iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

升級JetPack軟體，輝達增強Jetson Orin單板電腦平臺性能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jetson_orin_for_2024_christmas-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對機器人與邊緣運算的人工智慧應用需求，Nvidia提供GPU單板電腦硬體平臺Jetson系列，以目前而言，主流產品是搭配Ampere架構GPU的Jetson Orin世代，分為三個位階，分別是：<a href="https://nvidianews.nvidia.com/news/nvidia-sets-path-for-future-of-edge-ai-and-autonomous-machines-with-new-jetson-agx-orin-robotics-computer">2021年11月登場</a>的<a href="https://www.ithome.com.tw/review/152418">Jetson AGX Orin</a>、<a href="https://developer.nvidia.com/blog/delivering-server-class-performance-at-the-edge-with-nvidia-jetson-orin/">2022年4月發表</a>的Jetson Orin NX，以及<a href="https://nvidianews.nvidia.com/news/nvidia-jetson-orin-nano-sets-new-standard-for-entry-level-edge-ai-and-robotics-with-80x-performance-leap">2022年9月推出</a>的<a href="https://www.ithome.com.tw/review/154773">Jetson Orin Nano</a>，<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform">下一代硬體平臺Jetson Thor</a>推出的消息，於2024年3月GTC大會首度公開揭露，預計將改用Blackwell架構GPU，而依照Nvidia網站現行公開的產品發展藍圖來看，Jetson Orin世代將會供應到2032年，Jetson Thor世代會在2025年開始提供，率先推出的產品會是Jetson AGX Thor。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson_modules-Commercial_roadmap-2024-10-23.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin Generation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson-2024-03-timeline-Orin%20Generation.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Jetson Orin Porfolio-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Porfolio-web.jpg" style="width: 198px;" /></a></p> <p>而在2024年下半到2025年3月GTC大會之間，Nvidia突然在12月下半發表搭載Jetson Orin Nano Super平臺的開發者套件，名為Jetson Orin Nano Super Developer Kit。</p> <p>由於此時過完感恩節，接近一年一度的耶誕佳節，Nvidia再度上演新的科技產品廚房秀，執行長黃仁勳從另一間房屋廚房的烤爐端出全新的AI電腦，也就是Jetson Orin Nano Super Developer Kit，他幽默地說，因為烤太久所以縮水了，他也回憶多年前發展Xavier時（編按：應該是指Drive PX Xavier），Nvidia創造全新的處理器類型，可用於機器人的設置，他們那時想像深度學習模型可以不斷進化，之後可以產生各式各樣的機器人，時至今日，已出現有腿的、有輪子的，人形的機器人也即將來到大家身邊，黃仁勳隨後簡短介紹Jetson Orin Nano Super特點之後，也提到HGX這類AI伺服器能執行的處理，像是大型語言模型（LLM），以及統一運算架構（CUDA）、CUDA的深層神經網路cuDNN等，Jetson Orin Nano Super也能執行。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/S9L2WGf1KrM?si=OxwFPBhOr6vi4NJF" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>話雖如此，Nvidia Jetson產品線的應用場景仍偏重在機器人與邊緣運算，能處理的運算規模仍有別於資料中心等級的AI系統。</p> <p>令人好奇的是：先前Nvidia已經提供搭載Jetson Orin Nano的開發者套件，名稱多了Super的新產品有何差異？Nvidia在新聞稿當中強調，比起原本的Jetson Orin Nano，Jetson Orin Nano Super的生成式AI推論效能領先幅度可達70％，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin Boost-AI-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin%20Boost-AI-web.jpg" style="width: 600px;" /></a></p> <p>原因在於INT8整數運算效能從40 TOPS提升至67 TOPS（改善幅度為67％），記憶體頻寬從68 GB/s增加至102 GB/s（改善幅度為50％）；而在技術部落格文章當中，也列出更多細部差異，像是處理器的時脈從1.5 GHz提升至1.7 GHz，GPU時脈從635 MHz增加至1020 MHz，供電模式也從7瓦、15瓦，增加25瓦這一項組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson Orin Nano Super Developer Kit configuration comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Jetson%20Orin%20Nano%20Super%20Developer%20Kit%20configuration%20comparison.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA Jetson Series Comparison-YOLO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20Jetson%20Series%20Comparison-YOLO.jpg" style="width: 600px;" /></a></p> <p>而且在效能調高之際，Nvidia這個開發者套件的價格卻從<a href="https://developer.nvidia.com/embedded/faq">499美元</a>降至249美元，等於打5折促銷，希望藉此招攬更多開發者採用的意味相當濃厚。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Jetson Price.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Jetson%20Price.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/store-NVIDIA Jetson Orin Nano Super Developer Kit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/store-NVIDIA%20Jetson%20Orin%20Nano%20Super%20Developer%20Kit.jpg" style="width: 298px;" /></a></p> <p>隨著新的開發者套件上市，先前已購買Jetson Orin Nano Developer Kit的用戶也能受益，Nvidia表示，<a href="https://www.jetson-ai-lab.com/initial_setup_jon.html">透過軟體升級，</a>開發者就能將手上的Jetson Orin Nano Developer Kit，<a href="https://developer.nvidia.com/embedded/learn/get-started-jetson-orin-nano-devkit#maxn">轉為Jetson Orin Nano Super Developer Kit</a>。</p> <p>此處提到的軟體，是Nvidia專門用於<a href="https://developer.nvidia.com/embedded/jetpack">搭配Jetson硬體平臺的AI應用軟體開發套件JetPack</a>，而且是<a href="https://forums.developer.nvidia.com/t/jetpack-6-1-release-announcement/308181">9月底出爐的JetPack 6.1正式版</a>，因為此套件包含的一項元件Jetson Linux，在新改版的36.4版當中，開始支援稱為MAXN的加速模式，但關於這方面突破的消息，是直到12月17日Jetson Orin Nano Super推出，才正式浮上檯面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JetPack Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/JetPack%20Stack.jpg" style="width: 600px;" /></a></p> <p>Nvidia已釋出基於JetPack 6.1而成的SD記憶卡映像檔，用戶可透過Nvidia SDK Manager來進行安裝，之後即可在單板電腦執行的Ubuntu Desktop作業系統當中，<a href="https://developer.nvidia.com/blog/nvidia-jetson-orin-nano-developer-kit-gets-a-super-boost/">將電源使用模式（Power Mode）切換為MAXN</a>，即可享有此次新增的加速效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia Jetson Orin-power-mode-selection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Nvidia%20Jetson%20Orin-power-mode-selection.png" style="width: 200px;" /></a></p> <p>值得注意的是，Nvidia在Jetsont常見問答集的網頁當中，稱呼此項軟體改進特色為Jetson Orin Super Mode，並在這裡與新聞稿、技術部落格文章提到，「超頻模式」適用的單板電腦產品，不單是Jetson Orin Nano平臺，也涵蓋Jetson Orin NX平臺，Nvidia也針對4種產品（Jetson Orin Nano 4 GB與8 GB，以及Jetson Orin NX 8GB與16 GB），具體列出「超頻」前後差異。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Jetson%20Orin%20Boost.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-17-Table-5_-Jetson-Orin-Nano-Super-and-Orin-NX-Super-module-specifications-1.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Nvidia Jetson Orin Nano Super Developer Kit</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：249美元<br /> ●外形尺寸：103公釐 x 90.5公釐 x 34.77公釐<br /> ●包含元件：Jetson Orin Nano 8GB模組與參考設計載板、直流電源供應器、Wi-Fi無線網路介面控制器（802.11ac/ab/gn）、快速上手指南<br /> ●單板電腦硬體規格：6核心Arm Cortex-A78AE、8GB LPDDR5-10200記憶體、Nvidia Volta架構GPU（1024個CUDA核心、32個Tensor Core核心）、可支援外部連接NVMe儲存裝置，耗電為7至25瓦<br /> ●參考設計載板提供的接頭：1個GbE埠、1個DisplatPort 1.2埠、2個MIPI CSI-2攝影機接頭、2個M.2 Key M、1個M.2 Key E、4個USB 3.2 Gen2 Type-A、1個USB Type-C for UFP、1個直流電源接頭</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/4 14:03作者李宗翰https://www.ithome.com.tw/review/166808
XML檔案解析程式庫libxml2存在重大漏洞，恐被用於XML外部實體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux桌面環境GNOME開發團隊<a href="https://gitlab.gnome.org/GNOME/libxml2/-/commit/1a8932303969907f6572b1b6aac4081c56adb5c6">去年7月修補解析XML檔案的程式庫libxml2漏洞CVE-2024-40896</a>，這項漏洞影響2.11、2.12、2.13版，出現在該程式庫的SAX處理器，有可能會意外曝露外部實體，而能讓攻擊者用於發動XML外部實體（XXE）攻擊，CVSS風險達到9.1分（滿分10分），GNOME當時發布<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.11.9">2.11.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.12.9">2.12.9</a>、<a href="https://gitlab.gnome.org/GNOME/libxml2/-/releases/v2.13.3">2.13.3</a>版予以修補，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40896">美國國家漏洞資料庫（NVD）於12月23日將其列入</a>。</p> <p>以C語言打造而成的程式庫libxml2，主要功能是解析XML檔案，該程式庫能以多種語言呼叫，例如：C++、Python、Ruby，使得這項程式庫能運用在多種開發環境。libxml2最初是由GNOME開發的專案，並用於各種作業系統，一旦出現嚴重漏洞、又未及早修補，影響將可能相當廣泛。</p> <p>這項漏洞最初是<a href="https://gitlab.gnome.org/GNOME/libxml2/-/issues/761">由一名從事辦公室軟體LibreOffice專案的開發人員通報</a>，他表示在導入2.13版libxml2的時候，意外發現當中有部分已知漏洞再度出現，其中一個是CVE-2012-0037（CVSS風險為6.5分）。</p> <p>LibreOffice團隊原本已對CVE-2012-0037作出處理，但在升級新版libxml2之後，相關程式碼的作用隨之失效，而且會顯現/etc/passwd的內容，因而發現新漏洞。</p> <p>這位發現上述問題的開發者將情況通報GNOME，並製作概念性驗證文件進一步說明細節，GNOME後續也確認這項漏洞存在，並將其登記為CVE-2024-40896。</p> </div></div></div>
2025/1/3 15:03作者周峻佑https://www.ithome.com.tw/news/166810
Windows 11 BitLocker加密仍有漏洞，實體接觸即可迅速破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資深安全研究員兼硬體駭客Thomas Lambertz在CCC（Chaos Communication Congress）大會上<a href="https://media.ccc.de/v/38c3-windows-bitlocker-screwed-without-a-screwdriver">重現Windows 11 BitLocker漏洞攻擊手法</a>，即便使用者已安裝微軟修復相關漏洞的更新，攻擊者仍然可以使用新的攻擊手法繞過BitLocker加密保護，取得Windows 11系統中的資料。</p> <p>BitLocker是微軟提供的全磁碟加密技術，被廣泛用於一般與企業使用者的Windows 11系統中，並已作為部分設備的預設加密功能。在預設模式下，BitLocker會在系統靜止的時候加密磁碟，當合法的Windows系統啟動時則會自動解密，但是這個便利性卻成為漏洞攻擊的核心，從Thomas Lambertz的示範可以看出現有的更新並未完全修復漏洞。</p> <p>該漏洞被歸類在<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21563">CVE-2023-21563</a>，是一種稱為bitpixie的攻擊，這是在2022年就被揭露的攻擊手法。微軟曾在2022年底宣布完成修補該漏洞，但是Thomas Lambertz展示透過降級攻擊，攻擊者依然能夠利用漏洞取得加密金鑰，並成功存取Windows 11中受保護的資料。</p> <p>bitpixie的攻擊概念在於利用Secure Boot機制啟動一個過時的Windows啟動載入程式，讓系統在恢復模式下將加密金鑰存入記憶體，接著使用經過特別更改過的Linux系統，利用核心漏洞讀取記憶體內容，並擷取BitLocker解密金鑰。該過程讓攻擊者不需直接操作磁碟，也不需要打開機殼，即可完成解密，這也正是Thomas Lambertz演講Screwed without a Screwdriver主題的由來，意思是不使用螺絲起子拆解設備，攻擊者還是能輕易突破加密。</p> <p>之所以這個漏洞如此難以修復，主要技術挑戰在於UEFI韌體的儲存空間有限，導致微軟無法立即以雜湊值黑名單撤銷所有存在漏洞的啟動載入程式憑證，微軟預計要到2026年才能全面更新的Secure Boot憑證，而這也才能推動主機板製造商更新UEFI，徹底解決這個問題。</p> <p>由於該攻擊需要實體接觸，因此對一般使用者來說風險相對較低，但是對於企業與政府等注重資安的機構則需要提高警戒，因為Thomas Lambertz展示攻擊僅需要短暫的實體接觸，就可完成攻擊。在微軟完全解決該問題之前，使用者可以設置PIN碼強化BitLocker防護，或是直接在BIOS停用網路功能，避免攻擊者使用像是USB網路卡等裝置竊取機密資料。</p> </div></div></div>
2025/1/2 17:00作者李建興https://www.ithome.com.tw/news/166795
