擊行動被揭露，其中突顯亞洲、東南亞政府遭鎖定的情形。例如：<br /> ●思科威脅情報團隊Talos揭露中國駭客DragonRank的最新攻擊行動，主要針對亞洲、歐洲國家而來，並鎖定代管企業網站的IIS伺服器。<br /> ●資安業者Palo Alto Networks揭露中國駭客組織Stately Taurus的最新行動，是鎖定東南亞政府機關從事網路間諜活動。<br /> ●資安業者Sophos揭露中國政府主導的大規模網路間諜攻擊行動Operation Crimson Palace，東南亞政府持續遭鎖定。</p> <p><strong><font color="#ff0000">資安業者更新竟釀災</font></strong></p> <p>關於7月19日CrowdStrike更新引發的全球IT大當機事件，由於後續消息的不斷揭露，我們在9月初的封面故事進行完整回顧，幫助大家了解事件在臺灣與全球的影響，同時也統整出5大層面議題，包括：資安業者部署驗證測試發生的問題，微軟為何開放作業系統核心模式驅動程式使用，IT系統風險過於集中，企業應變能力的狀況，還有開發者寫出越界記憶體讀取的情形，也成為本次事件衍生議題。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164880"><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月2日到9月6日</span></a></strong></h2> <p>在9月第一星期的資安新聞，防護態勢上有兩個重點消息，第一個新聞突顯網際網路BGP路由安全的重要性，先前已有一些國家推動這項議題，像是去年荷蘭政府宣布全面導入RPKI標準，現在美國拿出具體規畫要求聯邦政府實施。至於臺灣，過去幾年TWNIC曾推動RPKI、路由來源驗證等，但後續發展狀況還需要大家關注。</p> <p>第二個新聞是呈現後量子密碼學（PQC）在產業的最新發展態勢，工研院在2024國際半導體展秀出後量子安全晶片公版的設計，而且有多家業者投入PQC應用發展，包括全濠、宇鼎、威宏、智能資安、竣盟科技、池安量子資安等。</p> <p>●美國白宮針對邊界閘道協定（BGP）安全問題，發布強化網路路由安全的藍圖，強調聯邦政府須以身作則，加速對BGP安全措施的採用。<br /> ●2024國際半導體展登場，數發部數產署與臺灣資安業者在「SECPAAS資安館」呈現半導體產業資安最新方案，其中又以PQC公版應用案例的發展最吸睛。</p> <p>關於威脅態勢方面，我們列出下列4大消息，其中法國資安業者開發的紅隊演練工具MacroPack遭濫用值得關注，因為其中有一起攻擊行動範圍涵蓋臺灣，另有兩個新聞與濫用合法雲端服務有關。</p> <p>●紅隊演練工具MacroPack遭多組攻擊者濫用，已發現4起攻擊行動。<br /> ●後門程式Voldemort的攻擊行動被揭露，濫用Google Sheets並假冒美、歐、亞洲稅務機關名義以竊取企業稅務資料。<br /> ●有鎖定M365用戶的攻擊活動在7月暴增，當中濫用微軟雲端簡報服務Sway來引誘受害者上當，並結合QR Code網釣手法。<br /> ●美國司法部宣布扣押俄羅斯用來散布不實言論的網域，以打擊俄羅斯持續操弄美國總統大選的行徑。</p> <p>在資安警訊與事件方面，有4則重要新聞，當中以RansomHub勒索軟體的相關消息最要重視，不僅多個美國政府機關發布聯合公告，揭露其手法與入侵指標，同時傳出美國石油公司Halliburton向美國SEC通報的網路安全事件，也是遭其所駭。</p> <p>●美政府警告半年前現身的RansomHub勒索軟體，受害者已超過210家。<br /> ●美國石油及天然氣業者Halliburton證實內部資料遭到外流<br /> ●英國倫敦交通局證實遭遇網路攻擊，傳出問題出在外部供應商系統。<br /> ●提供思科品牌服裝與配件的思科網路商店遭植入惡意JavaScript，信用卡資料、帳密恐外流。</p> <p>至於漏洞利用消息方面，居易的VigorConnect有兩個2021年修補的已知漏洞：CVE-2021-20123和CVE-2021-20124，用戶要注意是否已進行緩解或更新修補，因為它們近期被美國CISA列入已知漏洞利用清單，此外，上週Chrome零時差漏洞修補有後續消息揭露，指出北韓駭客Citrine Sleet是幕後挖掘漏洞並利用的組織，攻擊行動還利用了另一微軟零時差漏洞，而能在受害電腦作業系統核心植入rootkit程式FudModule。</p> <p>還有一個漏洞修補情形引起硬體安全界的重視，因為Yubico旗下FIDO裝置存在Eucleak弱點，Yubico指出這是英飛凌加密庫中關於ECDSA實作的旁路攻擊漏洞，將導致攻擊者有機會取得ECDSA金鑰。</p> <h2><a href="https://www.ithome.com.tw/news/165029"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月9日到9月13日</span></strong></a></h2> <p>回顧9月第二星期的資安新聞，有3起與臺灣息息相關的事件需要我們密切關注，包括臺灣多達45個單位與企業遭遇DDoS攻擊，以及臺灣無人機製造商被中國駭客鎖定攻擊，且疑似是涉及ERP相關的供應鏈攻擊。</p> <p>（一）中租、兆豐、彰銀以及臺灣證券交易所接連公告遭DDoS攻擊，親俄駭客NoName057宣稱是他們所為，還有多個臺灣政府機關也是這波攻擊目標。<br /> （二）中國駭客組織TIDrone今年不斷攻擊臺灣衛星及軍事工業，資安業者警告這些駭客似乎特別偏好攻擊無人機製造商。<br /> （三）臺灣無人機製造商遭攻擊行動Operation WordDrone鎖定被揭露，研究人員指出駭客使用舊版Word主程式，並關注為何是臺灣無人機產業遇害。</p> <p>關於第一則消息，親俄駭客NoName057近期先針對捷克、法國、烏克蘭的政府機關發動DDoS攻擊，自9月9日開始再針對我國網站攻擊，不僅持續鎖定臺灣政府機關，後續幾波又延伸到財稅單位、官股金融機構及部分企業。關於後續消息，<a href="https://www.facebook.com/moda.gov.tw/posts/523245727188197">數位發展部在周日9月14日召開記者會說明</a>，目前統計45件DDoS攻擊，各機關皆可於短時間內恢復，另指出我國遭受攻擊目標還包括地方稅務機構、區域民航站、主計總處、財金相關機關及部分電信業者等。</p> <p>這起事件不僅考驗國內應對DDoS的防護能力，特別的是，由於該組織宣稱攻擊原因是，不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張，但該組織的說詞反而促使國際社會可以討論俄羅斯領地不歸中國、臺灣也是如此的狀況，並吸引到更多關注。</p> <p>第二與第三則消息有密切關聯，一是趨勢科技研究人員揭露，一是Acronis研究人員揭露，其共通點在於均指出臺灣無人機製造商遭駭客鎖定的狀況，並說明攻擊手法涉及利用Word與ERP軟體，可能涉及供應鏈攻擊情形。特別的是，Acronis還點出受害企業使用的鼎新電腦ERP軟體的程式可能遭竄改，鼎新電腦在Acronis揭露3日後做出回應，指出研究人員所提的「Digiwin」資料夾，實為協助企業服務的連線工具－－鼎新雲管家「DigiwinSCP」，目前已預防性關閉此連線並改用其他工具服務客戶。</p> <p>還有一起國內公司遭駭事件，發生在專注於複合螺絲及螺栓製造的臺灣上櫃公司世鎧精密，他們發布重訊說明公司部分資訊系統遭駭客發動加密攻擊。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe等，在盡速更新修補之餘，有7個漏洞利用情形需要特別重視。<br /> ●微軟修補4個已被用於攻擊行動的零時差漏洞，分別是涉及Windows MOTW的CVE-2024-38217，Windows Installer的CVE-2024-38014，Windows Update的CVE-2024-43491，以及Publisher保護機制的CVE-2024-38226。<br /> ●SonicWall在8月下旬修補的SonicOS重大漏洞CVE-2024-40766，9月初有多家資安業者示警指出已發現針對該漏洞的攻擊行動。<br /> ●有兩個早年的漏洞被美國CISA列入已知利用清單（KEV），分別是2017年Linux Kernel PIE的CVE-2017-1000253，以及開源圖像處理軟體ImageMagick的CVE-2016-3714。</p> <p>在資安事件與威脅態勢方面，國際間有多個重要消息，當中以Fortinet遭駭事故受矚目，該公司在24小時內發出公告證實此事，承認是存放於第三方雲端共享硬碟內的有限檔案遭未經授權存取，並表示該公司的產品及服務未受影響，後續Fortinet臺灣也說明此次事件對臺灣的客戶並未造成任何影響。</p> <p>●有人在Breach Forum論壇發文聲稱入侵Fortinet的Azure SharePoint帳戶並竊取440 GB資料，Fortinet證實第三方雲端共享硬碟出現未經授權存取。<br /> ●法國IT顧問公司Capgemini疑似發生資安事故，有人在駭客論壇公布20GB的資料，涉及該公司檔案、程式碼與客戶資料。<br /> ●卡巴斯基提供移除惡意程式rootkit的工具TDSSKiller，竟遭勒索軟體RansomHub駭客利用此工具來關閉EDR。