【資安日報】12月31日，駭客公布從思科、施耐德電機竊得的部分資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週到本週，有兩起重大的資料外洩事故後續，引起外界高度關注，其中一起是發生在10月，初始入侵管道掮客IntelBroker聲稱竊得大量思科開發資料，另一起則是發生在11月，勒索軟體駭客組織Hellcat宣稱入侵施耐德電機開發環境。</p> <p>其中較為值得留意的是思科的資料外洩事故，因為駭客已二度公布竊得的資料，迫使思科必須確認這批資料的真實性及影響範圍，釐清並未發生其他資安事故。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166757"><strong style="font-size: 22px;">駭客組織IntelBroker再度公布部分10月竊得的思科內部資料</strong></a></p> <p>為了對受害者形成壓力，願意付錢換取遭竊資料不被外流，駭客採用雙重勒索、三重勒索的手法相當常見，以多種管道施壓的方式逼迫就範。但如今有攻擊者選擇少量、多次公布資料的做法，使得受害企業在每次資料被公開後，必須不厭其煩地向外界澄清影響範圍並未擴大，確認駭客公布的資料，其實源自相同的資安事故。</p> <p>例如，今年10月中旬初始入侵管道掮客IntelBroker聲稱，他們竊得思科大量開發專案相關資料的事故，就是這種情形。這些駭客在事發兩個月後先是公布2.9 GB資料，不到兩個禮拜，這些駭客又公布了另一批檔案。</p> <p>根據資安新聞網站HackRead的報導，12月25日這些駭客公布了第二批思科資料，檔案大小約4.84 GB，涵蓋敏感資料，例如：軟體結構、網路組態、測試事件記錄、雲端伺服器映像檔、加密簽章、智慧財產等。駭客宣稱，這是他們竊得的4.5 TB資料一部分內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hackers-release-second-batch-of-stolen-cisco-data-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/hackers-release-second-batch-of-stolen-cisco-data-2.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/166749"><strong style="font-size: 22px;">針對11月施耐德電機資料遭竊的事故，駭客於暗網公布相關檔案</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Schneider-Electric-leak.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider-Electric-leak.png" style="width: 300px; float: right;" /></a></p> <p>11月名為Grep的人士在勒索軟體駭客組織Hellcat的地下網站發文，聲稱手中持有法國電機設備大廠施耐德電機（Schneider Electric）的檔案。駭客說是存取了施耐德電機的Atlassian Jira系統而得手這批資料，他們也要求價值12.5萬美元的加密貨幣及法國長棍麵包為贖金，但是如果該公司執行長公開承認被駭，贖金就可減半。施耐德電機之後證實遭駭。</p> <p>根據資安新聞網站Cybernews的報導，12月29日駭客在資料外洩網站上，公布施耐德電機的公司資料開放大眾存取，並表示這是作為對施耐德電機拒絕付贖金的報復。這批資料為40GB的檔案，內有該公司的專案、程式碼問題、外掛，以及超過40萬行的用戶資料。不過，截至目前為止，施耐德電機尚未對此做出評論。</p> <p><a href="https://www.ithome.com.tw/news/166747"><strong style="font-size: 22px;">針對BeyondTrust零時差漏洞攻擊事故，美國財政部傳出受害</strong></a></p> <p></p> <p>12月初BeyondTrust公告，部分採用其SaaS版遠端支援（Remote Support，RS）系統的用戶環境遭到入侵，後來該公司表示攻擊者利用CVE-2024-12356、CVE-2024-12686而能得逞，如今有受害組織曝光。美國財政部傳出因遭遇第三方遠端安全存取管理平臺漏洞攻擊波及，駭客存取員工電腦而導致部分資訊外流。</p> <p>這項消息的曝光，源於財政部管理助理祕書長本周向美國參議院金融、住宅與都市事務委員會主席發函告知此事。攻擊者利用此金鑰覆寫了BeyondTrust的安全設定，成功存取了數名員工的工作站電腦當中，特定的非機密文件。</p> <p>該單位會同網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）及第三方數位鑑識業者的協助下廓清攻擊事件，初步研判攻擊者身分是中國政府資助的APT駭客。</p> <p><a href="https://www.ithome.com.tw/news/166731"><strong style="font-size: 22px;">福斯汽車集團資料庫配置不當，客戶資料在網際網路上曝露</strong></a></p> <p></p> <p>德國福斯（Volkswagen，VW）汽車集團因旗下軟體公司Cariad應用配置不當，導致VW、Seat、Audi和Skoda等品牌、逾80萬車主雲端資料庫可從網際網路存取而有外洩風險。不過，福斯汽車表示，目前並未出現資料遭竊的跡象。</p> <p>這項弱點的曝光，源於德國媒體明鏡（Spiegel）的報導，非營利白帽駭客組織Chaos Computer Club（CCC）接獲知情人士爆料，進行測試確認後，向Cariad及福斯通報此事。福斯集團指出，CCC於11月26日通知他們，Cariad後端系統API存在問題，致使任何人只要知道網址，都可以從外部網路存取到客戶資訊。</p> <p><a href="https://www.ithome.com.tw/news/166761"><strong style="font-size: 22px;">中國工控路由器高風險漏洞傳出已被用於攻擊行動，近1.5臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/search_censys_io.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/search_censys_io.png" style="width: 300px; float: right;" /></a></p> <p>資安業者VulnCheck指出，他們發現針對命令注入漏洞CVE-2024-12856而來的攻擊行動，對象是中國網路設備廠商廈門四信科技（Four-Faith）的工業路由器，攻擊者用路由器的預設帳密，從而在未經身分驗證的情況下，遠端注入命令。他們利用威脅情報搜尋引擎Censys找到近1.5萬臺曝險的路由器，研究人員於12月20日向四信通報，但截至目前為止，四信尚未修補相關漏洞。</p> <p>值得留意的是，研究人員觀察到有人從IP位址178.215.238[.]91嘗試利用漏洞的跡象，他們留意到有研究人員已在11月初發現相關攻擊行動，並發現駭客使用的使用者代理字串（User Agent），與他們看到的漏洞利用嘗試行動大致符合，這代表利用這項漏洞的攻擊行動可能已經為期接近2個月。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/global-cyber-collaboration-takes-down-plugx-worm/">資安業者聯手二十多國CERT及執法機關，清理中國蠕蟲程式PlugX</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/172467/hacking/an-x-user-claimed-a-7-zip-zero-day-vulnerability.html">有人聲稱解壓縮軟體7-Zip存在零時差漏洞，開發者表示該漏洞不存在</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberscoop.com/south-korea-sanctions-north-koreans-it-worker-scams/">韓國對15名北韓IT工作者進行制裁，理由是這些人從事詐騙，並將不法所得資助北韓發展核武</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-and-verizon-say-networks-secure-after-salt-typhoon-breach/">在傳出遭遇中國駭客Salt Typhonn入侵後，美國電信業者AT&T、Verizon聲稱已將駭客「趕出去」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166746"><strong style="font-size: 22px;">IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機</strong></a></p> <p>12月19日IBM發布資安公告，指出商業智慧分析套件Cognos Analytics存在漏洞CVE-2024-40695、CVE-2024-51466，攻擊者有機會藉由具備特殊權限的使用者上傳惡意檔案，或是藉由表示式語言（Expression Language，EL）注入攻擊，遠端曝露敏感資訊及特定資源，影響12.0.0至12.0.4版、11.2.0至11.2.4 FP4版，該公司發布更新程式修補。</p> <p>根據CVSS風險評分，達到重大層級的表示式語言注入漏洞CVE-2024-51466需特別當心，攻擊者能夠遠端利用偽造的表達式語言聲明（statement）觸發這項漏洞，從而曝露敏感資訊、耗盡記憶體資源，甚至有機會造成伺服器當機，CVSS風險評分為9.0（滿分10分）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/linux-systems-at-risk-gstreamer-vulnerabilities-threaten-millions/">Linux作業系統開源影音框架GStreamer存在一系列漏洞，恐成為攻擊者鎖定目標</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166700"><strong style="font-size: 22px;">以國家安全為考量，美國政府要求中國無人機業者大疆於一年內提出相關證明</strong></a></p> <p>在美國全面封鎖中國科技業者的同時，參議院近期通過一項新法案，要求無人機大廠大疆（DJI）一年時間證明自己並未威脅美國國家安全，否則將在2025年啟動封鎖令。</p> <p>美國參議院上周以85:14表決通過《國防授權法（National Defense Authorization Act，NDAA）》。NDAA涵蓋從軍費到國防技術廣泛領域。近年NDAA特別強調應對來自中國的技術與經濟威脅，包括供應鏈安全和高科技產品的依賴問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166744"><strong>【12月30日】駭客鎖定逾20款Chrome延伸套件發動供應鏈攻擊，意圖竊取使用者社群網站帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166722"><strong>【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166704"><strong>【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</strong></a></p> </div></div></div>
2024/12/31 17:03作者周峻佑https://www.ithome.com.tw/news/166762
【資安週報】1216~1220，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166628"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</span></strong></a></h3> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <h3><a href="https://www.ithome.com.tw/news/166656"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</span></strong></a></h3> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p><a href="https://www.ithome.com.tw/news/166671"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</span></strong></a></p> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <h3><a href="https://www.ithome.com.tw/news/166704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</span></strong></a></h3> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/166722"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</span></strong></a></h3> <p>近期公布的重大漏洞相當多，例如：Apache開源CDN軟體<a href="https://www.ithome.com.tw/news/166697">Traffic Control重大層級SQL注入漏洞CVE-2024-45387</a>、<a href="https://www.ithome.com.tw/news/166703">程式碼管理系統Gogs重大漏洞</a>CVE-2024-39930、CVE-2024-39931、CVE-2024-39932等，這些都需要儘快完成修補或緩解作業，但還有一些喘息與觀望時間，如果是已經出現攻擊行動的漏洞，企業必須馬上動手處理。</p> <p>今天資安業者Palo Alto Networks公布的阻斷服務漏洞CVE-2024-3393，就是典型的例子。雖然該公司將漏洞僅列為高風險，但由於已有實際攻擊行動，IT人員最好儘速處理。</p> </div></div></div>
2024/12/30 11:06作者羅正漢https://www.ithome.com.tw/news/166733
【關鍵IT新趨勢9】GAI輔助擴大到軟體工程增強，IT將變成AI調度PM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">生成式AI的軟體開發能力在2024年底又有了新突破，一舉從輔助角色，轉而有能力成為軟體開發流程中的主角，進一步分攤更多真人開發者的工作，而原本的企業IT人員，就得超越原本的程式碼撰寫工程師職務，轉為成為具備架構設計能力，可以指揮多款AI代理協同開發的專案管理或產品經理角色。</p> <p dir="ltr">OpenAI在2024年底的12天發布活動最後一天，該公司執行長Sam Altman親自登場，他強調：「在2024年9月登場的o1系列模型，揭開生成式AI模型的新階段。」因為o1模型在程式設計、數學、博士級科學問題等標竿測試上，都大幅超越了GPT-4o，透過關聯思考（Chain of Thought）方式，o1的複雜推理任務處理，也接近真人專家，這是第一款在GPQA科學測試上超越真人博士的GAI模型。在程式設計領域，o1在知名Codeforces競技程式測試的分數達到1,673分，超越89%的真人軟體工程師。</p> <p dir="ltr">o1登場不到半年，Sam Altman在12天發表活動最後一天揭露了新一代推理模型o3，不論在數學解題、科學理解、程式碼開發等標竿測試中，再次大幅超確了o1。</p> <p dir="ltr">新版o3最大特色是程式設計能力，再次有大幅躍進，在軟體工程標竿測試SWE-bench Verified測試上，達到71.7%的分數，意思是，針對測試用的2千多個真實Python函式庫問題修改請求，LLM可以解決了其中71.7%的問題。這也代表了LLM解決實際不同軟體開發領域問題的能力。o3的分數遠高於o1的48.9%，多解決了近2成的開發問題，這個分數也高於競爭對手產品，例如Google最新的Gemini 2.0 Flash可以解決51.8%的問題，而Claude Sonnet 3.5也差不多解決了50.8%的問題。雖然這項測試主要針對Python，而無法完全類推到其他語言也有同樣的能力水準，但是可以說，o3對這些真實程式碼的修補能力，已經達到Python開發老手的水準。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>新一代GAI模型開發解題能力打敗16萬真人開發者</strong></span></span></p> <p dir="ltr">從另一個測試，可以看到o3與真人軟體開發者的能力比較，在號稱全球最難的程式競賽平臺Codeforces的解題分數上，o3模型的得分達到2,727高分，相當於2024年12月底排名175名的成績，在16萬8千多人參賽開發者中，超越了99.9%的真人開發者。這個分數甚至高於負責打造o3模型的OpenAI資深研究副總裁陳信翰（Mark Chen）自己的2,500分程式競賽成績。</p> <p dir="ltr">OpenAI在2024年底發布了安全測試計畫，開放資安人員來驗證o3的安全性，預計從2025年初先釋出o3 mini版模型，再陸續部署完整的o3模型。這也代表了，這個媲美真人開發者，超越十萬開發者解題能力的推理型GAI模型，在2025年就可以成為每一個IT人日常工作中的助手，任何企業都可以付費請到這樣一位超強軟體開發者來參與自家專案，這個角色勢必會開始改變企業軟體開發專案的做法。</p> <p dir="ltr">GitHub Copilot在2021年發布技術預覽版之後，吸引了大量開發者開始運用GAI來輔助軟體開發。隨著模型能力一代代演進，所能生成的開發語言也越來越多，光是GitHub Copilot現在就有能力支援Python、C#、SQL、Java等在內的十多種程式語言的生成，還包括了老舊的大型主機程式語言COBOL，也能透過OpenAI Codex模型與Java語言互相轉換。或像AWS推出的GAI助手Q Developer，可以直接將老舊的Java 8和Java 11版程式碼，直接升級到最新Java 17版本，大幅減少了老舊應用系統現代化改版的重擔。</p> <p dir="ltr">在o3這樣超強開發能力的模型問世之後，GAI在企業軟體開發中，可以擔任越來越重要的開發角色。不只主流開發工具支援GAI，現在也出現了專門用於AI輔助開發的新興IDE，像是Cursor、Windsurf等。</p> <p dir="ltr">不只輔助軟體開發，也開始出現更多不同類型的GAI開發助手，像是AWS、微軟Azure和Google雲端，也相繼推出雲端部署GAI助手，可以協助應用程式的部署配置或是協助處理上雲部署的問題。</p> <p dir="ltr">而AWS更在2024年度大會上揭露了新版Amazon Q Developer，加入了開發文件、程式碼品質審查和測試的AI代理，可以在開發者慣用的IDE中生成文件，甚至是繪製流程圖，也能用來偵測程式碼中的程式臭蟲、邏輯錯誤、程式碼重複、設計模式違例、違反命名規則設計等不同類型等問題，還能提出修改建議，開發者只要審視後按下同意，就能自動更新程式碼，幾乎不用動手自己寫。</p> <p dir="ltr">在測試輔助上，GAI助手Q Developer可以自動生成單元測試，修正測試涵蓋範圍，也能生成簡單的測試用例。另外也增加了新舊程式碼轉換功能，可以將Windows平臺的.NET應用，轉換到Linux環境可用的版本，或是將本地端VMware虛擬環境的應用，轉移到公雲VM上部署。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>GAI從軟體開發、擴展到測試、部署、重構等領域的輔助</strong></span></span></p> <p dir="ltr">GAI在企業軟體開發流程中的角色，不只侷限於開發輔助，而是延伸到測試、部署、重構等更多軟體工程的領域。國際知名顧問公司Gartner以AI增強軟體工程（AI-augmented software engineering），來形容這一類GAI在軟體工程上的輔助或增強機制。Gartner在2024新興科技成熟曲線報告中認為，AI增強軟體工程屬於最快2年，最慢5年會帶來重大影響的新興技術之一，不只能讓開發者快速寫出程式，還是一項可以讓開發者更專注、高度參與、沈浸在心流狀態的生產力提升技術。</p> <p dir="ltr">這些開發工具的GAI輔助，或是不同專門用途的GAI開發助手，甚至是媲美真人開發老手能力的模型，在2025年都將成為企業IT人可用的工具，這將開始改變IT人在軟體開發流程中的角色，不再是樣樣自己動手的開發黑手，而要扮演衡量GAI程式碼的審查者，甚至是指揮不同任務GAI開發助手，協同完成開發任務的專案管理者。</p> </div></div></div>
2024/12/28 11:13作者王宏仁https://www.ithome.com.tw/news/166725
【關鍵IT新趨勢7】多模態AI代理將落地，重新定義複雜任務的處理方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">自2024年下半年開始，科技龍頭相繼揭露新進展，共通點都聚焦在AI代理。比如，AWS最新揭露3項生成式AI助理功能，能將Windows.NET程式轉換為Linux版本、將VMware工作負載轉換到Amazon EC2雲原生環境，以及將大型主機老舊的COBOL程式轉換為Java。這些新功能，都靠旗下多支AI代理分工執行。</p> <p dir="ltr">又比如，微軟在11月的Ignite大會中揭露5款生產力AI代理，專門主持會議、口譯、管理專案、訂單處理和提供員工自助服務等，甚至還提供客製化的低程式碼開發工具，來讓使用者打造符合需求的專屬代理。</p> <p dir="ltr">或是，Google用最新發表的Gemini 2.0 Flash多模態模型，開發出4款AI代理，有專門處理行動裝置的代理、瀏覽器代理，也有專門處理多模態資料的學術用研究代理，以及程式開發代理。</p> <p dir="ltr">從研究資料整理、專案管理、訂單管理，再到大型主機系統轉換，都成了AI代理新能力。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理將遍地開花</strong></span></span></p> <p dir="ltr">在這些科技龍頭的發布中，多模態AI代理的身影更清晰了。比如Google開宗明義點出，用多模態模型Gemini 2.0 Flash打造的多模態AI代理，可處理語音、音訊、影片、圖像和文字等多元的資料類型，也因此有了多模態的行動裝置和瀏覽器等代理，能即時辨識螢幕中的影片、文字、圖像和音訊，還與Google自己的服務整合，來管理日曆、發送郵件和搜尋查詢等需求。</p> <p dir="ltr">或是Amazon執行長Andy Jassy在2024年末大會上預告，2025年將推出Nova任意多模態到多模態模型，不論是輸入文字、影片、音訊還是圖片，模型都能任意給出文字、圖片、影片、音訊等類型的答案，可處理的資料範圍更廣了。AWS也計畫用來發展多模態AI代理服務，自動處理更複雜的任務。</p> <p dir="ltr">就連蘋果也在2024下半年揭露多模態大語言模型MM 1.5的同時，發布MM 1.5-UI模型，不只能理解行動裝置UI圖示，也能懂使用者行為，可望成為iOS幕後自動作業的多模態AI代理，來與使用者對話、代替使用者與裝置互動，完成任務。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理是什麼</strong></span></span></p> <p dir="ltr">科技巨頭大動作擁抱多模態AI代理，意味著多模態代理不只是技術殺手鐧，還是2025年的重要趨勢。</p> <p dir="ltr">多模態AI代理從AI代理衍生而來，而AI代理專門借助模型的推理能力，將複雜任務拆解為一系列步驟，由不同代理分工執行，能自動使用工具、呼叫函數或即時回應API來完成工作。</p> <p dir="ltr">而多模態模型更進階，單一模型能處理的更多種類資料，比如文字、圖片、影片和音訊等。因此，比起單純的AI代理，多模態AI代理能理解並推理的資料類型更多，能自主決策、完成任務的範圍也更廣泛，舉凡自動分析長篇影片、找出特定物件並連結通路網站，都不是難題。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>多模態AI代理如何影響產業</strong></span></span></p> <p dir="ltr">多模態AI代理開始落地，將如何影響企業？</p> <p dir="ltr">國際調查研究機構Gartner直言，這類智慧代理不需要明確的輸入，但可以接收指令、建立計畫並自主使用工具來完成任務，產出動態輸出。</p> <p dir="ltr">Google以Gemini 2.0 Flash打造的多模態AI代理，就是一例。因為，這款模型經多模態訓練，不只能進行文字和圖像輸出任務，還能產出語音回覆，甚至能自動呼叫第三方函數、Google搜尋和程式碼執行等工具，就連即時的多模態API呼叫也沒問題，能即時處理螢幕當下的影片或音訊。</p> <p dir="ltr">具體實例就是該模型驅動的瀏覽器多模態AI代理Project Mariner，可自動瀏覽網頁、自動點擊分頁並找出所需資訊，比如使用者只需給出特定公司名單、要求代理找出聯絡方式，多模態AI代理就會自動搜尋網頁、瀏覽公司網站並列出聯絡資訊，將繁瑣的人工作業自動化。</p> <p dir="ltr">又或是，Google雲端在2025 AI產業衝擊文章中舉例，已有零售業者開始使用多模態AI代理來優化客服中心，當民眾打電話到客服中心詢問，語音經轉錄為文字分析後，自動產生更聰明的語音回覆給民眾。</p> <p dir="ltr">AWS也舉例，金融產業可用多模態代理和工具，來分析文字類、音訊、圖像等資料，再加上情緒分析、投資組合優化和股票查詢等工具串接，來找出金融洞察、進行更準確的投資。</p> <p dir="ltr">這些例子只是冰山一角。當多模態代理遍地開花，企業可用來自動處理更多更複雜的任務。一如Gartner所預測，2024年企業應用程式使用代理型AI的比例雖然不到1%，但到了2028年，將成長為3成，且15%的日常工作決策都能由智慧代理自主完成。</p> <p> </p> </div></div></div>