<br /> ●微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密。<br /> ●中國政府主導的網路間諜行動Operation Crimson Palace被揭露，有3波鎖定東南亞的攻擊行動至少4個駭客組織參與，且其入侵手法會利用公開工具隱匿行蹤。</p> <p>在資安防禦動向上，以國際支付巨擘在資安領域的投入最受關注。由於早年我們經常看到VISA舉辦資安高峰會，公布支付安全的進展，揭露針對交易安全的紅隊攻擊演練，以及併購資安業者等，最近Mastercard也展示他們對資安的重視與投資，不僅在上個月舉行的Black Hat USA 2024大會參展，如今他們更是宣布以26.5億美元併購威脅情報供應商Recorded Future。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165106"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月16日到9月20日</span></strong></a></h2> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括微軟的漏洞（CVE-2020-0618）、Oracle的漏洞（CVE-2022-21445、CVE-2020-14644），以及Adobe的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、Docker、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>特別的是，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>上百萬Android電視機上盒的韌體遭植入後門程式的狀況，亦受不少人關注，是本周資安新聞排行的焦點。研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/165238"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0923~0927，有駭客假冒GitHub站方並以漏洞處理名義發送社交工程詐騙信</span></strong></a></h2> <p>在9月最後一星期的資安新聞中，在威脅態勢上，有兩則鎖定開發人員的網路威脅消息值得關切。</p> <p>一是近期許多GitHub用戶反映收到電子郵件通知，聲稱用戶參與的專案有處理儲存庫的資安漏洞要處理，但該郵件內的連結是指向github-scanner[.]com，這根本不是GitHub的網域，目的就是欺騙不謹慎檢查網域的用戶，另一起是北韓駭客Citrine Sleet於PyPI上傳惡意Python套件，吸引開發人員上當的攻擊活動，研究人員指出很可能是為了發動供應鏈攻擊；還有鎖定雲端挖礦的威脅值得持續留意，有兩起鎖定不同系統的揭露。</p> <p>●駭客網釣佯稱GitHub用戶自己的儲存庫有資安漏洞需要處理，目的是散布竊資軟體Lumma Stealer。<br /> ●北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT。<br /> ●Docker引擎API遭鎖定，有駭客發動大規模挖礦攻擊行動。<br /> ●資安業者針對駭客組織TeamTNT疑似重出江湖提出警告，並揭露近期鎖定CentOS的虛擬專屬伺服器。<br /> ●揭露新的安卓金融木馬Octo2，已發現歐洲國家出現受害裝置</p> <p>在資安事件方面，在國內有3起新聞，都是上櫃公司發布資安事件重大訊息，包含知名IC設計的創惟，以及專注磁性元件與印刷電路板業務的松上，特別的是，松上在資訊揭露上相當主動，於官方網站也有同步發布消息；在國際間則有一起關於水利關鍵基礎遭遇網路攻擊的消息，所幸不影響其服務與用水。</p> <p>●上櫃綠能環保「崑鼎」揭露部分資訊系統遭受駭客攻擊<br /> ●上櫃半導體業「創惟」說明部份伺服器遭受駭客攻擊<br /> ●上櫃電子零組件業「松上」揭露部分資訊系統遭受駭客攻擊<br /> ●美國堪薩斯州供水設施宣布遭遇網路安全事件，被迫切換手動操作因應。</p> <p>在漏洞消息方面，本星期有一個漏洞利用需要優先注意，那就是8月初修補Ivanti的Virtual Traffic Manager漏洞CVE-2024-7593，如今發現已有攻擊者鎖定該漏洞利用。</p> <p>特別的是，本週的重大漏洞修補新聞相當多，有3項涉及開源需儘速檢查因應，包括：圖像化資料分析系統Grafana開發團隊修補軟體開發套件，FreeBSD開發團隊針對Hypervisor元件的修補，資料庫管理工具pgAdmin開發團隊的修補；在產品面也有多個重大漏洞修補發布，需要用戶儘速處理，包括：臺廠Cellopoint針對郵件安全閘道的修補，Pure Storage針對旗下儲存系統FlashArray和FlashBlade的修補，Acronis備份軟體Plug-in程式的修補，以及晶片製造廠商Microchip針對ASF進階軟體框架的修補。</p> <p>另外值得一提，8月初美國CISA警告臺廠陞泰科技（Avtech）旗下視訊監控攝影機AVM1203的重大漏洞被攻擊者散布Mirai變種，時隔近一個月陞泰科技終於回應，指出該產品停產近7年，但他們決定破例提供新版韌體予以修補。</p> <p>在網路威脅防禦的面向，這一星期有兩大焦點，首先，是臺廠網擎資訊在Hello World Dev Conference的一場演說上，解析本土電子郵件系統防禦的演進與挑戰，當中並呼籲國內IT主管需改變思維：「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，這是廠商負責任的態度，勇於及時公布，並且分享情資讓大家趕快更新。</p> <p>另一是Gogolook呼籲企業需負起責任應對網路詐騙，目前全球已有主要國家率先立法因應，包括臺灣、英國、歐盟、美國、新加坡等，也有少數企業已經強烈意識到企業要更主動保護消費者，不僅推動詐騙偵測阻擋及識詐教育，同時將「防詐政策與作為」納入永續報告書。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165169">2024年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <p> </p> </div></div></div>
2024/10/1 17:37作者羅正漢https://www.ithome.com.tw/news/165258
Microsoft Defender for Individuals現可偵測不安全的Wi-Fi網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一（9/30）<a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/keep-your-online-activity-safer-on-public-wi-fi-with-microsoft/ba-p/4251376" target="_blank">宣布</a>，付費的Microsoft Defender for Individuals服務現在已可偵測不安全或可疑的Wi-Fi網路，並提醒使用者，使用者則可在接到通知後，啟用VPN功能來保護連線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-Microsoft%20Defender%20for%20individuals-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Microsoft Defender是微軟所開發的安全服務，它內建在Windows作業系統中，提供基本功能的免費服務，另有許多進階付費服務，如Microsoft Defender XDR、Microsoft Defender for Endpoint或Microsoft Defender for Office 365，而Microsoft Defender for Individuals則為Microsoft 365訂閱服務的功能之一。</p> <p>微軟是在去年<a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/introducing-credit-monitoring-and-privacy-protection-for/ba-p/3931972" target="_blank">開始</a>於Microsoft Defender for Individuals提供VPN服務，但將其稱為隱私保護（Privacy Protection）功能，而且僅適用於Android裝置及美國市場，讓用戶在使用公開Wi-Fi網路時可啟用它來保護隱私，今年4月將它擴展至英國市場，並新增對iOS的支援。</p> <p>而今，此一Microsoft Defender for Individuals的VPN功能同時支援Android、iOS、Windows與macOS裝置，並擴大於德國及加拿大市場推出，很快就會在歐洲、亞洲與拉丁美州市場上線。</p> <p>此外，它還能自動偵測不安全的Wi-Fi網路，像是那些安全加密較薄弱的公共Wi-Fi熱點，也能利用Defender啟發式分析，來檢查可疑的Wi-Fi網路，如訊號強度、加密類型或是連線過程中有否不尋常行為等，在偵測到奇怪網路時就會通知使用者，並建議他們啟用VPN。</p> </div></div></div>
2024/10/1 12:29作者陳曉莉https://www.ithome.com.tw/news/165274
【資安日報】9月26日，macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI的應用當紅，相關應用系統的資安漏洞也隨之引起研究人員關注，本週有研究人員公布存在於ChatGPT的漏洞SpAIware，並指出攻擊者可對使用macOS版應用程式的使用者下手，從而側錄其對話內容。</p> <p>值得留意的是，利用這項弱點的概念性驗證攻擊當中，其實串連了多個環節，其中之一就是ChatGPT的新功能「記憶（Memory）」機制，攻擊者藉此讓所有ChatGPT回覆的資訊都帶有惡意內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165206"><strong style="font-size: 22px;">勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" style="width: 300px; float: right;" /></a></p> <p>為了加密受害電腦檔案，勒索軟體駭客RansomHub會運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，迄今超過210個企業組織受害，而受到資安圈高度關注。但駭客如何運用EDRKillShifter達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，駭客已將EDRKillShifter整合到他們的攻擊鏈，而這個惡意程式之所以能攻入受害者電腦，主要是利用存在弱點的驅動程式，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>值得留意的是，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。</p> <p><a href="https://www.ithome.com.tw/news/165203"><strong style="font-size: 22px;">安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric針對安卓金融木馬Octo2的攻擊行動提出警告，根據他們的研究，該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，而且，為了提高裝置接管（Device Takeover，DTO）攻擊的可用性，攻擊者改良遠端控制功能的穩定性，也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。</p> <p>根據研究人員收集的威脅情報指出，首度出現的Octo2，在義大利、波蘭、摩爾多瓦、匈牙利都有活動跡象，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。之所以這麼做，目的就是要繞過Google從Android 13導入的新防護機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/analysis-pentest-tool-splinter/">駭客利用Rust打造的紅隊演練工具Splinter從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-actor-uses-compromised-accounts-customized-social-engineering">北美交通物流業者遭到鎖定，駭客散布惡意軟體Lumma Stealer、NetSupport</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/transportation-companies-hit-by.html">汽車經銷商AutoCanada傳出遭Hunter International洩露員工資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.bushidotoken.net/2024/09/examining-mobile-threats-from-russia.html">俄羅斯駭客偏好針對安卓、iOS行動裝置下手，從事網路間諜活動、竊取機密及軍事情報</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/technology/mozilla-accused-of-tracking-users-in-firefox-without-consent/">Mozilla基金會傳出透過Firefox隱私功能，未經同意追蹤使用者上網行為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165198"><strong style="font-size: 22px;">macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" style="width: 300px; float: right;" /></a></p> <p>今年2月OpenAI宣布將為ChatGPT提供名為記憶（Memory）的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露名為SpAIware的弱點，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，因此，在macOS版應用程式當中，使用者與AI機器人對話的內容，將會持續傳送到攻擊者的伺服器。OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料而能滲透ChatGPT記憶功能的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。</p> <p><a href="https://www.ithome.com.tw/news/165202"><strong style="font-size: 22px;">資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料</strong></a></p> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布8.12版，當中修補重大層級漏洞CVE-2024-9014，這項漏洞存在8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>細部而言，此項資安弱點的問題出在OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/165142"><strong style="font-size: 22px;">Acronis修補備份軟體Plug-in程式的重大資安漏洞</strong></a></p> <p>資料保護軟體與服務廠商Acronis，於9月16日發布旗下Acronis Backup備份軟體Plug-in程式的更新通報，提醒用戶盡速更新軟體，以修補其中含有的重大資安漏洞CVE-2024-8767。</p> <p>CVE-2024-8767是Acronis評為嚴重性9.9分（滿分10分）的重大漏洞，問題出在Plug-in程式的權限設定不當，可能會讓受影響的伺服器發生敏感資訊外洩的狀況，並讓攻擊者執行未授權的操作。</p> <p>受這個漏洞影響的Acronis Backup備份Plug-in程式，包括搭配cPanel & WHM、Plesk與DirectAdmin等3款Linux平臺主機與網站管理工具的Plug-in程式，這些Plug-in程式的用途是將前述管理工具的資料，備份到Acronis Backup環境中。Acronis建議將搭配cPanel & WHM與Plesk的Plug-in程式，分別更新到1.8.0版，而搭配DirectAdmin的Plug-in則更新到1.2.0版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> </div></div></div>
2024/9/26 17:09作者周峻佑https://www.ithome.com.tw/news/165207