2024/12/28 09:43作者王若樸https://www.ithome.com.tw/news/166723
【資安日報】12月26日，日本航空傳出遭遇網路攻擊導致部分航班延誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166698"><strong style="font-size: 22px;">日本航空傳出對外網路停擺，部分機場班機出現延誤，當地媒體指出是遭遇網路攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JAL_28laMkMWl8.png" style="width: 300px; float: right;" /></a>今天（26日）上午有媒體報導，日本當地有多處機場出現班機延誤的現象，起因是有航空公司遭遇網路攻擊造成。</p> <p>日本航空（Japan Airlines，JAL）在網站上發布公告，表示他們在今天當地時間早上7時24分（臺灣時間6時24分）開始，發現連接內外網路環境的網路設備遭到破壞，並導致與外部通訊的系統也發生異常。對此，該公司於8時56分將導致網路運作故障的路由器設備離線，並表示他們已經確定這起事故的影響範圍，正在對相關系統進行檢查，並著手復原。</p> <p>雖然日本航空並未提及上述事故發生的原因，但當地媒體都指出是伺服器遭到攻擊造成。根據NHK的報導，羽田機場、關西機場、大阪機場、福岡機場都出現部分班機延誤的情況，但成田機場並未受到影響。</p> <p><a href="https://www.ithome.com.tw/news/166665"><strong style="font-size: 22px;">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</strong></a></p> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>資安業者Socket分析兩個惡意NPM套件，指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/weaponizing-windows-defender-new-attack-bypasses-edr/">Windows應用程式控制機制WDAC可被利用，研究人員展示停止EDR系統運作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9474-exploited-littlelamb-wooltea-backdoor-discovered-in-palo-alto-devices/ https://northwave-cybersecurity.com/hubfs/LITTLELAMB WOOLTEA technical writeup Schrijver and Oudenaarden.pdf">後門程式LittleLamb、WoolTea鎖定Palo Alto Networks防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/irans-charming-kitten-deploys-bellacpp.html">伊朗駭客Charming Kitten以C++改寫惡意程式，對亞洲企業組織發動攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166703"><strong style="font-size: 22px;">程式碼管理系統Gogs存在重大漏洞，若不處理攻擊者有機會執行任意命令、竊取代管的程式碼</strong></a></p> <p>12月23日基於Git而成的程式碼管理系統Gogs發布0.13.2版，總共修補了6項漏洞，值得留意的是，當中有3項CVSS風險評分達到10分（滿分10分）的弱點，開發人員應儘速套用更新。</p> <p>這些漏洞分別是：SSH伺服器參數注入漏洞CVE-2024-39930、內部檔案刪除漏洞CVE-2024-39931，以及參數注入變更預覽漏洞CVE-2024-39932，一旦這些漏洞遭到利用，攻擊者就有機會執行任意命令，或是存取使用者存放的程式碼。值得留意的是，除了CVE-2024-39930，其餘兩個漏洞目前並無緩解措施能夠因應。</p> <p><a href="https://www.ithome.com.tw/news/166697"><strong style="font-size: 22px;">Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞</strong></a></p> <p>12月23日Apache基金會發布公告，表示旗下的內容傳遞網路（CDN）軟體Apache Traffic Control存在SQL注入漏洞CVE-2024-45387，影響8.0.0至8.0.1版軟體，他們已發布8.0.2版進行修補。</p> <p>這項漏洞出現在名為Traffic Ops的組態管理及監控元件，攻擊者一旦挾持特殊權限使用者，並取得admin、federation、operations、portal，或是steering角色身分，就有機會藉由發送特製的PUT請求，在資料庫執行任意SQL命令，CVSS風險評為9.9（滿分10分）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-51466-cvss-9-0-critical-vulnerability-found-in-ibm-cognos-analytics/">IBM商業智慧分析套件Cognos Analytics存在重大漏洞，有可能導致敏感資訊曝光、系統當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-53552-cvss-9-8-crushftp-flaw-exposes-users-to-account-takeover/">檔案傳輸系統CrushFTP存在重大漏洞，攻擊者能藉此重設密碼控制用戶帳號</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166702"><strong style="font-size: 22px;">OpenAI違反GDPR，義大利政府判罰1,500萬歐元</strong></a></p> <p>義大利資料保護主管機關日前以OpenAI非法蒐集用戶個資、未立即通報資料外洩，以及未確實驗證用戶年齡為由，判罰1,500萬歐元。</p> <p>2023年3月傳出ChatGPT存在漏洞，使用戶和ChatGPT的對話內容標題及支付資訊可被他人存取，促使的義大利資料防護管理署（Italian Data Protection Authority，Garante）啟動調查，調查於日前完成，Garante對OpenAI做出判罰及矯正措施。</p> <p>Garante指出，OpenAI非法蒐集用戶個資來訓練ChatGPT，違反了透明原則及相關的資訊義務，而且去年3月發生資料外洩時，也沒有第一時間通知義大利政府。再者，調查顯示，OpenAI並未提供驗證用戶年齡的機制，致使13歲以下兒童可能接觸不適當的回應內容。</p> <p><a href="https://www.ithome.com.tw/news/166701"><strong style="font-size: 22px;">勒索軟體LockBit開發者傳出在以色列被捕</strong></a></p> <p>惡名昭彰的勒索軟體駭客組織LockBit，今年2月他們的暗網網站傳出遭到11個國家的執法單位聯手扣押，5月這團體的首腦俄羅斯人Dmitry Yuryevich Khoroshev也面臨當局起訴，到了10月，有4名涉案人士被補，如今再傳美國逮捕另一名關鍵成員，並將進行引渡。</p> <p>根據以色列新聞網站Ynetnews的報導，美國檢察官辦公室在今年10月向以色列耶路撒冷地方法院申請，將居住在海法的Rostislav Panev引渡到美國，原因就是此人是勒索軟體駭客組織LockBit的成員，於2019年至2024年參與軟體開發。</p> <p>這項消息在上週四（19日）曝光。根據起訴書內容，此人為LockBit的軟體開發人員，他製作了進階的攻擊工具，其中包含能從受害電腦連線的印表機印出勒索訊息的機制，他從組織總共收到的酬勞是時價為23萬美元的比特幣。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166671"><strong>【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> </div></div></div>
2024/12/26 16:09作者周峻佑https://www.ithome.com.tw/news/166704
【資安日報】12月25日，美國政府下令萬豪、喜達屋旅館集團強化資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166663"><strong style="font-size: 22px;">萬豪國際及其子公司喜達屋因近年大規模資料外洩事故遭起訴，美國政府下令要求改善資安</strong></a></p> <p>12月20日美國聯邦交易委員會（FTC）下令，要求旅館業者萬豪國際（Marriott International）及其子公司喜達屋（Starwood Hotels & Resorts）導入完善的資安方案，換得和解導致超過3.4億旅客資料外洩的官司。</p> <p>FTC針對2014年到2020年期間，萬豪國際及喜達屋連鎖飯店旗下發生多起大規模資料外洩事故，在今年10月提起告訴，其中3起事件影響顧客人數超過3.44億。FTC指控飯店方面謊稱具備合理和適當的資料安全防護，事實上並非如此，因而導致至少3起個資外洩事故，而讓大量顧客資料，包括護照資料、支付卡號、客戶的忠誠會員編號等落入駭客手上。</p> <p>FTC要求兩家飯店業者建立完整的資安計畫，保護顧客個資、只在合理必要範圍內保留顧客個資，並在網頁上加入連結，允許顧客要求刪除其電子郵件信箱和忠誠會員帳號相關的資料。萬豪酒店還必須在客戶要求時，檢視並回復遭竊取的忠誠回饋點數。本命令宣布當天生效，要求兩家業者要在180天內完成實作，最後期限為2025年6月17日。</p> <p><a href="https://www.ithome.com.tw/news/166653"><strong style="font-size: 22px;">Python惡意套件Zebo與Cometlogger被用於供應鏈攻擊，竊取帳密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig07-malicious-python.png" style="width: 300px; float: right;" /></a>Fortinet的安全研究團隊近日發現兩款隱藏惡意行為的Python套件，分別為Zebo-0.1.0與Cometlogger-0.1。這兩個套件表面看起來只是普通的開源程式碼，實則內含多種惡意功能，突顯了開源軟體供應鏈攻擊日益增加的資安威脅。</p> <p>研究人員指出，Zebo-0.1.0的惡意功能包括鍵盤記錄、螢幕擷取、資料外洩與持久性機制設置。該惡意套件利用了如pynput與ImageGrab等合法Python函式庫，結合混淆技術來隱藏其真正意圖。Zebo程式會在用戶的電腦上記錄所有鍵盤輸入並定期截取螢幕畫面，這些資料隨後被上傳至遠端伺服器。值得注意的是，Zebo藉由設置系統啟動時自動執行機制來實現持久性，確保惡意行為能夠持續執行。</p> <p>另一款惡意套件Cometlogger-0.1則更加複雜且危險，其功能涵蓋動態檔案修改、Webhook注入、資訊竊取與反虛擬機器檢測等。</p> <p><a href="https://www.ithome.com.tw/news/166670"><strong style="font-size: 22px;">針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決WhatsApp勝訴</strong></a></p> <p>2019年10月Meta旗下與即時通訊軟體WhatsApp傳出對以色列間諜軟體公司NSO Group提告，控訴該公司提供賣家的間諜軟體Pegasus，於當年4月至5月利用零時差漏洞CVE-2019-3568，滲透約1,400臺行動裝置。如今判決出爐，NSO Group利用WhatsApp零時差漏洞的行為，美國聯邦法院認定違反當地與駭客有關的法律。</p> <p>對此，WhatsApp負責人Will Cathcart表示，這項判決是隱私的巨大勝利，他們堅信間諜軟體公司必須對非法行為負責。</p> <p>究竟這波利用零時差漏洞的事故造成多少損害？目前仍不得而知。資深科技法律顧問Natalia Krapiva指出，陪審團將在明年3月3日開庭，進行相關的判決。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/wikikit-phishing-kit-targets-major-industries-with-evasive-techniques/">網釣工具包WikiKit鎖定汽車、製造、醫療而來，佯稱是受害者所屬企業來發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nodestealer-infostealer-new-python-based-variant-targets-facebook-ads-manager/">以Python打造的竊資軟體NodeStealer針對臉書廣告管理員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/lockbit-ransomware-developer-arrested-israel">勒索軟體LockBit開發者傳出在以色列被捕</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166667"><strong style="font-size: 22px;">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</strong></a></p> <p>12月17日Apache基金會發布網頁伺服器系統Tomcat更新11.0.2、10.1.34、9.0.98版，當中修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379，事隔3日，他們再度發布資安公告指出，上述版本出現修補不完整的現象，呼籲IT人員要儘速採取行動。</p> <p>CVE-2024-50379是涉及檢查時間及使用時間（TOCTOU）的弱點，發生在Tomcat編譯JSP的過程，並在預設的servlet啟用寫入功能（非預設組態）的情況下，攻擊者有機會藉由對相同檔案同時上傳及下載的情況下，繞過Tomcat的檢查，此時上傳的檔案會被視為JSP程式，從而導致遠端任意執行程式碼的資安風險，CVSS風險評為9.8（滿分10分）。</p> <p>12月20日Apache基金會再度發布公告，他們發現上述新版程式修補並不完整，並將這項弱點登記為CVE-2024-56337。特別的是，該基金會並非再度發布新版軟體予以修補，而是要求用戶必須調整Java元件的部分組態來因應。</p> <p><a href="https://www.ithome.com.tw/news/166669"><strong style="font-size: 22px;">控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令</strong></a></p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-49775-cvss-9-8-critical-vulnerability-in-siemens-umc-exposes-systems-to-remote-exploitation/">西門子UMC元件存在重大漏洞，攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/rockwell-powermonitor-vulnerabilities-allow-remote-hacking-of-industrial-systems/">Rockwell能源控制監視器PowerMonitor存在重大漏洞，攻擊者有機會取得工控環境的存取權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.tca.org.tw/tca_news1.php?n=2257"><strong style="font-size: 22px;">台北市電腦商業同業公會頒發2024資安精品獎，6項產品及服務獲獎</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ULFXj7AhG7.png" style="width: 300px; float: right;" /></a>台北市電腦公會主辦資安精品獎，吸引超過30家資安業者參與，經評選後15家進入決審，最終結果於12月24日公布，有6家資安公司獲獎。這些得獎的公司及產品服務分別為：</p> <p>卓越獎：睿控網安SageOne</p> <p>領航獎：來毅數位Keypasco ZTNA、中華資安國際紅隊演練服務</p> <p>創新獎：杜浦數位TeamT5威脅偵測應變代管服務、奧義智慧XCockpit EASM外部資產曝險管理、兆勤科技USG FLEX 200HP</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166656"><strong>【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> </div></div></div>
2024/12/25 17:09作者周峻佑https://www.ithome.com.tw/news/166671
控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，<a href="https://www.zerodayinitiative.com/advisories/ZDI-24-1725/">伺服器網頁管理主控臺Webmin的CGI元件存在命令注入漏洞CVE-2024-12828</a>，一旦攻擊者成功利用，就有機會遠端於Webmin執行任意程式碼，CVSS風險評分為9.9（滿分10分），這項漏洞研究人員今年3月向開發團隊通報，Webmin隔月發布2.111版修補，並指出2.105以下的版本都有可能曝險。</p> <p>研究人員提及，這項弱點發生的原因，在於Webmin處理CGI請求的過程，從而導致使用者提供的字串被用於執行系統呼叫之前，並未經過適當的驗證，使得攻擊者有機會以root權限執行任意程式碼。</p> <p>但攻擊者利用這項漏洞存在必要條件，那就是必須在通過身分驗證的狀態下才能觸發漏洞。</p> <p>另一方面，Webmin也在資安公告說明這項漏洞帶來的影響。<a href="https://webmin.com/security/#privilege-escalation-by-non-root-users-cve-2024-12828">開發團隊指出</a>，攻擊者有機會利用不具特殊權限的Webmin使用者，利用Shell自動完成指令敘述的功能觸發漏洞，從而以root執行命令。</p> <p>他們也提及使用網站管理主控臺Virtualmin的用戶，也同樣受到這項漏洞影響，因此，Webmin與Virtualmin的用戶應儘速執行更新程式。</p> </div></div></div>
2024/12/25 15:44作者周峻佑https://www.ithome.com.tw/news/166669
Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開源套件的供應鏈攻擊事故頻傳，最近幾個月已有不少事故傳出，值得留意的是，部分事故駭客疑似掌握管理者帳號，以開發團隊的名義上傳有問題的新版套件，使得許多使用自動更新機制的開發人員，他們的開發環境有可能被植入惡意程式。</p> <p>例如字節跳動開源的前端軟體封裝套件Rspack，開發團隊上週提出警告，證實他們遭遇攻擊，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issue-2749111424">目前已知有@rspack/core、@rspack/cli受影響，這兩個NPM套件被攻擊者植入有問題的1.1.7版</a>，內含惡意指令碼，呼籲用戶更新1.1.8版，或是維持使用1.1.6版。對於整個事故發生的過程，該團隊將著手調查。</p> <p>對此，Rspack團隊已移除1.1.7版，並將最新版本指向1.1.6版，他們也註銷現有的NPM及GitHub的Token因應。此外，該團隊也針對儲存庫及NPM套件的權限進行檢查，並確認相關系統是否存在弱點。該團隊也發布了1.1.8版供用戶升級，但值得留意的是，這個版本僅是將1.1.6版重新發布，目的是為了因應部分使用者可能不慎安裝攻擊者上傳的版本。</p> <p>Rspack是網站模組打包工具，可將眾多模組與資源打包，並編譯需要事先處理的內容，使得這些資源更容易在網站或網頁應用程式運用。Rspack是以Rust改寫的Webpack，於2023年正式推出，由於這項工具廣受微軟、Amazon、阿里巴巴等大型企業採用，其中@rspack/core、@rspack/cli每週分別被下載約37萬次、13.5萬次，因此上述的供應鏈攻擊事故，很有可能影響相當廣泛。</p> <p>資安業者Socket分析兩個惡意NPM套件，<a href="https://socket.dev/blog/rspack-supply-chain-attack">指出這些套件的程式碼都會在開發環境植入挖礦軟體XMRig</a>。攻擊者運用經過混淆處理的程式碼，對遠端伺服器進行呼叫，然後將特定資料外傳，或是收集系統環境配置資訊，以便攻擊者能進行下個階段的攻擊行動。</p> <p>特別的是，攻擊者疑似鎖定特定的開發環境而來，他們呼叫API收集受害主機的環境資訊。雖然Socket並未特別提及駭客針對的目標，但開發人員Wojciech Maj進行調查，<a href="https://github.com/web-infra-dev/rspack/issues/8767#issuecomment-2555772131">並於Rspack的公告當中指出</a>，攻擊者針對中國、香港、俄羅斯、白俄羅斯、伊朗而來，而且，只針對執行Linux作業系統的開發環境發動攻擊。</p> <p>這起資安事故引發開發界討論相關安全議題，例如：軟體套件管理工具需要更好的防護機制，像是對於部署未經檢驗的新版套件執行前，應該發出警示訊息，要開發人員提高警覺。</p> <p>也有開發者向套件管理工具pnpm的開發團隊提出請求，<a href="https://github.com/pnpm/pnpm/issues/8889">建議要提供禁止套件更新到未經驗證版本的功能</a>，來減少類似的事故造成的災情。</p> </div></div></div>