安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric針對<a href="https://www.threatfabric.com/blogs/octo2-european-banks-already-under-attack-by-new-malware-variant">安卓金融木馬Octo2的攻擊行動</a>提出警告，並指出該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，駭客為提高裝置接管（Device Takeover，DTO）攻擊的可用性，他們改良遠端控制功能的穩定性，同時也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。研究人員指出，駭客的目標，其實是將這支金融木馬用於攻擊全球的銀行用戶。</p> <p>研究人員指出，根據他們收集的威脅情報，首度出現的Octo2在義大利、波蘭、摩爾多瓦、匈牙利出現，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。研究人員指出，駭客這麼做的目的，就是為了繞過Google從Android 13導入的新防護機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" style="width: 400px;" /></a></p> <p>研究人員表示，開發該惡意程式的犯罪集團正積極推廣駭客運用，起因是今年發布第一代Octo的原始碼外流，導致有其他駭客開發衍生版本瓜分原本使用Octo的駭客。因此，原開發團隊積極發布新的Octo2，並對該惡意程式持續進行改良，目的就是希望吸引用戶回頭。</p> <p>Octo2主要改進的層面當中，大多集中於遠端控制連線及裝置接管攻擊的程式穩定性，其中一種是能夠藉由減少網路傳輸到C2的資料量，，並降低惡意程式傳送到C2的螢幕截圖品質，而能提高連線的穩定性。</p> <p>但除了上述的運作穩定性，駭客導入更刁鑽的手法來迴避偵測也相當值得留意，新版惡意程式駭客實作更為複雜的混淆機制，其啟動過程必須解密、動態載入額外的本機程式庫，然後密碼有效酬載、產生加密金鑰，以及C2網域名稱，而其中的C2網域名稱，駭客以日期為基礎，打造一種網域名稱生成演算法（DGA），來產生C2伺服器的名稱。</p> </div></div></div>
2024/9/26 16:17作者周峻佑https://www.ithome.com.tw/news/165203
【資安月報】2024年8月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年8月資安新聞，本月適逢Black Hat USA 2024與Def Con大會於美國拉斯維加斯登場，最新漏洞與研究成果揭露的消息不斷，持續引發資安研究人員的重視，還有其他重要資安防護與威脅方面的消息也不能忽視，我們整理6大焦點，幫助大家快速回顧重要資安態勢。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>在一年一度的Black Hat USA大會上，每年都有許多全球頂尖資安研究人員揭露最新的研究成果，今年也不例外，包括臺灣的戴夫寇爾首席資安研究員蔡政達（Orange Tsai），他不僅探索了Apache HTTP Server中存在的架構問題，揭開名為Confusion Attacks的全新攻擊面向。</p> <p>而在關注這些漏洞研究之餘，今年還有一個很特別的重點，由於2024年底適逢美國總統大選，因此本屆Black Hat大會開場主題座談，就是聚焦民主與選舉安全的探討，場中不僅有美國CISA局長Jen Easterly出席，還有歐盟ENISA網路安全與營運長Hans de Vries，以及英國NCSC執行長Felicity Oswald，強調鞏固投票安全機制之餘，新挑戰是面對選舉過程的錯誤訊息的傳播，指出對手更專注在破壞選舉過程的印象，而不是直接入侵選舉過程。換句話說，他們的目的是讓選民感到他們的選票沒有保障。</p> <p><span style="color:#FF0000;"><strong>焦點2：</strong></span>因應日後量子破密威脅所設計的後量子密碼學（PQC）標準，在8月13日有3款標準率先正式出爐。</p> <p>美國NIST指出，在通用加密方面，以FIPS 203（ML-KEM）為主要標準，在數位簽章方面，以FIPS 204為主要標準（ML-DSA），FIPS 205（SLH-DSA）可作為備用方法使用。</p> <p>雖然PQC標準還在持續發展，像是FIPS 206預計在年底發布，並且還在繼續評估其他演算法，但由於全面轉換需要時間，如今這3個PQC標準已經發布，需要更多企業組織意識到：公鑰密碼系統的全面升級與轉換，現在就應該著手準備與進行。</p> <p><span style="color:#FF0000;"><strong>焦點3：</strong></span>趨勢科技在黑帽大會展示深度偽造（Deepfake）偵測技術解決方案受矚目，因為這方面的威脅討論多年，過去我們常看到一些科技大廠發起這方面的偵測競賽，希望大家發展防護技術，如今該公司不僅先釋出提供給一般使用者的工具，也透露這樣的功能將納入其商用解決方案之中。</p> <p>此外，到了8月底，另一家以影音工具聞名的訊連科技在他們的用戶大會上，公開說明已開發出DeepFake深偽偵測工具。這些商用產品的新功能發表，均顯示這方面技術的突破。</p> <p><span style="color:#FF0000;"><strong>焦點4：</strong></span>關於駭客鎖定企業產品的零時差漏洞利用上，這個月有一起重大事件發生，那就是──SASE供應商Versa Networks的產品遭鎖定，導致造成5家ISP網路服務供應商及MSP代管服務供應商受害。</p> <p>這起事件是電信業者Lumen旗下的資安實驗室Black Lotus Labs揭露，指出是中國駭客組織Volt Typhoon發起Versa Director零時差利用攻擊（CVE-2024-39717），並說明其攻擊手法，包括駭客先透過曝露於公開網路的Versa管理埠存取系統，再利用零時差漏洞並部暑一個名為VersaMem的Web Shell，藉此攔截與蒐集憑證，使攻擊者能以經過驗證的用戶身分，存取下游的客戶網路。</p> <p>值得我們注意的是，駭客鎖定企業產品的零時差漏洞利用的狀況日益嚴峻，並有越來越多IT供應商成為目標，Versa Networks這次事件就是最新一例，中國駭客鎖定其產品的零時差漏洞來入侵ISP與MSP業者。</p> <p><span style="color:#FF0000;"><strong>焦點5：</strong></span>在勒索軟體威脅方面，這個月有兩大值得關注的焦點，首先我們看到，Zscaler一份最新報告指出，有勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），也就是不只勒索金額獅子大開口，而且還勒索成功，區塊鏈分析業者Chainalysis也證實此狀況。這樣的態勢，引起這些業者憂心有其他駭客集團仿效。</p> <p>另一是今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。</p> <p><span style="color:#FF0000;"><strong>焦點6：</strong></span>在AI資安方面，近期有不少重要新聞，像是微軟、Nvidia、英特爾及Google等宣布成立安全AI聯盟CoSAI，目標是建立一個協作生態體系，以解決開發者與採用者在確保AI技術安全時，面臨遵循指南與標準不一或各自獨立的狀況。</p> <p>這個月還有一些重要新聞同樣值得關注，例如，今年美國政府正強調AI長的重要性，以負責主導及監督AI技術的使用，並考慮安全及可靠性；在AI安全及可靠性評估的工具方面，美國CISA釋出相關軟體測試平臺Dioptra 1.0版；在產業端有趨勢科技強調用AI做資安風險管理要有新作法，特別的是，他們還預告要用AI幫助計算風險損失金額，並能預測攻擊路徑。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164279"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月29日到8月2日</span></a></strong></h2> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164408"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月5日到8月9日</span></strong></a></h2> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現，並且於臺灣時間周末登場，因此我們在本期資安週報先行整理。例如，<a href="http://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員蔡政達（Orange Tsai）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color: rgb(0, 0, 255);">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業「偉聯科技」在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業「智聯服務」在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164538"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月12日到8月16日</span></strong></a></h2> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於電腦內硬碟帶來更高保護，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164683"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月19日到8月23日</span></strong></a></h2> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164797"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月26日到8月30日</span></strong></a></h2> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來警告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反映了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面，還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <p> </p> <h3> </h3> <p> </p> </div></div></div>
2024/9/24 16:51作者羅正漢https://www.ithome.com.tw/news/165169
【資安週報】2024年9月16日到9月20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括：微軟SQL Server報告服務的漏洞（CVE-2020-0618）、Oracle ADF Faces的漏洞（CVE-2022-21445）、Oracle WebLogic Server的漏洞（CVE-2020-14644），以及Adobe Flash Player的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>此外，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>還有130萬臺Android電視機上盒的韌體遭植入後門程式的揭露，研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165045"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</span></strong></a></h3> <p>上週四（12日）中租控股、兆豐金控、彰化銀行發布重大訊息，證實公司部分網站遭遇DDoS攻擊而面臨服務中斷的情況，臺灣證券交易所同日也傳出受害；親俄駭客組織NoName057、RipperSec聲稱是他們所為，但究竟有多少企業組織受害？數位發展部週末召開記者會提出說明。</p> <p>他們指出這波攻擊行動在10日出現，總共至少有45起攻擊，大部分受害的企業組織皆能快速應變，短時間就能恢復網站運作。</p> <h3><a href="https://www.ithome.com.tw/news/165063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</span></strong></a></h3> <p>AI應用當紅，這類應用系統的漏洞也隨之引起關注。最近有研究人員針對新興AI系統AutoGPT揭露漏洞CVE-2024-6091，這項漏洞源自於過濾可用的Shell命令機制，一旦被利用，攻擊者就有機會執行任意命令。</p> <p>值得留意的是，AutoGPT受到許多開發者關注，迄今已有超過44萬個分叉AutoGPT的軟體程式碼專案，這些專案很有可能也曝露於相關的資安風險。</p> <p><a href="https://www.ithome.com.tw/news/165081"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</span></strong></a></p> <p>針對中小企業、SOHO辦公室、家用網路設備而來的殭屍網路，近期有越來越多的情況，繼我們昨天報導<a href="https://www.ithome.com.tw/news/165059">殭屍網路Quad7最新一波的攻擊行動</a>之後，這幾天美國政府採取取締這類行為的行動，接管由中國駭客組織Flax Typhoon經營的殭屍網路Raptor Train。</p> <p>值得留意的是，這個殭屍網路由超過20個廠牌的網路設備組成，類型涵蓋相當廣泛，包括：數據機、路由器、IP攝影機、網路儲存設備等，遭到操控的連網設備數量也相當可觀。</p> <p><a href="https://www.ithome.com.tw/news/165098"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</span></strong></a></p> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> </div></div></div>
2024/9/23 09:51作者羅正漢https://www.ithome.com.tw/news/165106
Google透過Google Password Manager跨平臺同步Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（9/19）<a href="https://blog.google/technology/safety-security/google-password-manager-passkeys-update-september-2024/" target="_blank">宣布</a>，即日起使用者將可透過Android與Chrome瀏覽器中的Google Password Manager存放通行密鑰（Passkey），並將Passkey同步到不同的平臺上使用，同時也新增了Google Password Manager PIN來保護通行密鑰。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。</p> <p>過去Google只允許使用者將Passkey存放到Android上的Google Password Manager，雖然使用者可以在其它裝置上使用Passkey，但也必須透過Android裝置掃描二維條碼來授權。</p> <p>現在Google則擴大支援，開放使用者把Passkey存放到Chrome瀏覽器中的Google Password Manager，並同步至不同的平臺，包括Windows、macOS與Linux等，ChromeOS也正在測試中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-save%20passkeys%20to%20Google%20Password%20Manager%20on%20desktop-2.png" style="width: 600px;" /></p> <p>此外，為了保護這些Passkey，Google推出新的Google Password Manager PIN，在企圖於新裝置使用這些Passkey時，必須先輸入PIN碼，或是解鎖Android裝置螢幕。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Google%20Password%20Manager-recovery%20pin.png" style="width: 600px;" /></p> <p>有鑑於Google Password Manager同時內建在Android及Chrome瀏覽器上，因此使用者現在就可替常用的應用程式建立Passkey，包括Google、Amazon或PayPal等，並以Passkey進行無密碼登入，而不必再下載額外的程式。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/9/20 13:49作者陳曉莉https://www.ithome.com.tw/news/165093