2024/12/25 12:55作者周峻佑https://www.ithome.com.tw/news/166665
【資安日報】12月24日，鎖定M365帳號的網釣工具包FlowerStorm現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166651"><strong style="font-size: 22px;">鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RS_vs_FS_detects.jpg" style="width: 300px; float: right;" /></a></p> <p>本月初資安業者Trustwave揭露網釣工具包Rockstar 2FA，賣家以租用型式提供買家運用（Phishing-as-a-Service，PaaS），此工具包主要的目標是使用者的Microsoft 365（M365）帳號，如今有研究人員發現，經營該網釣工具包的賣家疑似另起爐灶，再度開發另一款新的網釣工具包供打手租用。</p> <p>資安業者Sophos指出，從去年11月出現的Rockstar 2FA，在今年11月活動突然變得極為安靜，根據他們的遙測資料，駭客部分的基礎設施出現停擺的情況，相關的網頁無法使用，但這些現象發生的原因並非執法單位圍剿，而是此系統後端出現異常所致。</p> <p>事隔數週，研究人員發現新的網釣工具包租用服務FlowerStorm活動變得頻繁，並發現該網釣工具包與Rockstar 2FA有共通特徵，疑似源自另一個用Telegram機器人運作的網釣工具包租用服務Tycoon，因為兩者之間有許多共通功能。</p> <p><a href="https://www.ithome.com.tw/news/166623"><strong style="font-size: 22px;">資安業者TeamT5解析2024年中國APT攻擊態樣與假訊息潮流</strong></a></p> <p>在2024年，全球資安事件的數量持續攀升，臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣於「2024 TAS 威脅分析師高峰會」指出，根據他們的觀察，資安攻擊數量較2023年增加的比例達到兩位數，顯示攻擊者活動頻率不斷提高。特別是高活躍度的攻擊族群從去年的60個增至今年的73個，增幅超過20％。這些攻擊族群採用更多元化的攻擊技術與手段，針對不同目標展開更加精密的行動。</p> <p>他指出，2024年是全球的選舉年，從中可以觀察到許多駭客組織利用深偽影片和發布假訊息的方式，企圖左右各國的選舉結果，臺灣也深受假訊息和深偽影片危害。</p> <p>此外，李庭閣表示，該公司也從中國資安公司安洵（i-Soon）外洩的資料中發現，中國APT組織彼此之間有不同的競合關係，但隨著中國經濟開始衰退，過往由政府在背後提供資金支持的APT組織，在缺乏資金的前提下，也將攻擊對象從以往的國家、軍方和大型企業，開始轉向缺乏資安專業和預算的中小企業。</p> <p><a href="https://www.ithome.com.tw/news/166652"><strong style="font-size: 22px;">殭屍網路Mirai變種Hail Cock鎖定Digiever網路視訊監視設備而來，利用RCE漏洞入侵受害設備</strong></a></p> <p>鎖定老舊連網設備的攻擊行動層出不窮，原因是這類設備很久以前就已進入生命週期結束（EOL）的狀態，廠商不會提供更新軟體修補相關漏洞，使得攻擊者有機會持續用來發動攻擊。</p> <p>例如，資安業者Akamai最近揭露的殭屍網路攻擊事故，就是典型的例子。他們發現臺廠永恒數位通訊科技（Digiever）旗下網路視訊監視設備（NVR）DS-2105 Pro遭到鎖定，攻擊者針對一項漏洞而來，藉此散布殭屍網路病毒Mirai的變種Hail Cock，其特別之處在於，駭客運用了ChaCha20、XOR演算法進行處理有效酬載，而能夠迴避資安系統偵測。</p> <p>這起事故的發現，源於Akamai資安事件回應團隊（SIRT），他們在11月中旬察覺針對全球蜜罐陷阱特定URI的攻擊，當時他們初步分析認為，這是一起以Mirai為基礎的惡意軟體攻擊行動，至少從10月開始進行，過程中駭客利用一項尚未登記CVE編號的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/166649"><strong style="font-size: 22px;">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，19萬臺安卓裝置遭綁架、組成殭屍網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/160000 unique IPs.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/160000%20unique%20IPs.png" style="width: 300px; float: right;" /></a>德國聯邦資訊安全辦公室（BSI）於12月12日表示，他們已經利用DNS陷坑（Sinkholing）的手段，中斷惡意程式BadBox的運作，並透露該國至少有3萬臺設備受害，但其他國家是否也出現災情？有研究人員公布新的調查結果。</p> <p>這些遭到BadBox感染的設備形成殭屍網路，主要是被駭客用來用作非法代理伺服器，或是遠端程式碼安裝攻擊、帳號濫用、廣告詐欺。在前一波攻擊行動裡，一度有多達7.4萬臺裝置遭到綁架，在相關活動被阻斷後似乎就銷聲匿跡，然而，實際上並非如此，相關活動不僅持續進行，而且規模更大，殭屍網路的用途也變得更為廣泛。</p> <p>資安業者BitSight指出，他們近期找到BadBox新的基礎設施，進一步進行遙測發現，駭客控制了超過19.2萬臺安卓裝置，而且，這個數字目前仍持續增加當中。值得留意的是，這些遭感染的裝置當中，大部分是研究人員過往不曾遇到的型號，例如Yandex 4K QLED智慧電視、海信（Hisense）智慧型手機T963。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-court-finds-spyware-maker-nso-liable-for-whatsapp-hacks/">間諜軟體供應商NSO Group利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/notlockbit-new-cross-platform-ransomware-threatens-windows-and-macos/">跨平臺勒索軟體NotLockBit鎖定Windows、macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.websiteplanet.com/news/builderai-breach-report/">英國AI開發平臺Builder.ai資料庫配置不當，曝露300萬筆記錄資料</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apache-fixes-remote-code-execution-bypass-in-tomcat-web-server/">Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://patchstack.com/articles/multiple-critical-vulnerabilities-patched-in-wplms-and-vibebp-plugins/">WordPress外掛WPLMS、VibeBP存在7項重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166655"><strong style="font-size: 22px;">中國駭客鎖定電信業發動大規模攻擊，CISA呼籲高風險用戶應改用支援E2EE的加密通訊軟體因應</strong></a></p> <p>今年10月底美國聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）證實，中國資助的駭客非法存取美國的電信基礎設施，後續11月中旬他們確認這些駭客竊取用戶的通訊記錄資料，且針對參與政府及政治事務的特定人士，滲透私人通訊內容，究竟這些被鎖定的人們該如何自保？近期CISA給出了解方。</p> <p>12月18日CISA發布行動通訊最佳實作指引（Best Practice Guidance for Mobile Communications），並表明這些指引內容就是針對前述中國駭客相關攻擊行動進行回應，適用於攻擊者可能會高度感到興趣的人士，例如：政府機關的高層。</p> <p>當中最受到關注的部分，就是建議人們改用Signal這類實作全程加密（E2EE）的加密通訊軟體，來對他人進行通訊，CISA提及用戶挑選這類通訊軟體的必要條件，是至少有針對iOS和安卓作業系統實作全程加密，使得用戶能夠在不同平臺之間進行安全的通訊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166628"><strong>【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> </div></div></div>
2024/12/24 17:44作者周峻佑https://www.ithome.com.tw/news/166656
【資安日報】12月23日，羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166626"><strong style="font-size: 22px;">羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" style="width: 300px; float: right;" /></a>最近幾年專門利用Linux伺服器從事挖礦攻擊的事故陸續傳出，其中一個專門從事這類攻擊行動的羅馬尼亞駭客Diicot（或稱Mexals），有研究人員揭露最新一波的攻擊行動。</p> <p>資安業者Wiz指出，這些駭客通常會利用自我散布工具、自製的UPX打包工具，透過網路掃描尋找下手目標，並植入挖礦軟體，但在他們最新一波的攻擊行動裡，駭客運用損壞的檢查碼（checksum）竄改UPX檔案標頭，以防正常的解包工具能夠進行拆解，而且，這次駭客使用了進階的惡意酬載與行為來從事相關攻擊。</p> <p>研究人員舉出其中一種手法為例，駭客會根據Linux作業系統的版本，來偵測惡意軟體是在雲端或是內部網路環境執行，一旦發現是雲端環境，則惡意軟體就會進行自我散布，直到是內部網路環境的Linux主機，才會執行部署挖礦軟體有效酬載的工作。駭客這麼做的目的，很有可能就是根據威脅情資曝露的蹤跡進行調整，以免相關攻擊行動曝光。</p> <p><a href="https://www.ithome.com.tw/news/166625"><strong style="font-size: 22px;">駭客UAC-0125濫用Cloudflare Workers散布惡意程式，目的是攻佔烏克蘭軍隊個人電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭持續至今接近3年，為提升部隊呈交報告的效率，今年8月烏克蘭國防部發布名為Army+的行動應用程式，標榜能讓軍人使用安卓及蘋果的行動裝置快速呈交11種類型的報告，減輕他們在文書作業上的負擔，然而敵對陣營的駭客也趁機散布惡意程式。</p> <p>12月18日烏克蘭電腦網路危機處理暨協調中心（CERT-UA）提出警告，他們掌握駭客組織UAC-0125架設許多仿冒Army+應用程式的網站，濫用無伺服器運算服務Cloudflare Workers，意圖對烏克蘭軍人散布惡意程式。</p> <p>究竟駭客如何引誘烏克蘭軍人上門？目前仍不清楚，但CERT-UA指出，發起這波攻擊的駭客組織UAC-0125，與他們稱為UAC-0002的俄羅斯駭客組織Sandworm（也稱為APT44、Voodoo Bear）之間，存在某種關聯。CERT-UA提及，這些駭客於今年上半，就曾假借提供微軟Office軟體安裝檔案發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166594"><strong style="font-size: 22px;">Juniper針對Session Smart Router提出警告，駭客利用預設帳密散布殭屍網路病毒Mirai</strong></a></p> <p>12月17日網路設備業者Juniper Networks發布資安公告，指出他們在上週三（11日）接獲用戶通報，部分Session Smart Router（SSR）路由器設備出現可疑活動，這些遭感染的系統被植入殭屍網路病毒Mirai，然後攻擊者將其用於對其他設備發動DDoS攻擊。</p> <p>值得留意的是，他們提及這些受害設備存在共通點，那就是都使用預設的密碼，因此，若是使用者並未遵循最佳實務進行配置，並延用預設密碼，就有可能成為這波攻擊事故的受害者。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/rspack-npm-packages-compromised-with.html">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/lazarus-group-spotted-targeting-nuclear.html">核能工程師遭北韓駭客Lazarus鎖定，面臨惡意軟體CookiePlus攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，有人綁架19萬臺安卓裝置組成殭屍網路</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-rdp-proxies-to-steal-data-in-mitm-attacks/">俄羅斯駭客APT29架設RDP代理伺服器從事中間人攻擊，竊取帳密並部署惡意軟體</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166622"><strong style="font-size: 22px;">Sophos修補兩項防火牆重大漏洞，若不處理就有可能遭到SQL注入攻擊、曝露系統特權管理員帳號</strong></a></p> <p>12月20日資安業者Sophos發布資安公告，公布防火牆漏洞CVE-2024-12727、CVE-2024-12728、CVE-2024-12729，並指出這些漏洞影響執行Sophos Firewall 21以前的版本，他們已推送相關修補程式，呼籲IT人員儘速檢查系統是否已套用相關更新。</p> <p>這些漏洞分別涉及預先身分驗證SQL注入、弱密碼，以及後身分驗證程式碼注入，CVSS風險介於8.8至9.8。其中又以重大層級的CVE-2024-12727、CVE-2024-12728特別值得留意。</p> <p>CVE-2024-12727存在於電子郵件防護功能，為預先身分驗證SQL注入弱點，若是遭到利用，攻擊者就有可能利用防火牆的回報資料庫遠端執行任意程式碼（RCE），CVSS風險為9.8分。另一個被列為重大層級的漏洞為CVE-2024-12728，涉及高可用性叢集初始化過程當中，系統推薦用戶的非隨機SSH登入密碼短句（passphrase），而這個密碼短句在HA建置流程完成後仍然有效，使得防火牆在啟用SSH連線的狀態下，就有能可能曝露系統特權系統管理員帳號，CVSS風險為9.8。</p> <p><a href="https://www.ithome.com.tw/news/166613"><strong style="font-size: 22px;">MinIO修補物件儲存平臺弱點，包括允許任意使用者獲得完全管理權限的重大漏洞</strong></a></p> <p>憑藉高效能、高擴展性與簡易特色，近來在物件儲存領域聲名鵲起的MinIO，於12月16日通報1個重大漏洞CVE-2024-55949，並釋出修補版本。</p> <p>MinIO是一款相容於S3協定的物件儲存軟體平臺，能以開源的免費形式（基於GNU AGPLv3授權），與付費的商用授權形式使用。</p> <p>而日前通報的CVE-2024-55949則是評分達到9.3分的重大漏洞，這個漏洞是IAM身分存取識別匯入API（IAM import API）所導致，由於缺少權限檢查，攻擊者可以藉由建立iam-info.zip檔案，然後透過mc admin cluster iam import指令匯入該檔案，從而修改自身在MinIO平臺上的權限，進而還能取得完全的管理權限，控制整個MinIO平臺的管理與部署。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-fortiwlm-bug-giving-hackers-admin-privileges/">Fortinet無線網路管理系統FortiWLM存在重大漏洞，若不處理攻擊者有機會接管設備</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166563"><strong>【12月18日】中國駭客組織Tidrone利用ERP軟體攻擊韓國企業</strong></a></p> </div></div></div>
2024/12/23 17:52作者周峻佑https://www.ithome.com.tw/news/166628
羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年專門利用Linux伺服器從事挖礦攻擊的事故陸續傳出，其中一個專門從事這類攻擊行動的羅馬尼亞駭客Diicot（或稱Mexals），有研究人員揭露最新一波的攻擊行動。</p> <p>資安業者Wiz指出，這些駭客通常會利用自我散布工具、自製的UPX打包工具，透過網路掃描尋找下手目標，並植入挖礦軟體，但<a href="https://www.wiz.io/blog/diicot-threat-group-malware-campaign">在他們最新一波的攻擊行動</a>裡，駭客運用損壞的檢查碼（checksum）竄改UPX檔案標頭，以防正常的解包工具能夠進行拆解，而且，這次駭客使用了進階的惡意酬載與行為來從事相關攻擊。</p> <p>研究人員舉出其中一種手法為例，駭客會根據Linux作業系統的版本，來偵測惡意軟體是在雲端或是內部網路環境執行，一旦發現是雲端環境，則惡意軟體就會進行自我散布，直到是內部網路環境的Linux主機，才會執行部署挖礦軟體有效酬載的工作。駭客這麼做的目的，很有可能就是根據威脅情資曝露的蹤跡進行調整，以免相關攻擊行動曝光。</p> <p>根據相關調查結果，這波攻擊行動與過往有許多不同之處，首先，駭客改以Go語言打造相關工具，並透過名為Update的有效酬載做為核心元件，而能在受害主機持續運作，並進行自我散播。</p> <p>而對於基礎設施架構的部分，也出現不少變化，駭客不光使用新的伺服器、網域名稱、加密貨幣錢包，並開始採用名為Zephyr Protocol的去中心化金融（DeFi）穩定幣通訊協定進行挖礦。附帶一提的是，這些駭客開始棄用以即時通訊軟體Discord為基礎的C2架構，但原因為何研究人員並未進一步說明。</p> <p>根據駭客使用的加密貨幣錢包進行追蹤，不法所得超過1.6萬美元，但由於這些駭客已逐步轉向使用Zephyr Protocol，相關金流將變得更加難以追蹤，因此研究人員認為，這些駭客實際挖得的加密貨幣價值，應遠高於此。</p> </div></div></div>
2024/12/23 15:59作者周峻佑https://www.ithome.com.tw/news/166626