Walmart生成式AI應用實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 1 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>混用GAI和預測型AI分類商品，靠思維鏈優化提示工程找出高關聯商品組合</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-1.png" style="width: 600px;" /></p> <p><strong>同一件商品，在不同情境下有不同用途。在不同顧客尋找同一件商品時，辨別他們心目中的用途，並呈現出用途相關的商品，是Walmart打造個人化電商體驗的重要一環。不只如此，完善了商品分類數據，也有助於搜尋、推薦、顧客意圖理解，以及發展其他各種會用到商品數據的應用。<br /> 為了做到這件事，Walmart打造了一套多對多商品分類法，利用自家開發的AI工具Ghotok，來配對商品目錄上能看到的主分類（Category），以及商品用途分類（Product Type），並評估兩種分類之間的關聯性，進而決定推薦或搜尋等頁面呈現出的相關商品。<br /> Ghotok同時應用了預測型AI與生成式AI。首先，會用領域專門的預測型AI模型，來評估商品的主分類和哪些用途分類有高關聯性，並記錄高關聯性的「主分類、用途分類」組合。接著，再利用思維鏈（Chain-of-thought）提示工程，讓生成式AI模型進一步從這些組合中找出最具關聯性的少數商品，呈現給顧客。<br /> Walmart有4億商品SKU、上千種主要商品分類和商品用途分類，產生的商品分類組合有上百萬種，數據規模非常龐大。設計商品分類方法時，必須兼具硬體運算成本管控，以及對語意理解的高精確度。這正是為什麼，Ghotok分類分為2個階段，採取先後使用預測型AI和生成式AI。</strong></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 2 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造購物用聊天機器人，靠GAI比價、搜尋，甚至主動追問顧客需求</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-3.png" style="width: 487px;" /></p> <p><strong>除了利用生成式AI來強化搜尋系統分類能力，Walmart還將生成式AI應用於消費者語意理解上。消費者不只可以使用關鍵字來搜尋商品，更可以利用自然語言來形容商品或商品使用情境。例如：輸入「我想要為周日足球觀賽派對準備」，Walmart搜尋功能就可以根據這個情境，橫跨不同分類，呈現出相關商品。<br /> 不只用生成式AI強化傳統搜尋體驗，他們還開發商品探索用的聊天機器人，有問答、搜尋和商品比較功能，還會摘要商品的描述及其他顧客的評價，供顧客進一步參考。未來，Walmart還計畫強化此機器人語意理解能力，主動根據個人情況追問問題，來提供超級個人化的購物建議，例如詢問消費者看電視情境及家裡客廳採光情況，來推薦電視規格。<br /> 應用生成式AI於搜尋，不只能強化跨分類搜尋能力，以呈現出更符合顧客需求的商品，同時也能從顧客對話中，更精確地理解、蒐集顧客需求。甚至，Walmart發現，當他們能呈現出與關鍵字語意上關聯性較低，但符合消費者潛在購買意願的其他商品，可以促成了更多衝動消費，提升了電商獲利能力。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 3 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>為不同職務建置GAI助手，門市店員幫手甚至能管理庫存和協助報廢</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-4-V2.png" style="width: 600px;" /></p> <p><strong>在2023年，Walmart推出了總部員工用的超級App，<a href="mailto:Me@Campus">Me@Campus</a>。用生成式AI介面整合了自主學習、保險與福利資格查詢、薪資查詢、職涯發展、員工訓練、甚至是公司內導航等各種功能。<br /> 去年，他們在此App新增了生成式AI助手功能My Assistant，來進一步輔助知識管理及涉及圖文生成的業務。例如，回答員工福利問題或自主學習相關問題，或是用來摘要文件、生成文件草稿等行政作業輔助。<br /> 他們也將生成式AI導入門市店員的App中，利用Walmart內部文件及個別門市等級的數據，來提供日常門市營運問答、員工訓練輔助、庫存管理及查詢等知識管理功能。甚至，還能對廢棄物減量及處理提供建議。<br /> 廢棄物減量及處理功能是一個利用個別門市數據及Walmart內部最佳實踐數據打造的功能。當商品接近有效期限，甚至只是有缺陷，廢棄物減量系統便會根據情況，自動通知門市員工，並給予員工建議，包括降價商品、移動商品、將商品退給供應商，或是捐出此商品等。系統還會分析哪些商品在個別門市造成最多廢棄物，包括常態性或季節性報廢情況，並給出具體的處理指示，未來甚至還會呈現出其他門市的廢棄物處理方法，來促進門市間交流。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 4 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>用GAI打造多語系語音客服及個人化語音購物功能</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E5%85%AD-%E8%AA%9E%E9%9F%B3%E8%B3%BC%E7%89%A91.jpg" style="width: 600px;" /></p> <p><strong>語音對話服務是另一個Walmart導入生成式AI的領域。他們打造了一個對話式AI平臺「Converse」，用來開發語音購物、語音客服、內部員工用語音助手等流程和應用。其中，語音購物功能是與Android和iOS兩大行動作業系統合作開發。這個平臺背後是一個多語言、多模態模型，一方面能支援海外語音對話應用，另一方面，當購物情境發展到更適合其他媒介的情況，系統也可以將整趟購物流程轉移到電商App等其他介面。多語言模型通常相當龐大，Walmart為了確保語音購物等體驗足夠即時，利用知識蒸餾法（Knowledge Distillation）來為模型瘦身，以達到毫秒級反應速度。<br /> 現有Walmart語音對話購物功能，可以搭配過往顧客購物紀錄來給出一定程度的個人化服務。例如，只需要講「請把洗髮精加入購物清單」，系統就可以自動把顧客過往愛買品牌的洗髮精加入購物車。後來，Walmart還開發出能在顧客詢問商品缺貨時，由語音購物機器人主動推薦替代品的功能。<br /> 未來，Walmart還計畫開發直接能跟語音機器人進行一般性對話，並讓顧客聲控機器人代操整個Walmart 電商及會員App的功能。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI未來應用 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來應用GAI到個人化AR購物及第三方供應商客服</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-2.png" style="width: 600px;" /></p> <p><strong>不只將生成式AI應用於傳統零售場景，Walmart還計畫將生成式AI應用於更多非傳統購物場景，例如AR購物場景。目前，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設家具、試穿衣物飾品。這些場景目前主要以傳統AI實現，Walmart打算用生成式AI來進一步強化。<br /> 一個做法是，打造生成式AI購物助手，在AR試用的介面中，即時根據消費者預算、偏好主題等需求，來協助消費者決策。<br /> 另一個計畫用生成式AI強化的購物場景是B2B2C商務。他們正在測試一個針對第三方電商市集賣家的客服機器人，讓他們可以針對商品上架、金流物流及其他賣家相關業務提問，提升賣家問題獲得解答的即時性，也降低Walmart客服負擔。架、金流物流及其他賣家相關業務提問，一方面提升賣家問題獲得解答的即時性，另一方面也降低Walmart客服負擔。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 業界觀點：全國電子資訊管理處協理黃漢傑 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>零售業GAI應用，如何真正落地帶來效益才是關鍵</strong></span></span><br /> <strong>我看到Walmart生成式AI做法很驚訝，怎麼好像在看自己，原來零售業想的事情都一樣！」看完Walmart生成式AI應用，全國電子資訊管理處協理黃漢傑說，自家生成式AI應用規畫，許多領域也類似Walmart的方向。<br /> 他坦言，全國電子數據規模與開發量能，遠比Walmart來得小，他們選擇尋求市面上較成熟的解決方案，而非從頭開發。不過，全國想發展的生成式AI應用領域，不少和Walmart一樣，例如用於商品分類數據整理、內部知識管理助手、外部客服，甚至是結合生成式AI與AR購物場景等。<br /> 全國電子已經開始利用生成式AI，生成個人化購物體驗所需素材。他們還利用生成式AI整理了大量跨部門的數據，包括IT技術文件、家電規格與操作文件、行銷活動文件、業務最佳實踐方法文件等，現在正在以這些文件為基礎，打造內部知識管理系統。未來，將打造內部用KM機器人來進一步簡化內部文件存取難易度，更要建置外部客服機器人，提供電器需求規劃、產品諮詢等客戶服務。<br /> 看到了先行者的種種生成式AI用法，黃漢傑最在意的是，哪一種可以帶來實際效益，他不諱言：「IT部門想追求最新最厲害的技術，但有時候，做法會與企業的實際利益脫鉤。」黃漢傑更想知道的是，生成式AI該如何達成以下這些業務目的，例如創造業績、提升了特定工作流程效率、吸引更多消費者目光等。這才是他眼中，應用生成式AI的核心價值。<br /> 他進一步說明，許多新技術應用難以直接歸因出實際營收，至少要有量化指標可循。例如優化搜尋系統後，顧客尋找商品時間縮短多少？商品數據貼標時間節省了多少？都是可以為生成式AI應用價值背書的指標。<br /> 黃漢傑也提到，對全國電子有一大挑戰是如何將技術包裝成產品，實際落地。導入生成式AI技術後，如何結合現有技術、系統或介面？如何與行銷等其他非技術的業務策略並用？他希望學習先行者如何面臨這些課題。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 學界觀點：高科大行銷與流通管理系副教授歐宗殷 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>Walmart GAI應用兼具深度廣度，能創造四大價值</strong></span></span><br /> <strong>高雄科技大學行銷與流通管理系副教授歐宗殷觀察，Walmart生成式AI應用已經發展到相當後期的階段，且兼具深度與廣度。<br /> 歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。他從經驗歸納，零售業應用生成式AI有5個階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，最後走到顧客服務、行銷與推薦。這些做法背後有4個面向的價值，包括生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值含量越高。Walmart生成式AI應用，就遍及了多個階段。<br /> 在這些階段的應用中，歐宗殷還看到Walmart展現出深度的技術與豐富的領域知識。尤其，Walmart第二階段的應用，也就是利用生成式AI處理上億商品數據分類時，利用思維鏈提示工程來有效描述出消費者使用意圖、行為模式、思考路徑。「這件事非常困難，背後就是他們雄厚Know-how。」另外，結合生成式AI與AR購物，也是高度創新的應用方法。<br /> 他並指出，Walmart第五階段生成式AI做法，進一步幫助了他們其他階段的做法。Walmart透過生成式AI強化顧客購物體驗同時，能更好蒐集消費者注重的價值與購物意圖，這些都是極具價值的資訊，可以再投入回第二、第三階段的生成式應用，也就是數據蒐集、分析與管理做法。<br /> 回頭看臺灣零售業，他說，目前業界較少大規模應用生成式AI於第五階段做法。不過，有一個第五階段應用，是業界聚焦的重要機會──用生成式AI來生成大量RMN行銷素材，並真正準確地用來提供個人化購物與行銷體驗。不過他也坦言：「目前臺灣業界距此還有一段路要走。」</strong></p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165048
iOS 18開始支援RCS，能與Android互通訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周一（9/16）<a href="https://www.apple.com/newsroom/2024/09/ios-18-is-available-today-making-iphone-more-personal-and-capable-than-ever/" target="_blank">釋出iOS 18</a>，並於此一新作業系統上開始支援由GSM協會（GSMA）主導的豐富通訊服務（Rich Communication Services，RCS）協定，意謂著iPhone與Android手機用戶將可透過Wi-Fi網路或行動網路，利用內建的傳訊程式進行交流。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-iOS%2018-Messages%20app%20supports%20RCS.png" style="width: 247px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p>相較於行動平臺上內建的簡訊功能，RCS提供更強大的通訊功能，包括可以寄送高品質的圖片、影片或聲音；也能支援群組聊天；可看到訊息是否已被讀取或對方是否正在輸入；能分享即時位置；而且得以跨平臺通訊。簡單地說，RCS的運作就像是WhatsApp或Facebook Messenger，但使用者無需額外安裝程式，因為它已被整合在行動作業系統的傳訊功能上。</p> <p>為了建立RCS協定的實現標準，GSMA在2016年頒布了RCS Universal Profile，以定義RCS的運作方式及技術規範，另一方面，Google在2015年就<a href="https://www.ithome.com.tw/news/99059" target="_blank">收購</a>了開發RCS技術的Jibe Mobile，自此便陸續推廣RCS，去年便有超過10億名使用者於Google Messages中啟用了RCS，至於蘋果則是一直到iOS 18才開始支援RCS。</p> <p>GSMA<a href="https://www.gsma.com/newsroom/article/rcs-nowin-ios-a-new-chapter-for-mobile-messaging/" target="_blank">表示</a>，RCS Universal Profile已同時現身於iOS及Android上，代表使用者在與其它平臺上的聯絡人傳訊時，已可看見對方是否已讀取、正在輸入，或是使用其它的RCS功能，帶來比文字簡訊（SMS）或多媒體簡訊（MMS）更豐富也更無縫的傳訊體驗。</p> <p>此外，RCS Universal Profile的下一個目標將是增添諸如跨平臺端對端加密的用戶保護機制，而Google<a href="https://www.linkedin.com/posts/elweber_rcs-now-inios-a-new-chapter-for-mobile-activity-7241839492997783552-IObw" target="_blank">則說，</a>該公司自2020年便於Google Messages中的RCS通訊導入端對端加密，現正進行更廣泛的合作，以期儘快實現RCS的跨平臺端對端加密。</p> <p>不過，就算蘋果iOS及Google Android都已支援RCS，目前還是有許多使用者不得其門而入。要跨平臺使用RCS有許多條件，包括作業系統的支援，行動營運商的支援，必須於設定中啟用RCS，具備Wi-Fi或行動網路，以及對方也必須支援及啟用RCS才行。</p> </div></div></div>
2024/9/18 12:04作者陳曉莉https://www.ithome.com.tw/news/165054
【資安日報】9月16日，數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週四（12日）中租控股、兆豐金控、彰化銀行發布重大訊息，證實公司部分網站遭遇DDoS攻擊而面臨服務中斷的情況，臺灣證券交易所同日也傳出受害；親俄駭客組織NoName057、RipperSec聲稱是他們所為，但究竟有多少企業組織受害？數位發展部週末召開記者會提出說明。</p> <p>他們指出這波攻擊行動在10日出現，總共至少有45起攻擊，大部分受害的企業組織皆能快速應變，短時間就能恢復網站運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165042"><strong style="font-size: 22px;">針對0912親俄駭客對臺網站發動DDoS攻擊，4天之內已有45起事故</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/S__146325509.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/S__146325509.jpg" style="width: 300px; float: right;" /></a></p> <p>9月10日親俄駭客組織NoName057聲稱，將對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊，並將這場行動命名為OpsTaiwan，起因是總統賴清德在接受媒體採訪的回答，當時他針對中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，此言引發駭客不滿；另一個駭客組織RipperSec則表示，要與NoName057共同對臺發動攻擊，到了12日，有多個軍方機構與企業傳出網站遭到DDoS攻擊的消息，例如，中租控股、兆豐金控、彰化銀行發布重大訊息，表示他們的網站遭遇DDoS攻擊，但究竟有多少企業組織成為兩個親俄駭客下手的目標？數位發展部14日召開記者會，說明此次資安事故的規模。</p> <p>數位部表示，他們在這波攻擊行動出現後已掌握相關情資，並提到早在10日，就有部分網站受到DDoS攻擊侵擾，導致對外服務出現不穩定的情況，根據他們的統計，總共出現45起攻擊事故，對象包括地方稅務機構、區域民航站、主計總處、金融機構、電信業者。</p> <p>數位部指出，這些遭到攻擊的企業組織大多在第一時間啟動相關機制因應，目前尚未出現系統遭到破壞的跡象，大部分機構能在短時間恢復網站運作。