【AWS GAI戰略1】從3大AI主力平臺服務轉型為GAI創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「生成式AI（GAI）將成為每個應用程式的核心！」AWS執行長Matt Garman在今年度re:Invent大會中如此直言，揭露了AWS年度戰略的一大重點：生成式AI。他更在主題演講中，花了超過一半的時間，在說明AWS AI平臺服務如何為生成式AI設計新功能。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點1 </span></span> <span style="color:#B22222;">上架市集，還有蒸餾功能加速開發</span></strong></span></p> <p>以去年正式上線的生成式AI平臺Amazon Bedrock為例，這款平臺專為生成式AI設計，提供基礎模型選用、測試、算力支援以及各類工具，來讓使用者將模型整合到應用程式、部署到正式環境。目前有數十萬家組織在使用它。</p> <p>今年，這款平臺進一步延伸，從基礎模型選擇、提示管理，到RAG和大模型幻覺避免等生成式AI的熱門議題，都有亮點更新。</p> <p>首先是正式上架的Amazon Bedrock Marketplace市集，提供了100多個熱門的基礎模型，來讓使用者測試和部署。這些模型種類多元，有特定領域的專用模型，像是用於蛋白質研究的ESM3模型，也有通用的基礎模型，如來自Meta、Anthropic的語言模型。</p> <p>而且，這個市集還提供單一介面，來讓使用者直接存取專用和通用模型，不必再自己建立抽象層和複雜的安全層等複雜工作。</p> <p>除了基礎模型有更多選擇，AWS還鎖定建模需求，在Amazon Bedrock新添了預覽版的模型蒸餾功能，能將大模型知識快速轉移到小模型上，縮短模型開發時間、降低成本。</p> <p>這個功能的特點是，使用者就算不具備機器學習專業知識，也能給定範本提示，來讓系統產出較小的蒸餾模型。這個新功能適用於多種模型，來自Anthropic、Meta和Amazon自己在大會中新發布的Nova系列模型都可以。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點2 </span></span> <span style="color:#B22222;">更有效管理提示成本</span></strong></span></p> <p>隨著生成式AI深化企業工作流程，如何控管提示成本，也成為一大問題。看準這波需求，AWS今年在Amazon Bedrcok中推出提示快取（Prompt caching）預覽版新功能，可對提示進行快取，要是偵測到重複輸入的提示，就能快取同部分的答案，減少提示重複出現所產生的Token成本。</p> <p>也就是說，企業建立的GAI聊天機器人，有多位使用者在提示中詢問同樣問題時，Amazon Bedrock就能快取該部分的答案。因此，這部分問題只會處理一次，還能在每次有人想要詢問相關問題時，重複使用，減少了模型每次需要處理的資訊量。</p> <p>AWS資料與人工智慧資深副總裁Swami Sivasubramanian甚至形容：「這是降低延遲和節省成本的關鍵，可以降低85%延遲、節省90%成本。」</p> <p>還有另一款管理提示成本的預覽版新功能是智慧提示分配（Bedrock Intelligent Prompt Routing）。這個功能很特別，使用者配置後，它能根據提示內容，自動將提示分配給最適合且兼顧成本的模型來回答問題。這個方法，在不影響準確度的情況下，最高可節省3成成本，開發者也不必再花大量時間，測試哪些模型最適合回答特定問題。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點3 </span></span> <span style="color:#B22222;">RAG支援結構化和多模態資料了</span></strong></span></p> <p>在正式場景運用生成式AI，最怕的就是答非所問。為約束生成式AI不亂回答，檢索增強生成（RAG）成為一種主流方法，靠外接資料庫，來讓大型語言模型（LLM）在其中搜尋、產出答案，降低幻覺發生。</p> <p>先前，AWS就推出相關服務來支援RAG，比如Amazon Bedrock Knowledge Bases知識庫，能用來簡化RAG工作流程管理。又或是Amazon Kendra，能利用機器學習預測，來讓使用者更容易在企業或組織中找到所需的正確資料。</p> <p>這次，AWS瞄準RAG所需的資料類型，分別祭出Bedrock Knowledge Bases的結構化資料檢索功能，以及能自動從非結構化的多模態資料中抽取內容，來轉換、生成結構化資料的Amazon Bedrock Data Automation預覽版資料自動化功能。甚至還有支援圖學檢索的Bedrock Knowledge Bases GraphRAG預覽版功能，使用者可以打造使用知識圖譜的GAI應用程式了。</p> <p>不只如此，AWS還擴大了RAG可參考的資料來源，一併推出Kendra GAI Index預覽版，使用者能連結40多個資料來源、對其索引，來打造更好的數位助理和智慧搜尋體驗。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> GAI平臺亮點4 </span></span> <span style="color:#B22222;">多代理協作</span></strong></span></p> <p>同樣是避免生成式AI幻覺，除了RAG，AWS今年還在Amazon Bedrock中新添另一項自動推理（Automated Reasoning）檢查功能預覽版，可以檢測模型產出的答案是否符合邏輯。Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查產出結果，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p>生成式AI的興起，也帶動了AI代理（Agent）應用。也就是說，一項任務可拆解為好幾個步驟，這些步驟可由幾個AI代理來執行。但任務越複雜，比如涉及數百個、上千個變數的財務分析，就需要大量AI代理來分工執行，這種多代理的管理、調度難度也就越高。</p> <p>所以，AWS今年在既有的Bedrock Agent代理功能中，進一步新添多代理管理協作功能預覽版，使用者可用來建置、部署和管理多個AI代理，來共同執行複雜的多步驟任務，不必再寫複雜的程式碼。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#006400;"> GAI助理亮點1 </span></span> <span style="color:#006400;">協助IT現代化</span></strong></span></p> <p>AWS另一項AI主力產品，是去年新上線的生成式AI助理Amazon Q。這個助理分為Q Developer和Q Business兩種，分別能用AI代理，來處理程式開發和企業知識管理任務。</p> <p>今年，這兩款助理各有重大突破，特別是Amazon Q Developer。</p> <p>Matt Garman在大會上先賣關子，今年中，Amazon自己就用Q Developer來升級內部Java程式至Java 17，不只省下大把的人工轉換時間，還因為提早使用了現代化Java程式，進而省下年度2.6億美元的IT成本。</p> <p>於是他們思考，Q Developer能否也加速其他IT現代化工作，而不只讓AI助理輔助簡單的程式開發任務。他們找上不少企業資訊長，詳談IT現代化痛點，最後鎖定3個領域，打造出Q Developer轉換新功能，來協助IT現代化。</p> <p>第一個轉換新功能是，將Windows.NET程式轉換為Linux作業系統相容的版本。為何這件事對企業很重要？</p> <p>因為，Windows.NET是2002年推出、只在Windows作業系統執行，但不再積極更新的框架。而2016年，一款開源的跨平臺.NET框架出現了，可在Linux作業系統上執行，輕量且效能更好。它還會定期更新，每年都會釋出新功能和效能改進。</p> <p>因此，將.NET應用程式從Windows轉換到Linux版本，不只能使用最新功能，還能減少微軟的授權費用支出。</p> <p>而Q Developer的AI代理，會自動分析、找出不相容和效率低下的.NET程式碼，產出轉換計畫並執行，重寫有問題的原始程式碼。Q Developer的AI代理還能「同時處理數百甚至上千個應用程式，」Matt Garman強調，轉換時間能得到4倍加速，使用者還能省下40%的許可費用。</p> <p>他甚至舉例，歐洲一家數位交易大廠Signaturit是這項功能的早期合作夥伴，他們原本打算用6到8個月，來將.NET程式轉換為Linux版本。但有了Q Developer的.NET轉換功能協助，短短幾天就完成了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%962.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS另一款AI主力產品Amazon Q生成式AI助理，還可分為Developer和Business兩種。前者專門由AI代理執行程式開發相關任務，在今年新添了將Windows.NET轉換為Linux版本的現代化功能。</strong></span></p> <p>另一個新功能是將VMware虛擬機器工作負載轉換到Amazon EC2雲原生環境中。這個功能，由Q Developer的AI代理自動偵測程式相依性，評估狀況後會產出初始搬遷計畫，包含發現資料、應用程式分組、網路遷移和伺服器搬遷等步驟。</p> <p>過程中，AI代理會將本地端的VMware配置轉換為AWS同等配置，並視情況動態調整搬遷計畫。相較於純人工轉換所需的幾個禮拜，Q Devloper幾個小時就能完成。</p> <p>第三個新功能鎖定大型主機現代化。這是一個讓許多企業頭痛的大麻煩，Matt Garman直言，大型主機是目前為止最難搬遷上雲的複雜系統，甚至，當他與客戶企業討論時，「光是分析、記錄和規畫大型主機現代化，就要耗費大量精力，很多人因此放棄。」</p> <p>於是，AWS看準這個痛點，推出Q Developer大型主機現代化轉換功能，來將老舊的大型主機COBOL程式碼轉換為Java，加速原本人工吃重的工作。首先，Q Developer的AI代理會自動分析程式碼，接著規畫現代化流程，將龐大的單體架構拆解為較小的業務領域，並重寫為Java程式碼。在這個過程中，AI代理還會針對COBOL程式碼，產出文件記錄，讓使用者知道程式碼的作用，有助於應用程式現代化的決策。</p> <p>「很多企業客戶都認為，大型主機轉換至少要3到5年，」Matt Garman話鋒一轉：「根據早期客戶和內部測試，我們認為Q可以將多年的大型主機現代化工作，減少為多季度的工作，將轉換時間減少50%以上。」這是個非常可觀的加速。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>另一項Amazon Q助理的新亮點是IT現代化，能自動分析大型主機程式碼，還能自動產出文件紀錄、生成轉換計畫並執行。根據AWS早期測試，可將數年的IT現代化工作縮短為幾個季度。</strong><span style="font-size: 14px;">攝影／王若樸</span></span></p> <p>這些IT現代化功能，目前皆為預覽版。</p> <p>除了協助IT現代化，AWS今年也替Q Developer增添其他功能，比如正式上線的3款AI代理功能，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行程式碼檢查。又或是可自動偵測AWS環境問題的預覽版功能，使用者不必在不同的AWS監測工具中來回切換了。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#006400;"> GAI助理亮點2 </span></span> <span style="color:#006400;">整合更多資料和自動化</span></strong></span></p> <p>有別於程式開發，Amazon Q Business是一套企業知識管理GAI助理，能整合企業內部各類系統、AWS系統和第三方系統等40多個資料來源，來執行日常任務和資料查找等任務，也能像是商業智慧（BI）工具般，分析業務表現。就連Amazon自己的銷售團隊，也用Q Business來進行10萬多個帳號摘要。</p> <p>在這個基礎上，為讓使用者更方便進行BI分析，AWS這次將自家BI工具Amazon QuickSight和Q Business助理整合，就算使用者用的是Q Business建立的應用程式，也能查看BI工具提供的視覺化圖表等內容。</p> <p>不只是資料內容的整合，AWS還進一步擴大整合的資料來源範圍，使用者可授權獨立第三方廠商（ISV）的應用程式，透過API取用Amazon Q建立的索引（Index），來存取既有的其他應用程式資料，強化ISV應用程式的GAI體驗。</p> <p>再來，Q Business本身就有一些可執行的「動作」（Action），來讓使用者在日常應用程式中採取，來簡化工作流程，比如在Jira中建立問題。現在，AWS擴大這個動作庫，新添了50多個動作，來簡化使用者操作第三方生產力應用程式的工作流程，比如可以自動化操作Google Workspace、微軟365、Smartsheet等程式。</p> <p>甚至更進一步，AWS還為Q Business助理，新添了自動化執行複雜工作流程的功能，由AI代理分工執行，像是發票處理、管理用戶票證和新員工入職手續等工作。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> SageMaker亮點1 </span></span> <span style="color:#8B4513;">更貼切的運算資源管理</span></strong></span></p> <p>另一方面，AWS發展多年的傳統AI平臺工具Amazon SageMaker，在今年大會中也有重大更新，首先是模型訓練的運算資源控管。受生成式AI影響，模型將越來越大，模型訓練的運算資源也需要更細緻的管控，因此AWS在全託管的AI開發部署和維運平臺Amazon SageMaker AI中，推出幾款新功能。</p> <p>第一款是在其下的運算資源管理工具SageMaker HyperPod中，新添30款精心調整過的開源模型供存取。如此一來，使用者可在幾分鐘內快速使用Llama3.2 90B、Llama 3.1 405B和 Mistral 8x22B等熱門模型，降低入門門檻，不必耗費幾周的時間，來自己迭代測試、優化模型訓練效能。</p> <p>另一款新功能是自動化彈性支援模型訓練的計畫功能（SageMaker Hyperpod Flexible Training Plans），能自動設置模型訓練所需的基礎設施和運算叢集，而且符合使用者預期的訓練時間和成本。</p> <p>還有一款是任務治理新功能（SageMaker Hyperpod Task Governance），使用者能定義自己的優先任務，來最大化運用加速器運算資源，降低模型訓練、微調和推論的成本。</p> <p>不只如此，AWS這次還進一步擴大SageMaker生態系，只要是AWS合作夥伴的AI應用程式，比如Comet、Deepchecks、Fiddler和Lakera Guard等，都能直接供使用者在SageMaker中直接使用這些程式，不必再將資料移出安全的 AWS環境，減少在不同介面間來回切換的時間成本。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> SageMaker亮點2 </span></span> <span style="color:#8B4513;">整合工具新定位</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-%E5%9C%964.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS今年給予旗下AI開發部署平臺Amazon SageMaker新定位，集結AWS各種資料處理工具、分析工具和AI工具，成為一套統一的AI平臺。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／王若樸</span></p> <p>另一方面，AWS發展多年的傳統AI平臺工具Amazon SageMaker，在今年年會中有了新定位，成為一套集結資料處理、分析應用和AI工具的統一大平臺。</p> <p>Matt Garman點出，這個設計，是為了使用者能更好地打造AI分析應用，在單一平臺就能找到所需工具，不必在不同工具間來回切換。</p> <p>在這個新定位下，首先亮相的新功能是Unified Studio統一工作室預覽版，整合了AWS自家多種工具，包括SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等，甚至連主力的生成式AI平臺Amazon Bedrock，也納入其中，使用者在單一平臺就能存取，用來打造AI分析應用。</p> <p>AWS對SageMaker的統一策略還不只這一個。他們還針對AI分析必不可缺的資料，進行整合，推出Amazon SageMaker Lakehouse資料湖倉，也就是一套能存取散落在各處的資料的統一平臺。</p> <p>使用者可在平臺上，存取跨Amazon S3儲存服務、Amazon Redshift資料倉儲服務或其他來自上述Unified Studio平臺的資料。尤其，這個Amazon SageMaker Lakehouse還與Iceberg開源資料表格式相容，可打破數據孤島、讓資料更容易用於AI或ML分析。</p> <p>當然，集結了這麼多資料來源和工具，也需要相對應的存取權限管理工具，來把關資料安全。因此，Matt Garman也在年會上揭露一款治理工具Amazon SageMaker Catalog，管理者可用來設定細緻的資料、模型等存取權限。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Amazon Nova六款基礎模型亮相 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%88%B0%E7%95%A51-BOX-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Amazon執行長Andy Jassy在今年度AWS re:Invent大會中，不僅揭露6款Nova系列模型，還透露明年要推出語音到語音、多模態到多模態等更強大的Nova模型。</strong><span style="font-size: 14px;">圖片來源／AWS</span></span></p> <p><strong>在今年度AWS re:Invent大會中，Amazon執行長Andy Jassy親自登場，揭露了6款自行研發的Nova系列基礎模型，包括Nova Micro、Nova Lite、Nova Pro、Nova Premier，以及用來生成高品質圖像的Nova Canvas和生成高品質影片的Nova Reel。</strong></p> <p><strong>進一步來說，Nova Micro是一款只處理文字的模型，能以極低的延遲和成本給出回答。Andy Jassy說明，這款模型在11項基準測試中，表現媲美Meta的Llama 3.1 8B甚至更好。Nova Micro不只支援128K Token的輸入長度，每秒還可輸出210個Token，非常快速，適合需要迅速回應的應用場景。</strong></p> <p><strong>再來，Nova Lite是一款多模態模型，主打快速處理圖像、影片和文字輸入。與OpenAI的GPT-4o mini相比，它在19項文字基準測試中，有17項表現持平或更好。</strong></p> <p><strong>Nova Pro則是功能更強大的多模態模型，兼顧準確性、速度和成本，適合處理多種任務。至於Nova Premier，則是Amazon所謂的頂級多模態模型，專為複雜推論任務而生。</strong></p> <p><strong>特別的是，Nova Micro、Lite和Pro等模型支援200多種語言，其中Nova Lite和Pro還支援300K Token的上下文長度，影片處理時長更能達到30分鐘。Andy Jassy預計，2025年初，Amazon將支援超過200萬Token的上下文長度。</strong></p> <p><strong>目前，Nova Micro、Nova Lite和Nova Pro已在生成式AI平臺Amazon Bedrock上正式可用，Nova Premier預計在2025年第一季上架。</strong></p> <p><strong>這些模型除了效能好，還很划算。AWS說明，Nova Micro、Lite和Pro在各自的類別中，使用成本比Amazon Bedrock中表現最佳的模型至少便宜75%，同時也是Amazon Bedrock中對應類別中，速度最快的模型。甚至，使用者還能客製化微調，或是使用蒸餾方法，來將大模型的知識快速轉移到小模型上，亦能採用RAG，來優化模型表現。</strong></p> <p><strong>另一方面，Nova Canvas這款模型不只能根據輸入文字或圖像，產出高品質視覺內容，還提供編輯功能，使用者利用文字輸入，就能快速調整圖像、控制顏色組合和排版等。這款模型也提供浮水印功能，可追溯每張圖像的來源，還會審核內容，以防有害內容出現。</strong></p> <p><strong>而Nova Reel除了可以文字生成高品質影片，一樣也能透過文字輸入，來控制視覺風格和節奏，像是鏡頭移動、旋轉和縮放等。</strong></p> <p><strong>最後，Andy Jassy還透露重磅消息，Amazon預計在明年第一季推出Nova語音到語音模型，也就是能即時根據語音輸入，解釋語言和非語言訊號（如語調和節奏），來提供接近真人的即時語音互動。</strong></p> <p><strong>再來，Amazon還在開發Nova多模態到多模態模型，也就是能接受文本、圖像、音訊和影片作為輸入，並以任意模態生成輸出，預計2025年中旬問世。他們認為，這種模型將能簡化應用程式開發，光靠同一模型就能執行多種任務，像是內容模態轉換、內容編輯，或是驅動能理解和生成所有模態的AI代理。</strong></p> <p><a href="https://www.ithome.com.tw/article/166603" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1213-feng_mian_-ruo_pu_-p1-open-960x420_kao_bei_0.jpg?itok=dCadQGdt" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/12/20 14:51作者王若樸https://www.ithome.com.tw/news/166596
【資安日報】12月17日，學術研究員與資安人員遭到鎖定，駭客竊得逾39萬筆WordPress帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>握有各式權限並經常會經手敏感資訊的資安從業人員，已成為最近幾年駭客下手的主要目標，最近一波大規模攻擊行動當中，有人藉此對資安人員散布惡意軟體，並竊得大批WordPress帳密。</p> <p>值得留意的是，攻擊者發起攻擊的管道，主要可分成兩種，一種針對資安研究人員而來，假借提供已知漏洞的概念性驗證程式碼，來讓他們中招；另一種則是鎖定學術研究機構，佯稱提供處理器漏洞緩解工具來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166539"><strong style="font-size: 22px;">逾39萬筆WordPress帳密遭竊，攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MUT-1244-attack-graph.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MUT-1244-attack-graph.png" style="width: 300px; float: right;" /></a></p> <p>資安從業人員是駭客的主要目標之一，原因是他們通常會處理敏感資訊，並且掌握廣泛的權限，這樣的現象，最近幾年傳出攻擊者會發布帶有惡意內容的假漏洞利用程式碼，藉此引誘資安人員中招，如今類似的攻擊行動再度傳出。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室指出，駭客組織MUT-1244發動大規模的攻擊行動，竊得超過39萬組WordPress帳密資料，然後藉由偽裝成WordPress帳密檢測工具的GitHub專案yawpp，利用其中的惡意程式碼將資料傳送給駭客，估計有數百名滲透測試人員、資安研究員受害，導致他們的SSH金鑰、AWS金鑰外流。</p> <p>針對這些駭客接觸攻擊目標的手法，研究人員指出主要有兩種管道，但目的相同，都是向受害者傳遞第二階段的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/166541"><strong style="font-size: 22px;">黏接PHP框架、增加隱匿度，中國駭客APT41打造PHP木馬程式Glutton</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/php_brief.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/php_brief.png" style="width: 300px; float: right;" /></a>駭客鎖定網頁應用程式而來，打造Linux惡意程式的情況，已有資安業者提出警告，呼籲IT人員要嚴加防範，如今有研究人員發現，惡名昭彰的APT41很可能在1年前就開始製作這類惡意程式。</p> <p>中國資安業者奇安信指出，他們今年4月底發現，代號為Winnti、Earth Baku、Brass Typhoon的中國駭客組織APT41，正在散播ELF形式的後門程式，由於駭客曾利用同一個IP位址散布惡意PHP檔案init_task.txt，這樣的情況引起了他們的注意。</p> <p>由於攻擊者透過各式元件組成的PHP木馬程式，能夠感染大量PHP檔案，並能於受害主機植入l0ader_shell元件，研究人員將其命名為Glutton。根據init_task.txt出現的時間，研究人員推測此後門程式活動已超過1年。