</p> <p><a href="https://www.ithome.com.tw/news/165038"><strong style="font-size: 22px;">惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來進行</strong></a></p> <p>資安研究團隊Open Analysis Labs（OALabs）揭露惡意程式Amadey最近活動，他們採取竊取帳密資料的新招術，這群歹徒先是啟動瀏覽器的Kiosk模式，然後存取特定服務的首頁（通常是Google），並脅迫使用者輸入相關資料，再將憑證盜走。</p> <p>他們察覺駭客新手法的原因，在於Amadey從遠端伺服器下載竊資軟體StealC之餘，也會一併部署AutoIT指令碼Credential Flusher，該工具會檢查使用者電腦上的瀏覽器，再以Kiosk模式啟動。由於這種模式原本是用於公共場所展示特定資訊，瀏覽器會隱藏網址列並以全螢幕執行，停用關閉應用程式的快速鍵，攻擊者這麼做，使得用戶很可能因為不知道如何處理，依照指示輸入帳密資料而讓對方得逞。</p> <p><a href="https://www.ithome.com.tw/news/165034"><strong style="font-size: 22px;">130萬臺安卓電視機上盒遭植入後門</strong></a></p> <p>防毒業者Doctor Web今年8月在安卓電視機上盒上發現後門程式，因其變更裝置系統檔案區被防毒程式偵測曝光，它鎖定執行AOSP的電視機上盒韌體檔案系統植入後門程式，以便之後攻擊者可下令下載和安裝第三方軟體。研究人員以其植入的元件而命名為Android.Vo1d。</p> <p>分析顯示，Android.Vo1d的模組（vold、wd），功能包括下載與執行C&C伺服器指令要求的執行檔、安裝加密daemon，還能監測特定目錄以安裝APK檔。研究人員估計，197國用戶的近130萬臺Android電視機上盒遭到感染。受害者主要分佈在中東、非洲、南美及亞洲，如巴西、摩洛哥、巴基斯坦、沙烏地阿拉伯、此外也包含俄羅斯、馬來西亞及印尼等。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/g/CVE-2024-38112-void-banshee.html">駭客組織Void Banshee利用MSHTML欺騙漏洞從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/fortinet-customer-data-breach-third-party">針對Fortinet資料外洩事故，研究人員揭露更多發現</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/09/11/hunters_ransom_icbc_london/">勒索團體聲稱攻入中國工商銀行倫敦分行，偷走520萬個檔案，遭竊資料量高達6.2 TB</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/hadooken-malware-targets-weblogic-applications/">惡意軟體Hadooken鎖定Oracle WebLogic伺服器而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165043"><strong style="font-size: 22px;">GitLab修補重大層級的管道執行漏洞</strong></a></p> <p>上週GitLab發布社群版（CE）及企業版（EE）17.3.2、17.2.5、17.1.7版更新，總共修補17個漏洞，其中最值得留意的是被列為重大層級的CVE-2024-6678，此漏洞影響8.14以後的版本，允許攻擊者在特定的環境下，以任意使用者觸發自動化工作Pipeline機制，CVSS風險評為9.9分（滿分10分）。</p> <p>值得留意的是，針對能濫用Pipeline機制的漏洞，GitLab已在6月、7月修補相關漏洞。今年6月，他們修補了CVE-2024-5655，隔月緩解CVE-2024-6385，這兩個漏洞皆為重大層級，CVSS風險評分為9.6。</p> <p><a href="https://www.ithome.com.tw/news/165044"><strong style="font-size: 22px;">Docker修補電腦版應用程式RCE漏洞</strong></a></p> <p>近期Docker發布電腦版應用程式Docker Desktop更新4.34.2版，修補2項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，攻擊者可濫用惡意延伸套件，而有機會遠端執行任意程式碼（RCE），4.0版CVSS風險評分為9.0、8.9，3.1版CVSS風險則都達到了9.8分的程度。</p> <p>對於這些漏洞發生的原因，資安新聞網站Cybersecurity News指出弱點發生在於該應用程式處理延伸套件的資訊，例如：套件說明、版本更新記錄、發布的URL，攻擊者一旦在延伸套件的相關欄位輸入有問題的內容，就有機會愚弄Docker Desktop，而能在受害電腦執行任意程式碼。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/apple-vision-pro-vulnerability-exposed.html">蘋果修補Vision Pro虛擬鍵盤漏洞GAZEploit</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165015"><strong>【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164991"><strong>【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164966"><strong>【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> </div></div></div>
2024/9/16 17:24作者周峻佑https://www.ithome.com.tw/news/165045
130萬臺Android電視機上盒遭植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員<a href="https://news.drweb.com/show/?i=14900&lng=en" target="_blank">發現</a>超過130萬臺Android電視機上盒韌體遭到植入後門程式，以用於日後下載惡意程式。</p> <p>Doctor Web研究人員今年8月在Android電視機上盒上發現這隻後門程式，因其變更裝置系統檔案區被防毒程式偵測曝光，它鎖定執行AOSP的電視機上盒韌體檔案系統植入後門程式，以便之後攻擊者可下令下載和安裝第三方軟體。研究人員以其植入的元件而命名為Android.Vo1d。</p> <p>分析顯示，Android.Vo1d的模組（vold、wd），功能包括下載與執行C&C伺服器指令要求的執行檔、安裝加密daemon，還能監測特定目錄以安裝APK檔。研究人員估計，197國用戶的近130萬臺Android電視機上盒遭到感染。受害者主要分佈在中東、非洲、南美及亞洲，如巴西、摩洛哥、巴基斯坦、沙烏地阿拉伯、此外也包含俄羅斯、馬來西亞及印尼等。</p> <p>這些區域的受害裝置主要是較不知名的Android機上盒，可能是較低價的品牌（R4、TV BOX、KJ-SMART4KVIP）。研究人員推測，較低價品牌用的是經常是較早版本的Android，有漏洞但也未能獲得Google支援。雖然有些受害裝置執行的是Android 10或12，但也有古早版本如舊Android 7.1的。此外，這些產品的用戶也較沒有安全意識，會下載第三方App或非官方版韌體，但卻沒有安裝防毒軟體。</p> <p>不過研究人員尚不清楚Android.Vo1d的感染途徑。可能路徑是濫用舊版Android的漏洞以取得root權限，另一可能是用戶從非官方平臺下載被植入惡意root存取程式的韌體。</p> <p>Google<a href="https://arstechnica.com/security/2024/09/researchers-still-dont-know-how-1-3-million-android-streaming-boxes-were-backdoored/" target="_blank">澄清</a>，這些市場上執行AOSP（Android Open Source Project）卻宣稱為Android TV OS裝置很多，且上面也有Google App及Play Store，但這些都非經Google授權，因此不會獲得Play Protect安全防護。</p> <p>Google並<a href="https://www.android.com/tv/" target="_blank">提供</a>明列授權Android TV軟體的機上盒品牌清單，供用戶判別是否買到正牌的Android TV裝置。</p> </div></div></div>
2024/9/16 08:45作者林妍溱https://www.ithome.com.tw/news/165034