</p> <p><a href="https://www.ithome.com.tw/news/166544"><strong style="font-size: 22px;">泰國政府官員遭到鎖定，駭客利用檔案系統的資料流傳遞後門Yokai</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Yokai-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yokai-3.png" style="width: 300px; float: right;" /></a></p> <p>隨著國際之間執法單位的互助合作越來越頻繁，有駭客看上這點，對政府官員散布惡意程式。資安業者Netskope揭露針對泰國政府官員的攻擊行動，駭客企圖於他們的電腦植入後門程式Yokai。</p> <p>究竟駭客如何接觸目標，研究人員表示並不清楚，但不排除是透過釣魚郵件進行。他們透過威脅獵捕找到攻擊者散播的RAR壓縮檔，當中包含兩個Windows捷徑檔案（LNK），檔名皆為泰文，其中一個佯裝與美國司法部有關的PDF文件，另一個則是Word檔案，宣稱美國政府將在打擊犯罪上行動進行國際合作。</p> <p>一旦使用者點選LNK檔，電腦就會將file.exf這個檔案的備用資料流（Alternate Data Stream，ADS）內容，複製、傳入作為誘餌的PDF或Word檔案，過程中濫用一種叫做Esentuti的執行檔，目的是透過ADS傳輸惡意酬載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-spots-hiatusrat-malware-attacks-targeting-web-cameras-dvrs/">惡意軟體Hiatus鎖定網路攝影機及DVR而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-novispy-spyware-linked-to-qualcomm-zero-day-bugs/">安卓間諜軟體NoviSpy疑鎖定高通零時差漏洞而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/cicada3301-ransomware-french-peugeot-dealership/">寶獅汽車法國經銷商傳出遭勒索軟體Cicada3301攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://techcrunch.com/2024/12/12/researchers-find-security-flaws-in-skoda-cars-that-may-let-hackers-remotely-track-them/">福斯車載資訊系統存在漏洞，攻擊者有機會遠端控制、跟蹤車輛位置</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166548"><strong style="font-size: 22px;">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox，感染設備至少3萬臺</strong></a></p> <p>12月12日德國聯邦資訊安全辦公室（BSI）指出，他們已中斷名為BadBox的惡意程式運作，這種惡意軟體於安卓物聯網裝置執行，估計該國有3萬臺設備預載該程式，而曝露於相關資安風險。</p> <p>對此，BSI已經藉由DNS陷坑（Sinkholing）的手段，切斷惡意程式與C2之間的通訊，這些惡意程式將會被導向警方控制的伺服器。對於受影響的裝置類型，BSI指出涵蓋數位相框、影音播放器，也可能對智慧型手機和平板電腦造成影響。</p> <p>值得留意的是，這些裝置還搭配老舊版本的安卓作業系統，而可能存在其他弱點。雖然攻擊者控制受害設備的管道已被BSI切斷，不過，只要這些高風險的物聯網設備連上網際網路，還是會成為其他攻擊者下手的目標。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://techcrunch.com/2024/12/12/researchers-find-security-flaws-in-skoda-cars-that-may-let-hackers-remotely-track-them/">資安業者Arctic Wolf傳出買下EDR業者Cylance</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166536"><strong>【12月16日】勒索軟體駭客Clop聲稱對Cleo檔案共享系統零時差漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166505"><strong>【12月13日】西班牙與秘魯共同破獲跨國大型電話網釣集團</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166484"><strong>【12月12日】羅馬尼亞政府證實電力公司Electrica遭遇勒索軟體Lynx攻擊</strong></a></p> </div></div></div>
2024/12/17 16:20作者周峻佑https://www.ithome.com.tw/news/166550
黏接PHP框架、增加隱匿度，中國駭客APT41打造PHP木馬程式Glutton
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定網頁應用程式而來，打造Linux惡意程式的情況，已有資安業者提出警告，呼籲IT人員要嚴加防範，如今有研究人員發現，惡名昭彰的APT41很可能在1年前就開始製作這類惡意程式。</p> <p>中國資安業者奇安信指出，<a href="https://blog.xlab.qianxin.com/glutton_stealthily_targets_mainstream_php_frameworks/">他們今年4月底發現</a>，代號為Winnti、Earth Baku、Brass Typhoon的中國駭客組織APT41，正在散播ELF形式的後門程式，由於駭客曾利用同一個IP位址散布惡意PHP檔案init_task.txt，這樣的情況引起了他們的注意。</p> <p>經過調查，他們找出一系列的PHP惡意酬載，包括task_loader、init_task_win32、client_loader、client_task、fetch_task、l0ader_shell等，但特別的是，這些惡意程式不僅能獨立運作，還能搭配task_loader載入其他有效酬載，形成完整的攻擊框架。研究人員提及，所有的程式碼都是透過PHP及PHP-FPM（FastCGI）的處理程序載入、執行，使得有效酬載能在隱匿的狀態下運作。</p> <p>由於攻擊者透過這些元件組成的PHP木馬程式，能夠感染大量PHP檔案，並能於受害主機植入l0ader_shell，研究人員將其命名為Glutton。根據init_task.txt出現的時間，研究人員推測此後門程式活動已超過1年。</p> <p>對於這個木馬程式的主要功能，大致可歸納為3種層面，分別是竊取系統資訊、部署後門程式，以及針對熱門的PHP框架，如：ThinkPHP、Yii、Laravel，注入惡意程式碼。</p> <p>研究人員提及，Glutton採用高度模組化設計，其中核心元件包含了偵測環境的task_loader、後門部署工具init_task、導入混淆機制的client_loader，以及建立C2通訊的client_task。</p> <p>而對於駭客的攻擊目標，他們認為主要是針對中國及美國，特別鎖定IT服務、社會福利機構、網頁應用程式開發人員。此外，研究人員也提及這些駭客也對其他網路犯罪者下手的情況，APT41將Glutton嵌入其他作案工具，並在駭客論壇兜售，一旦買家執行，就會導致電腦感染Glutton，並載入名為HackBrowserData的工具，從而竊取瀏覽器存放的敏感資訊。</p> </div></div></div>
2024/12/17 13:03作者周峻佑https://www.ithome.com.tw/news/166541
逾39萬筆WordPress帳密遭竊，攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安從業人員是駭客的主要目標之一，原因是他們通常會處理敏感資訊，並且掌握廣泛的權限，這樣的現象，最近幾年傳出攻擊者會發布帶有惡意內容的假漏洞利用程式碼，藉此引誘資安人員中招，如今類似的攻擊行動再度傳出。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室指出，<a href="https://securitylabs.datadoghq.com/articles/mut-1244-targeting-offensive-actors/#malicious-attack-tools-published-on-github">駭客組織MUT-1244發動大規模的攻擊行動</a>，竊得超過39萬組WordPress帳密資料，然後藉由偽裝成WordPress帳密檢測工具的GitHub專案yawpp，利用其中的惡意程式碼將資料傳送給駭客，估計有數百名滲透測試人員、資安研究員受害，導致他們的SSH金鑰、AWS金鑰外流。</p> <p>針對這些駭客接觸攻擊目標的手法，研究人員指出主要有兩種管道，但目的相同，都是向受害者傳遞第二階段的惡意酬載。</p> <p>其中一種管道，攻擊者針對特定漏洞提供假的概念性驗證（PoC）程式碼。攻擊者利用49個惡意GitHub帳號來進行，這些帳號大部分在10月及11月建立，共通點是缺乏合法的活動，而且利用AI產生個人資料及圖片。</p> <p>這些帳號通常針對已知漏洞提供假的概念性驗證程式碼，這些漏洞包含CVE-2024-5057、CVE-2001-1473、CVE-2019-11248等。研究人員提及，由於駭客的命名方式，他們的假概念性驗證甚至已經混入部分的威脅情資，例如：Feedly Threat Intelligence、Vulnmon，使得研究人員更容易受騙。</p> <p>若是資安研究員執行駭客提供的程式碼，攻擊者就有可能藉由組態檔案、PDF文件、Python惡意程式載入工具，或是惡意NPM套件來散布第二階段酬載。</p> <p>另一種接觸受害者的管道，則是透過網路釣魚的方式進行，駭客佯稱來自名為OpenCompiled的組織，表明他們偵測到收信人的研究環境執行高效能運算（HPC）資源，這些電腦的處理器需要進行微修補，並要求收信人依照指示取得相關資訊。</p> <p>一旦收信人點選信件裡的URL，就會被引導到<a href="https://www.opencompiled[.]org/patches/cpu-microcode-2024-09-21.html">https://www.opencompiled[.]org/patches/cpu-microcode-2024-09-21.html</a>（目前已被刪除）。這個網頁要求收信人依照指示複製、貼上網頁裡的程式碼。研究人員提及，這是他們首度看到針對Linux作業系統的ClickFix攻擊。</p> <p>收信人若是因此執行惡意程式碼，電腦就會執行存放於特定GitHub儲存庫的指令碼patch-mc-0x129.sh，載入第二階段酬載。</p> <p>利用假概念性程式碼發動攻擊的現象，Datadog也提及兩年前荷蘭萊登大學（Leiden University）就曾<a href="https://arxiv.org/pdf/2210.08374">發表論文</a>警告，而且，今年相關事故不斷傳出。他們舉出資安業者<a href="https://www.uptycs.com/blog/threat-research-report-team/fake-poc-repositories-malicious-code-github">Uptycs</a>、<a href="https://www.sonicwall.com/blog/hold-verify-execute-rise-of-malicious-pocs-targeting-security-researchers">SonicWall</a>於4月、9月揭露的資安事故，表明這類攻擊不斷發生，呼籲資安從業人員要提高警覺。</p> </div></div></div>
2024/12/17 11:57作者周峻佑https://www.ithome.com.tw/news/166539
【資安日報】12月16日，勒索軟體駭客Clop聲稱對Cleo檔案共享系統零時差漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前資安業者Huntress提出警告，指出有人針對Cleo旗下MFT檔案傳輸系統進行大規模攻擊，當中利用繞過CVE-2024-50623的零時差漏洞修補，本週出現了新的說法。</p> <p>根據資安新聞網站Bleeping Computer的一篇報導，勒索軟體駭客Clop表示這起事故是他們所為，但並未透露何時開始發動攻擊，以及有多少企業組織受害的情況，這些說法的真實性有待查證。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166535"><strong style="font-size: 22px;">針對Cleo旗下MFT檔案共享系統的零時差漏洞攻擊，勒索軟體Clop聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/clop-leaks-message.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/clop-leaks-message.jpg" style="width: 300px; float: right;" /></a></p> <p>上週資安業者Huntress提出警告，他們從3日開始察覺Cleo旗下MFT檔案傳輸系統Harmony、VLTrader、LexiCom遭到鎖定的跡象，駭客對於這些MFT系統進行大規模攻擊，並在8日出現劇烈增加的情況，其中，對方疑似針對10月底公布的漏洞CVE-2024-50623而來。這波攻擊一度傳出是勒索軟體Termite所為，如今有新說法。</p> <p>12月13日美國網路安全暨基礎設施安全局（CISA）發布公告，表示他們將CVE-2024-50623列入已遭利用的漏洞名單（KEV），要求聯邦機構於明年1月3日完成修補。但與大部分列入KEV的漏洞有所不同，他們特別表明這項漏洞已被用於勒索軟體攻擊。</p> <p>兩天之後，對於濫用此漏洞進行攻擊的組織身分，資安新聞網站Bleeping Computer發布一份報導，當中提到勒索軟體駭客組織Clop宣稱事情是他們做的，並強調他們不會對政府服務、研究機構、醫藥相關的資料下手，若是不小心偷到這些資料，將會立刻刪除。但究竟駭客從何時開始發動攻擊，有多少公司受害，以及Clop與Termite是否有所關聯，對方並未透露。</p> <p><a href="https://www.ithome.com.tw/news/166534"><strong style="font-size: 22px;">出現鎖定NetScaler登入的密碼潑灑攻擊，Citrix警告系統恐遭滲透，也可能因身分驗證負擔過大而癱瘓</strong></a></p> <p>12月10日德國聯邦資訊安全辦公室（BSI）提出警告，他們掌握Citrix NetScaler遭到鎖定的攻擊行動，駭客試圖對此款網路設備進行暴力破解，如今Citrix也證實這樣的現象，並呼籲用戶採取行動。</p> <p>上週五（13日）Citrix透過部落格表示，他們也察覺密碼潑灑（Password Spray）的情況，有別於一般的暴力破解攻擊，往往對「單一」帳號嘗試使用「多組」密碼，而在這起惡意行動中，攻擊者反其道而行，他們針對NetScaler設備的「多個」帳號，利用一組數量不多的常見密碼進行登入嘗試，這麼做的目的，是為了避免被系統判定為異常而向管理員發出警示，或是出現帳號鎖定而導致東窗事發。</p> <p>他們也提及這些攻擊不光是身分驗證嘗試的次數突然顯著增加，還有可能導致設備因大量嘗試登入而不堪負荷，甚至會面臨故障明顯增加的情況。</p> <p><a href="https://www.ithome.com.tw/news/166529"><strong style="font-size: 22px;">Linux惡意程式Pumakit利用隱身手法埋藏在系統運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pumakit10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/pumakit10.png" style="width: 300px; float: right;" /></a></p> <p>隨著有許多網頁應用程式以Linux作業系統打造，針對這類系統的惡意程式，今年出現顯著增加的情況，而且，攻擊者採用的手段越來越複雜，使得防禦方更難察覺相關蹤跡。</p> <p>資料搜尋分析解決方案業者Elastic旗下的資安實驗室表示，他們從惡意軟體分析平臺VirusTotal當中，發現針對Linux打造的rootkit惡意程式Pumakit，攻擊者利用Linux內部功能追蹤器ftrace掛勾18種系統呼叫功能，以及數種核心功能，從而操弄主要系統的行為。</p> <p>值得一提的是，雖然此惡意程式仍在開發階段，但研究人員發現，其中的LKM rootkit若要進入啟動狀態，需在具備安全開機（Secure Boot）檢查、核心符號工具可用等特定環境，這些狀態是掃描Linux核心得知，並代表攻擊者所有的工具已隨著惡意程式載入工具一併嵌入ELF執行檔當中。</p> <p><a href="https://www.ithome.com.tw/news/166533"><strong style="font-size: 22px;">伊朗駭客鎖定美國、以色列關鍵基礎設施，散布工控惡意軟體Iocontrol</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image6-1733847779.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6-1733847779.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著國際局勢日益緊張，鎖定會左右國家運作狀態的關鍵基礎設施（CI）而來的攻擊行動不時傳出，有駭客打造出能專門針對這類環境的惡意程式，引起研究人員高度關注。</p> <p>專精工控安全的資安業者Claroty指出，伊朗駭客打造了名為Iocontrol的惡意程式，其主要目標就是以色列及美國的操作科技（OT）及物聯網（IoT）裝置，並被用於攻擊多種型態的連網裝置，包含IP攝影機、路由器、可程式化邏輯控制器（PLC）、人機介面（HMI）、防火牆，而且，遭到攻擊的設備廠牌也相當廣泛，涵蓋Baicells、D-Link、海康威視（Hikvision）、Red Lion、Orpak、菲尼克斯電氣（Phoenix Contact）、Teltonika、Unitronics等工控設備品牌。</p> <p>針對利用此惡意程式的駭客，研究人員推測與名為Cyber Av3ngers的伊朗駭客組織有關，這些駭客曾在一年前，針對使用以色列自動化控制業者Unitronics的美國水利單位下手，值得留意的是，OpenAI在今年10月指出，這些駭客試圖濫用ChatGPT破解PLC，並開發用於攻擊的Bash及Python指令碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/researchers-uncover-espionage-tactics.html">中國駭客鎖定東南亞而來，針對政府機關、航太、電信業者下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-cyberspies-target-android-users-with-new-spyware/">俄羅斯駭客Gamaredon假借提供三星防護App為幌子，散布間諜軟體BoneSpy、PainGnome</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/390-000-wordpress-accounts-stolen-from-hackers-in-supply-chain-attack/">逾39萬WordPress帳密資料遭竊，起因是軟體供應鏈攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.blackhat.com/eu-24/briefings/schedule/#worstfit-unveiling-hidden-transformers-in-windows-ansi-42637">臺灣資安研究員揭露視窗應用程式的ANSI漏洞WorstFit，攻擊者有機會用來執行任意程式碼</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/germany-blocks-badbox-malware-loaded-on-30-000-android-devices/">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166505"><strong>【12月13日】西班牙與秘魯共同破獲跨國大型電話網釣集團</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166484"><strong>【12月12日】羅馬尼亞政府證實電力公司Electrica遭遇勒索軟體Lynx攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166471"><strong>【12月11日】美國宣布制裁中國資安業者，起因是該公司利用零時差漏洞從事大規模攻擊</strong></a></p> </div></div></div>
2024/12/16 17:53作者周峻佑https://www.ithome.com.tw/news/166536
Linux惡意程式Pumakit利用隱身手法埋藏在系統運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著有許多網頁應用程式以Linux作業系統打造，針對這類系統的惡意程式，今年出現顯著增加的情況，而且，攻擊者採用的手段越來越複雜，使得防禦方更難察覺相關蹤跡。</p> <p>資料搜尋分析解決方案業者Elastic<a href="https://www.elastic.co/security-labs/declawing-pumakit">旗下的資安實驗室表示</a>，他們從惡意軟體分析平臺VirusTotal當中，發現針對Linux打造的rootkit惡意程式Pumakit，攻擊者利用Linux內部功能追蹤器ftrace掛勾18種系統呼叫功能，以及數種核心功能，從而操弄主要系統的行為。</p> <p>研究人員分析該惡意程式，並指出當中包含多種元件，包含惡意程式載入工具（Dropper）、兩種常駐於記憶體的可執行檔、載入核心模組（Loadable Kernel Module，LKM）型態的rootkit元件，以及共享程式庫（Shared library，SO）格式的userland rootkit。</p> <p>此惡意程式的主要功能，涵蓋了提升權限、隱藏檔案及資料夾、利用系統工具藏匿自身蹤跡、反除錯功能，此外，攻擊者也能藉由C2通訊，對其下達命令。</p> <p>值得一提的是，雖然此惡意程式仍在開發階段，但研究人員發現，其中的LKM rootkit若要進入啟動狀態，需在具備安全開機（Secure Boot）檢查、核心符號工具可用等特定環境，這些狀態是掃描Linux核心得知，並代表攻擊者所有的工具已隨著惡意程式載入工具一併嵌入ELF執行檔當中。</p> <p>究竟此惡意軟體如何運作？攻擊者先是散播一個故意與系統排程執行程式cron同名的可疑雙位元檔，於受害主機的記憶體執行兩個嵌入的有效酬載，分別是良性的cron二進位檔案/memfd:tgt，以及用來載入LKM rootkit的/memfd:wpn。此rootkit本身還包含另1個名為Kitsune的SO檔案，用途是透過使用者名稱（username）與另一個userland rootkit互動。</p> <p>研究人員指出，這種結構化的設計，使得Pumakit僅在滿足指定條件時，才會執行有效酬載，目的是為了維持其隱藏狀態而不被發現，並減少遭到資安系統偵測的機會。</p> </div></div></div>
2024/12/16 14:52作者周峻佑https://www.ithome.com.tw/news/166529
【資安日報】12月13日，西班牙與秘魯共同破獲跨國大型電話網釣集團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月份有多起執法行動開花結果，例如：歐洲刑警組織（Europol）這兩週先後宣布，比利時與荷蘭共同破獲電話網釣集團，以及15個國家共同圍剿非法27個DDoS租用服務（DDoS-for-hire），昨天再傳好消息。</p> <p>西班牙警方表示，他們在秘魯協助之下，破獲另一個大型電話網釣集團，這些歹徒於秘魯設置「客服中心」行騙，估計至少已有1萬人上當，損失金額高達30億歐元。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ithome.com.tw/news/166504"><strong style="font-size: 22px;">俄羅斯駭客Turla鎖定烏克蘭連網軍事設備而來，意圖從中竊取軍事情報</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Diagram-of-how-Amadey.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Diagram-of-how-Amadey.jpg" style="width: 300px; float: right;" /></a>俄羅斯駭客鎖定烏克蘭從事網路攻擊的情況不時傳出，但有駭客組織專門利用其他駭客的工具犯案，使得相關攻擊行動難以識別其攻擊來源。</p> <p>例如，微軟最近揭露俄羅斯駭客組織Turla（該公司稱為Secret Blizzard）於今年3月至4月，鎖定烏克蘭軍事行動設備的攻擊行動，就是典型的例子。這起事故當中，這些駭客並非使用自己的工具，而是利用名為Amadey的殭屍網路，並搭配另一個俄羅斯駭客組織Storm-1837的基礎設施，從事相關攻擊行動，於受害系統植入Turla自製的惡意軟體Tavdig、KazuarV2。</p> <p>值得留意的是，這並非Turla首度運用其他駭客工具犯案的情況，微軟上週公布該組織另一起攻擊行動，當時這些駭客運用匿稱為SideCopy、APT36、Storm-0156的巴基斯坦駭客Transparent Tribe的基礎設施，對目標電腦散布多種惡意軟體。</p> <p><a href="https://ithome.com.tw/news/166503"><strong style="font-size: 22px;">逾30萬臺開源監控軟體Prometheus主機「裸奔」，恐曝露帳密及API金鑰、面臨DoS及RCE攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Prometheus-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prometheus-2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著容器化應用程式部署的盛行，對相關系統進行監控的工具也受到廣泛採用，然而，一旦這類工具的配置不當，同樣可能引發資安重大危機。</p> <p>資安業者Aqua Security指出，他們針對經常被用於監控Kubernetes狀態的開源工具Prometheus進行調查，結果找到40,396臺能從網際網路存取的伺服器，以及296,145臺Exporter（負責收集與轉送列管的端點系統狀態資料），換言之，總共約有336,000臺主機曝露資安風險，有可能導致資訊洩露、阻斷服務（DoS）、任意程式碼執行的情況。</p> <p>研究人員強調，由於這些伺服器與Exporter往往缺乏合宜的身分驗證，攻擊者能夠輕易地收集帳密或API金鑰等敏感資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-stealthy-pumakit-linux-rootkit-malware-spotted-in-the-wild/">Linux惡意程式Pumakit利用隱身手法埋藏在系統運作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-iocontrol-malware-used-in-critical-infrastructure-attacks/">惡意軟體Iocontrol鎖定關鍵基礎設施而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166501"><strong style="font-size: 22px;">微軟MFA多因素驗證機制存在漏洞AuthQuake，駭客可能乘機發動暴力破解攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6750655e813737695c00ff59_AD_4nXfU_48css0ViOeTBA60mqFiWI_KTLlwQWxTkUkeSo7ysTkW06e4LfoDns-TiwgR0OkOYU9BI2Wowz4j3UbVoq6EKfqsB3_pcp_kyRcxWZQQ8ueofNMy85ZlKZHbzIWeN914Xw9tYrqCBmx4url-uDo.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6750655e813737695c00ff59_AD_4nXfU_48css0ViOeTBA60mqFiWI_KTLlwQWxTkUkeSo7ysTkW06e4LfoDns-TiwgR0OkOYU9BI2Wowz4j3UbVoq6EKfqsB3_pcp_kyRcxWZQQ8ueofNMy85ZlKZHbzIWeN914Xw9tYrqCBmx4url-uDo.png" style="width: 300px; float: right;" /></a>多因素驗證（MFA）已是各類應用系統相當常見的帳號保護機制，然而研究人員指出，若是配置不夠周全，很有可能讓攻擊者有機可乘。</p> <p>資安業者Oasis指出，微軟的多因素驗證實作當中存在重大漏洞AuthQuake，攻擊者有機會繞過驗證流程，從而在未經授權的情況下，存取使用者帳號的各項服務，例如：Outlook.com雲端電子郵件服務、OneDrive檔案、協作平臺Teams的對話內容，以及Azure雲端服務等，由於全球有4億Office 365用戶，這項弱點的影響範圍可能相當深遠。</p> <p>研究人員提及，他們利用漏洞成功通過多因素驗證流程，大約經歷一個小時，過程中完全不需要使用者互動，系統也並未對使用者發出警訊。Oasis在6月下旬向微軟通報此事，並且在雙方合作之下，先後於7月、10月緩解這項弱點。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-in-netweaver/">SAP修補NetWeaver重大層級SSRF漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-maximum-severity-csa-auth-bypass-vulnerability/">Ivanti針對雲端服務設備CSA重大漏洞提出警告</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-patches-over-160-vulnerabilities-across-16-products/">Adobe發布12月份例行更新，修補旗下16項產品</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166502"><strong style="font-size: 22px;">西班牙、秘魯聯手，破獲跨國大型電話網釣集團，逮捕83名嫌犯</strong></a></p> <p>近來執法單位針對語音網路釣魚（Vishing）的犯罪組織破獲，不斷傳出新的進展，繼上週比利時與荷蘭聯手，破獲跨國電話語音釣魚詐騙集團，並逮捕其中8名成員，本週西班牙與秘魯也宣布圍剿這類跨國詐騙集團的消息。</p> <p>12月12日西班牙警察局Policia Nacional宣布，他們與秘魯警方合作，成功破獲橫行西班牙及秘魯兩地的詐騙集團，並逮捕83名嫌犯，其中有48人於秘魯被捕、35人在西班牙被捕。警方估計，這些歹徒總共騙走超過30億歐元。</p> <p>這些歹徒於秘魯設置3個「客服中心」，由50名員工進行運作，佯裝各家銀行行員撥打電話從事詐騙，已有超過1萬人上當。他們使用外流的資料庫，並搭配預先安排好的社交工程腳本，誘騙民眾提供敏感的銀行帳戶資料。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166484"><strong>【12月12日】羅馬尼亞政府證實電力公司Electrica遭遇勒索軟體Lynx攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166471"><strong>【12月11日】美國宣布制裁中國資安業者，起因是該公司利用零時差漏洞從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166450"><strong>【12月10日】資安業者揭露用QR Code突破瀏覽器隔離防線的攻擊手法</strong></a></p> </div></div></div>
2024/12/13 17:15作者周峻佑https://www.ithome.com.tw/news/166505
物聯網裝置作業系統OpenWrt系統ASU更新模組存在弱點，攻擊者有機會植入惡意映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網通設備常用的作業系統OpenWrt，傳出存在<a href="https://github.com/openwrt/asu/security/advisories/GHSA-r3gq-96h6-3v7q">重大層級的漏洞CVE-2024-54143</a>，這項弱點涉及名為Attended Sysupgrade（ASU）的功能，4.0版CVSS風險評分達到9.3（滿分10分），相當嚴重，對此，開發團隊在數個小時內就發布920c8a1版進行修補。</p> <p>OpenWrt是基於Linux打造的開源作業系統，具備能高度客製的特性，專門提供無線基地臺、路由器，以及各式物聯網裝置使用，開發團隊支援超過2,500種型號的裝置，涵蓋華碩、Buffalo、D-Link、兆勤（Zyxel Networks）等多家廠牌的設備。</p> <p>而存在資安問題的ASU，主要功能是讓使用者自定韌體，並在部署之後仍然能保留原本設備已安裝的套件及組態設定。</p> <p>通報此事的資安業者Flatt Security研究人員RyotaK指出，攻擊者可結合Openwrt映像檔建置工具的命令注入弱點，以及程式碼組建請求雜湊值（build request hash）當中截斷的SHA-256雜湊值，藉由提供套件名單造成雜湊值碰撞（hash collision），從而汙染合法的映像檔。</p> <p>一旦攻擊者成功利用漏洞，就能透過ASU服務提供惡意韌體映像檔，進而針對透過這個管道傳送的軟體，破壞其完整性。</p> <p>對此OpenWrt也<a href="https://lists.openwrt.org/pipermail/openwrt-announce/2024-December/000061.html">發布資安公告提出說明</a>，證實這項漏洞的存在，若是使用者架設自行管理的ASU系統，就有可能受到影響，使用者應儘速更新，或採取緩解措施因應。不過他們強調，透過downloads.openwrt.org提供的正式版映像檔，不受這項漏洞影響。</p> </div></div></div>
2024/12/11 17:32作者周峻佑https://www.ithome.com.tw/news/166470
強化安全性與軟體開發支援，紅帽RHEL發布2024年度改版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel_9.5_web_console-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月舉行的KubeCon + CloudNativeCon北美年度大會，紅帽正式發布9.5版企業級Linux作業系統Red Hat Enterprise Linux（RHEL），針對AI、邊緣運算等多種IT創新應用的快速支援，提供多種強化功能，同時他們也釋出RHEL 10.0 Beta，開放大家測試新版作業系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5-lifecyucle-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5-lifecyucle-2024-11.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 10-2024-11-21.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%2010-2024-11-21.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">新增統一設定Sudo指令的系統角色，提供更多機密運算支援</span></strong></h3> <p>首先是安全性與政策遵循的管理，RHEL增添多種系統角色（system roles）。基本上，每一種系統角色其實是模組化的<a href="https://www.redhat.com/en/technologies/management/ansible/content-collections">Ansible自動化套件（Ansible Content Collection）</a>，能夠自動處理重要的RHEL系統任務與流程。</p> <p>例如，對於透過超級使用者（superueser）權限執行程式的sudo指令，紅帽在此提供自動與大量設定sudo組態的功能，獲得權限提升的使用者能運用自動處理機制，即能以安全方式建置sudo設定，確保作業系統環境的配置更為一致，並且減少整體業務處理的複雜度。</p> <p>透過sudo系統角色，系統管理者能夠橫跨整個企業IT環境，針對命令列介面的操作，以適當的方式設定一致的sudo執行個體，因此，可將許多需反覆執行的工作，像是系統安裝、網路管理，委派其他使用者操作，以安全方式實現責任分攤。</p> <p>RHEL 9.5還支援另一個系統角色ha_cluster，可協助設定節點與原始資源的使用率屬性，以及運用ha_cluster_node_options變數設置節點位址與SBD選項，所謂的SBD，是指STONITH(Shoot The Other Node In The Head) Block Device，或Storage-Based Death，與叢集的節點隔離機制有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-system roles-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-system%20roles-2024-11.jpg" style="width: 600px;" /></a></p> <p>第二是RHEL擴充<a href="https://www.redhat.com/en/blog/confidential-computing-primer">機密運算平臺的支援</a>，可促成AI工作負載的防護，減少內部威脅可能受攻擊的面向。這類功能目前是以技術預覽形式提供，其中之一，是針對KVM環境的虛擬機器。</p> <p>RHEL 9提供AMD EPYC處理器多種機密運算指令集的支援，像是：安全加密虛擬化（SEV），能對虛擬機器存取的記憶體進行加密，以便防護來自伺服器主機端的存取；安全加密虛擬化－強化加密狀態（SEV-ES），能在虛擬機器處於停止執行的狀態時，能對處理器的所有暫存器內容進行加密，預防伺服器主機端修改或讀取處理器的全部暫存器內容。</p> <p>到了RHEL 9.5，紅帽開始提供安全加密虛擬化－巢狀虛擬化記憶體分頁（SEV-SNP）支援，此項機制能透過改善記憶體完整性防護，預防Hypervisor層級的資料再利用攻擊（data replay），或是記憶體重新對應攻擊（memory re-mapping），強化SEV與SEV-ES的安全性。</p> <p>若企業與組織的系統採用英特爾Xeon Scalable處理器，RHEL 9.2之後的版本開始支援信任領域延伸（TDX），用戶可部署硬體隔離型態的RHEL 9虛擬機器，以便設置信任區域（TDs）。</p> <p>為了強化系統登入安全性，以及因應政府與企業積極導入零信任架構的安全模式，<a href="https://www.redhat.com/en/blog/passkey-with-rhel">紅帽今年5月推出的RHEL 9.4，終於正式提供Passkey無密碼身分認證機制</a>。</p> <p>用戶可以在系統安全服務常駐程式（System Security Services Daemon，SSSD），啟用與設定相關功能，例如，必須事先到RHEL IdM、Active Directory，或是某種LDAP身分儲存庫等身分管理系統，進行FIDO2（Fast Identity Online 2）憑證的註冊，以便在使用者帳號當中儲存註冊資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHIDM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM3.jpg" style="width: 298px;" /></a></p> <p>後續使用者若要登入RHEL系統，進行無密碼身分認證與多因素身分認證，即可搭配相容於FIDO2規格的生物辨識裝置，或是Yubico YubiKey這類硬體金鑰裝置。紅帽表示，RHEL本身之所以能實作FIDO2的相容，主要是因為搭配libfido2程式庫，而這個元件目前僅支援USB連接的硬體裝置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHIDM5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM5.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM6.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/RHIDM7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHIDM7.jpg" style="width: 298px;" /></a></p> <h3><strong><span style="color:#0000FF;">提供預先強化安全的映像組建，也能簡化多平臺容器管理</span></strong></h3> <p>系統映像的防護，也是RHEL 9.5主打的安全性特色之一，紅帽更新了映像組建工具Image Builder，提供預先強化的映像組態設定，簡化雲端身分管理，並且強化硬體安全，以符合業界隱私防護標準的要求，為作業系統增添防護層級，可協助企業節省處理時間與增進安全性。</p> <p>紅帽表示，有了Image Builder，可持續協助企業推動資安左移（shift left）的策略，使得用戶能在軟體開發流程的早期階段，整合安全性測試與資安漏洞修正。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-image-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-image-2024-11.jpg" style="width: 600px;" /></a></p> <p>針對雲端原生應用的支援，RHEL 9.5完整支援開放原始碼容器引擎Podman最新版5.0，例如開發者可運用podman farm這個組建指令，建立多個架構的容器映像。</p> <p>透過Podman的運用，開發者能在Linux系統當中，以單一工具對遠端的伺服器與工作站，進行多個容器的系統映像組建、管理、執行，並且能橫跨多種平臺進行高效率的應用程式測試與部署，縮短開發時間，提升可移植至其他環境的能力。</p> <p>而在搭配Podman 5.0使用之後，RHEL系統能加快開機速度，若要重新設置系統的運作（reset），也能更有效率地進行，能減少開發作業的延遲、加快部署上線的腳步。</p> <p>在系統的操作方式上，RHEL除了透過命令列介面，同時提供基於開放原始碼軟體套件Cockpit而成的網頁主控臺介面，RHEL 9.5也針對這個圖形介面提供檔案管理功能，紅帽在此增添cockpit-files套件，用戶可直接在此對能存取的檔案系統，執行日常作業，像是檔案與資料夾的瀏覽、複製、刪除、搬移、改名、依據不同條件排序、依關鍵字列出符合名稱的檔案，檔案的上傳、變更存取權限許可，以及資料夾的新增。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhel 9_5-File Browser-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhel%209_5-File%20Browser-2024-11.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5 File Management-image1_195.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5%20File%20Management-image1_195.png" style="width: 400px;" /></a></p> <h3><span style="color:#0000FF;"><strong>強化SAP記憶體資料庫系統支援，並且更新多種開發工具版本</strong></span></h3> <p>對於多種商用軟體的工作負載執行，RHEL 9.5也予以強化。</p> <p>首先是記憶體內資料庫系統SAP HANA，RHEL新版可加快資料庫叢集環境的索引伺服器當機與重新啟動，無論橫向擴展或縱向擴展叢集，均可幫忙自動切換至備援的SAP HANA節點，紅帽表示，他們打算將這項功能擴大相容至舊版RHEL（8.1至9.4版）。若企業採用Red Hat Enterprise Linux High Availability叢集環境，並以此支撐SAP HANA與S 4/HANA應用系統的持續運作，RHEL最新版加入叢集健康檢查機制，能在這兩種系統停擺前，標示潛在問題，用戶可主動執行這套工具及早辨識與修正問題。</p> <p>在開發者工具的整合提供方面，RHEL 9.5也更新多種程式語言相關工具，像是Java開發者套件第17版，以及內建JavaScript引擎V8的Node.js 22。</p> <p>以JDK為例，紅帽的應用軟體儲存庫RHEL 9 AppStream，目前提供的OpenJDK有8、11、17等三種版本，其中的OpenJDK 17預設為作業系統的Java工具套件，具有改善應用系統效能、加速程式碼執行，以及順暢進行縱向擴展應用程式規模等功能特色。</p> <p>關於編譯器工具套件，RHEL 9.5也予以更新，提供GCC Toolset 14、LLVM Toolset 18.1.8、Rust Toolset 1.79.0，以及Go Toolset 1.22。</p> <p>在開放原始碼資料庫軟體的部分，RHEL 9.4支援的PostgreSQL 16，到了RHEL 9.5，也開始提供pgvector外掛，用戶可透過這項功能的提供，在PostgreSQL資料庫儲存與查詢高維度的向量嵌入（high-dimensional vector embeddings），並且執行向量相似度查詢，能以更有效率的方式在PostgreSQL資料庫當中，執行AI工作負載與任務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9_5-developertools-2024-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209_5-developertools-2024-11.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Red Hat Enterprise Linux 9.5</strong></span><br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●安裝方式：圖形介面安裝、系統或雲端映像安裝、進階安裝<br /> ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z（z14）<br /> ●記憶體需求：1.5 GiB<br /> ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立root、swap分割區，IBM Power Systems需root分割區、swap分割區、PReP boot分割區<br /> ●系統基礎核心版本：5.14.0-503.11.1版</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/12/11 12:58作者李宗翰https://www.ithome.com.tw/review/162868
【資安月報】2024年11月，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年11月資安新聞，身分安全與AI的最新進展是廣泛關注的焦點，同時，臺灣上市櫃公司本月發布了7起資安事件重大訊息，而全球電信業面臨的滲透攻擊與零時差漏洞利用的狀況，更是持續引發各界高度重視。在此我們彙整7大資安焦點，帶大家快速回顧本月的關鍵新聞與趨勢。</p> <p><strong style="color: rgb(255, 0, 0);">身分安全強化有新進展</strong></p> <p>身分安全是本月國內資安防護新聞的一大焦點，有多項消息與此有關。例如，我們在11月發布的一篇封面故事，就是介紹國內近期出現首批導入Passkey的網路服務業者；還有數發部將要求廣告平臺業者，實證驗證刊播廣告者的身分，以及NCC要求電信事業強化商業簡訊風險管控機制，如含有URL、短網址或電話號碼，需檢查發送者身分，要與登錄資料相符才能協助發送。此外，在國際間，也有Google Cloud預告明年強制啟用MFA的消息。</p> <p><strong style="color: rgb(255, 0, 0);">AI熱度不減，帶來的挑戰與機會持續受關注</strong></p> <p>面對AI能力進步顯著的今日，有哪些最新態勢值得留意？我們列舉以下重要消息：以AI帶來的資安挑戰而言，資安業者Palo Alto Networks本月在臺灣年度用戶大會上，指出攻擊者出手速度越來越快，滲透與外洩資料間隔越來越短，從3年前的平均是9天，隨著AI和其他技術的不斷興起，去年已縮短至兩天，最近的調查更是縮短至4小時內，大幅壓縮防守方調查應變時間；以AI帶來的資安機會而言，Google公布AI抓漏專案Big Sleep受矚目，因為這是利用LLM模仿人類安全專家找出漏洞的突破，當中找出SQLite的堆疊緩衝區下溢漏洞，成為這類應用的第一個公開實例。</p> <p>關於企業這一年來必須掌握的重要變化，英國標準協會（BSI）在這個月舉行的2024年會上，不僅強調百工百業用AI的最新態勢，也提醒大家關注AI風險，因為今年這議題已被世界經濟論壇（WEF）列為近年最重大風險，臺灣企業應提升AI治理力。</p> <p><strong style="color: rgb(255, 0, 0);">eBPF技術、聯合學習發展成焦點</strong></p> <p>10月有CNCF技術委員會成員來臺，揭露eBPF是K8s未來3大重要進展之一，本月舉行的思科亞太區用戶大會，同樣展現這方面的應用，指出併購Isovalent後帶來Cilium這項技術，並指出eBPF就是Cilium的核心技術，讓思科能強化網路可觀測性，顯現eBPF技術正被看好；另一是國內的科技防詐創新研發態勢上，11月初臺北金融科技展中有3項聯合自主實證計畫亮相，都是關於用AI聯合學習提升防詐能力，顯現聯合學習正受看重。</p> <p><strong style="color: rgb(255, 0, 0);">臺灣重大資安事件</strong></p> <p>關於上市櫃公司遭遇網路資安事件，發布資安重訊的業者有6家，涵蓋紡織業、汽機車製造業、印表機製造業，以及電子零組件業，同時還有被動元件大廠與電信寬頻設備大廠，分別代美國與菲律賓子公司公告遭駭。<br /> ●第一星期有1起，力鵬表示楊梅廠部分主機遭受加密攻擊。<br /> ●第二星期有2起，三陽工業說明部份資訊系統遭受駭客網路攻擊。<br /> ●第三星期有1起，國巨代子公司KEMET補公告網路資安事件。 <br /> ●第四星期有3起資安重訊，包括誠研、晟楠，中磊代子公司Sercomm Philippines公告。</p> <p>還有2起與臺灣有關的威脅與風險揭露，同樣值得留意，包括：中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET指出前兩年有臺灣政府機關與宗教團體遇害；中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，由於該設備年初已終止支援、目前仍有近6萬臺正在使用，引發外界高度關注。</p> <p><strong style="color: rgb(255, 0, 0);">重訊揭露具體損失展現透明度</strong></p> <p>在上述國巨發布的重大訊息中，具體公布了美國子公司基美電子（KEMET）的取消訂單金額與閒置產能損失，相當難得。其實，這方面的透明度，對於證券市場投資者而言，相當重要，因為美國證券市場近年已經要求企業揭露相關資訊，必須揭露生產力損失、可能的聲譽損失或事件應變損失。在國內，2018年台積電的重訊記者會，曾具體公開這方面資訊，今年11月國巨在臺灣證券交易市場，也主動公開子公司的這方面資訊，未來希望有更多國內上市櫃公司跟進，展現資安處理的透明度。</p> <p>值得注意的是，雖然主動揭露資安重大訊息相當難能可貴，可惜國巨這次仍受罰，為什麼會這樣？臺灣對於上市櫃企業資安大訊息發布的規定，在於發現資安事件後於次一營業日開盤前2小時發布。也就是第一時間就要發布資安重訊，但由於這些損失可能無法第一時間算出，可能需要第二次重訊來說明。以國巨這次發布而言，由於忽略了前者，被證交所依違反重訊規定開罰5萬元。</p> <p><strong style="color: rgb(255, 0, 0);">多國電信業者遭中國駭客鎖定</strong></p> <p>美電信業遭中國駭客組織Salt Typhoon滲透的後續消息不斷，更受外界關注的是，還有更多全球電信業也是中國駭客的目標，這個月就有不同資安業者相繼揭露這方面的狀況。例如，趨勢科技揭露Salt Typhoon近期攻擊東南亞電信業者的事故中，使用多款後門程式，包含未被揭露的GhostSpider、模組化的SnappyBee、跨平臺的Masol RAT；資安業者CrowdStrike則公布中國駭客Liminal Panda多年來持續鎖定南亞、非洲電信業者從事網路間諜活動。</p> <p><span style="color:#FF0000;"><strong>攻擊者持續發展新攻擊手法與挖掘新漏洞</strong></span></p> <p>在威脅與攻擊手法方面，有2則新聞顯露出新的攻擊態勢，例如有研究人員發現第一個鎖定Linux主機的惡意UEFI Bootkit，並認為這個名為Bootkitty的惡意程式很可能在早期開發階段；有資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，指出此手法只有在某些解壓縮工具執行下才會現身，相當具隱蔽性。此外，攻擊者使用自帶驅動程式（BYOVD）攻擊的手法越來越多，這個月又有兩起行動是鎖定Avast、Palo Alto Networks的狀況。</p> <p>至於駭客發動零時差漏洞利用攻擊的情形，這個月依然嚴峻，包括微軟有兩個（CVE-2024-43451、CVE-2024-49039）、蘋果有兩個（CVE-2024-44309、CVE-2024-44308）、Palo Alto Networks有兩個（CVE-2024-0012 、CVE-2024-9474），Oracle有1個（CVE-2024-21287），還有臺廠奇偶科技的EOL設備也有1個（CVE-2024-11120）。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/165831"><span style="color: rgb(178, 34, 34);">【資安週報】1028~1101，中國駭客組織動作頻頻，打造可攔截Session及Cookie的惡意工具，挖掘產品未知漏洞並用於攻擊行動</span></a></strong></h2> <p>10月最後一星期的資安消息中，在國家級駭客威脅態勢上，有3起關於中國駭客組織攻擊的重要消息，其中兩起備受重視，一是中國駭客組織Evasive Panda打造惡意軟體工具包CloudScout的情形被資安業者揭露，而且已被用於針對臺灣政府機關和宗教團體的實際攻擊行動，由於該工具包可攔截Session及Cookie，將能存取Google Drive、Gmail、Outlook等公有雲服務；另一是資安業者Sophos揭露有駭客在四川地區從事漏洞的研究、利用與開發，再提供給中國政府資助的多個駭客組織進行使用，除此之外，中國政府支持的攻擊者也針對其他品牌的網路與資安設備，同樣是近年多家資安業者不斷警告的嚴重威脅。</p> <p>●中國駭客Evasive Panda開發可攔截Session及Cookie的惡意軟體工具包，資安業者ESET發現臺灣政府機關與宗教團體在前兩年成為其攻擊目標。<br /> ●中國駭客近5年鎖定多家廠牌的網路設備、資安設備，挖掘零時差漏洞從事攻擊行動，資安業者Sophos揭露最新研究報告Pacific Rim。<br /> ●前兩個月殭屍網路Quad7的威脅大幅提升，微軟揭露最新調查結果，指出中國駭客Storm-0940所為，並有多組中國駭客使用該殭屍網路所竊得的帳密資料。</p> <p>還有俄羅斯駭客Midnight Blizzard（APT29）的威脅，需關注其大規模攻擊活動，因為根據微軟威脅情報中心釋出的最新消息顯示，APT29正寄送內含惡意RDP組態檔案且高度針對性的釣魚郵件，英國、歐洲、澳洲、日本等數十國的政府、學術界、國防、非政府組織都是目標。</p> <p>勒索軟體也是主要的威脅焦點，有多家資安業者揭露不同勒索軟體的最新動向。例如，SonicWall在8月下旬修補的SonicOS漏洞CVE-2024-40766，如今有資安業者指出勒索軟體Fog、Akira的攻擊行動在初期入侵時，就是利用SonicWall防火牆設備的SSL VPN帳號；10月底資安研究人員發現CyberPanel伺服器管理平臺存在3種弱點，後續發現已有攻擊者鎖定可公開存取的CyberPanel發動攻擊，並部署勒索軟體Psaux；有資安業者揭露勒索軟體駭客Black Basta使用新的戰術，先透過網釣郵件，再透過微軟Teams進行社交工程攻擊引誘使用者上當。</p> <p>還有兩個威脅態勢同樣值得留意，包括有研究人員展示新的Windows安全降級手法，可在Windows核心植入Rootkit，以及有資安業者揭露香港、巴基斯坦關鍵基礎設施遭遇Cobalt Whisper攻擊，發現濫用紅隊演練工具Cobalt Strike並使用超過30個誘餌檔案。</p> <p>在資安事件方面，當中許多是先前公眾已知事故的後續消息，涵蓋國內外的紡織業、電信與ISP業者、醫療業。</p> <p>●臺灣上市紡織纖維業力鵬在28日發布重訊，說明楊梅廠部分主機於凌晨遭受加密攻擊，本地備份資料亦遭刪除，現正自異地備援資料還原中。<br /> ●美國多家ISP業者先前傳出中國駭客Salt Typhoon入侵，美國FBI與CISA證實這項消息，說明已通知受影響的公司，並鼓勵潛在受害者與政府機關共同應對。<br /> ●法國大型ISP業者Free先前傳出資料被兜售於駭客論壇，該公司證實資料遭到外流，並說明是管理工具被鎖定而遇害，導致部分個資遭到未經授權存取。<br /> ●美國醫療服務供應商UnitedHealth今年2月遭勒索軟體攻擊，該公司半年多後通報美國衛生及公共服務部的資料顯示新的消息，外洩的用戶資料高達1億筆。</p> <p>在資安防護上，我們認為有3個消息最要注意，分別是：找出產品未知漏洞的競賽、攻破駭客網路基礎設施的行動，以及面對AI時代發展的國安政策。首先，Pwn2Own Ireland 2024幫助提前找出逾70個零時差漏洞，其次歐盟與荷蘭執法單位搗毀竊資軟體RedLine、Meta的基礎設施，第三是美國政府發布首個AI國家安全備忘錄。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165936"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1104~1108，用戶身分安全受矚目，焦點涵蓋Passkey無密碼登入、金融Fast-ID、強制啟用MFA清</span></strong></a></h2> <p>11月第一週的資安消息中，在防護動向上，以身分安全為主要焦點，有3起消息都與此有關，其焦點涵蓋Passkey無密碼登入、金融Fast-ID，以及強制啟用MFA。</p> <p>例如：我們最近發布的封面故事，就是關於臺灣網路服務業者至少已有3家業者，包括：露天市集、可樂旅遊、智冠科技，均在大力宣傳「Passkey無密碼登入」，或是「FIDO生物識別登入」，這不僅代表開始跟上國際業者腳步，也讓用戶能有更安全簡便的登入方式；關於金融Fast-ID驗證轉接中心的進度，先前金管會已透露將於明年6月上線，11月初台北金融科技展上更是公布先導機構預計達20家，不只銀行、保險、證券期貨，也擴及投信投顧與政府機構；Google Cloud宣布明年強制啟用MFA的消息中，提到目前仍有3成帳號未啟用MFA，打破眾人對IT人員早就啟用MFA、重視帳號安全的想像，因此引發外界關注。</p> <p>還有兩則新聞突顯資安防護上的新技術焦點，我們認為同樣值得關注，一是聯合學習，一是AI抓漏。前者是在科技防詐的發展中，臺灣金融業正聚焦聯合學習技術的應用，目前已有3項實證計畫都在檢驗其有效性，並要促進應用落地；後者是涉及LLM模仿人類安全專家找出漏洞的發展，Google的Project Zero團隊與DeepMind共同研發的AI抓漏專案Big Sleep，已有首個公開實例出現。</p> <p>另外值得一提的是，臺灣駭客年會企業場在11月登場，副總統蕭美琴也到場支持並給予鼓勵，不只推動產官學研與社群力量的持續合作，更強調確保供應鏈的穩定，將能增強外商對臺灣的信心。</p> <p>在威脅態勢方面，有一起針對臺灣的攻擊最值得留意，思科Talos指出今年7月出現針對臺灣的臉書企業用戶及廣告帳號的攻擊，其手法是以侵犯版權為由，或假冒企業的法律部門，企圖散布竊資軟體LummaC2、Rhadamanthys。還有兩則駭客攻擊活動揭露，都與資安產品被鎖定有關。</p> <p>●臺灣企業臉書粉專管理員遭鎖定，駭客聲稱收信人的公司盜用他們的圖片及影片，揚言採法律行動，誘騙收信人開啟偽冒為PDF的可執行檔，以植入竊資軟體。<br /> ●英國國家網路安全中心（NCSC）揭露有攻擊者鎖定Sophos XG防火牆設備植入Pygmy Goat的後門程式，資安業者Mandiant分析攻擊者與與中國駭客有關。<br /> ●有攻擊者將舊版的Cortex XDR代理程式部署到企業，資安業者Palo Alto Networks指出這是藉由自帶驅動程式（BYOVD）手法。<br /> ●繼上月美國多家電信業者電信業者傳出遭中國駭客Salt Typhoon入侵，新加坡電信也傳出受駭，並且疑為同一駭客所為。<br /> ●安卓惡意軟體FakeCall的攻擊手法有新招，不僅藉由網路釣魚以植入惡意程式，還可將通話重新導向至攻擊者控制的詐騙號碼。<br /> ●研究人員揭露可濫用ChatGPT-4o的新手法，將惡意指令編寫成16進位可繞過原有安全護欄的防護。</p> <p>至於資安事件方面，在國內，以生產汽機車聞名的上市公司三陽工業，發布資安重訊說明部份資訊系統遭受駭客網路攻擊；國際間，則有2起消息受關注，包括：施耐德電機傳出Jira伺服器資料外洩、駭客聲稱從Nokia合作廠商竊得原始碼。</p> <p>在漏洞消息方面，這一星期有4大漏洞利用狀況，其中CyberPanel伺服器管理平臺的漏洞最受關注，因為在研究人員揭露相關漏洞資訊後出現攻擊行動，這可能突顯安全研究人員與供應商之間溝通不良，造成用戶需要為此買單的狀況。</p> <p>●CyberPanel上月修補經研究人員通報的安全漏洞，後續發現攻擊者鎖定並布署勒索軟體Psaux，美國CISA將CVE-2024-51567列入已知漏洞利用清單。<br /> ●11月Android例行安全更新中，修補已遭利用的安卓框架元件零時差漏洞CVE-2024-43093，以及高通上月修補的零時差漏洞CVE-2024-43047。<br /> ●Palo Alto Networks在7月修補Expedition轉移工具的漏洞CVE-2024-5910，11月8日該業者接獲CISA通知，已有證據顯示該漏洞正被積極利用。<br /> ●開源Web伺服器Nostromo nhttpd在2019年修補的老舊漏洞CVE-2019-16278，如今仍有攻擊者鎖定未修補用戶發動攻擊。</p> <p>至於其他漏洞修補動向，還可以留意的包括：HPE Aruba Networking的Wi-Fi基地臺系統軟體、思科的工控無線URWB路由器、以及ABB的智慧建築能源管理系統的漏洞修補。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166056"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1111~1115，國巨代子公司發布資安事件公告，主動揭露損失金額成新榜樣</span></strong></a></h2> <p>11月第2周的資安新聞中，在資安事件方面，以上市公司國巨代子公司發布資安事件重訊最特別，該公司不僅是揭露資安事故，也公布該事故對財務的影響，對資安透明度起到示範作用。</p> <p>這是因為，過去我們看到近年國外公司遭遇資安事件，有時都會揭露該事件帶來的損失金額，但很少國內公司這麼做，如今國巨在針對子公司基美電子（KEMET）資安事件的損失揭露上，提出具體金額與占比的說明。根據其公告的損失包括：取消訂單金額約60萬美元（約1,800萬元），占2022年度銷貨收入約0.04%，以及閒置產能損失約310萬美元（約1億元），占2022年度營業利益約0.75%。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，其中微軟修補修補的CVE-2024-43451最要注意，因為該漏洞至少從今年4月起就被利用，後續是在ClearSky研究人員在烏克蘭CERT-UA的幫助下，拼湊出今年6月疑似俄羅斯入侵烏克蘭學術伺服器的攻擊事件，進而發現這個漏洞並通報微軟。<br /> ●微軟修補4個零時差漏洞，其中2個已遭利用，分別是涉及Windows NTLMv2的CVE-2024-43451，以及有關Windows工作排程器的CVE-2024-49039。<br /> ●Palo Alto Networks在10月初修補兩個漏洞<span data-testid="page-header-vuln-id">CVE-2024-9463、</span>CVE-2024-9465，一個月後，發現攻擊者開始鎖定這些已知漏洞利用於攻擊行動。<br /> ●3個老舊漏洞持續遭攻擊者鎖定利用，包括Atlassian在2021年修補Jira Server與Data Center的漏洞CVE-2021-26086，Metabase在2021年修補GeoJSON API的漏洞CVE-2021-41277，思科在2014年修補ASA的漏洞CVE-2014-2120。</p> <p>其他重要漏洞消息方面，包括D-Link已停止支援的老舊NAS設備被發現重大漏洞，研究人員呼籲用戶盡速汰換設備；有資安業者揭露物聯網裝置雲端控管平臺Ovrc的10個漏洞，指出物聯網裝置越來越廣泛，這類平臺的安全更顯重要。</p> <p>在威脅態勢上，有3個態勢值得留意，包括網攻資料竊取速度加快、攻擊者濫用SEO的現況，以及新興的ZIP檔案串接手法（ZIP Concatenation），這不僅是利用多個ZIP檔案串接成單一檔案，使惡意軟體得以隱藏在檔案結構中，而且一起攻擊活動中，以7-Zip開啟會是無害PDF檔，用WinRAR或是Windows檔案總管開啟則會讓惡意檔案現身，容易對使用者產生更大的威脅。<br /> ●Palo Alto Networks在臺灣年度用戶大會指出網路攻擊者出手速度越來越快，從3年前平均9天縮短至去年的2天，最近的調查更是縮短至4小時內。<br /> ●近年冒牌電子商務網站數量暴增，資安業者趨勢科技與日本警界等聯手調查，發現攻擊者先對合法網站植入SEO惡意軟體，僅而讓搜尋結果出現駭客廣告。<br /> ●惡意軟體GootLoader不僅利用搜尋引擎最佳化中毒的手法來入侵，近期還特別鎖定澳洲，針對愛貓人士而來。<br /> ●中國駭客APT41利用惡意軟體框架DeepData Framework跟蹤政治人物與記者，東南亞多國被鎖定。<br /> ●資安業者對近期興起的ZIP檔案串接手法（ZIP Concatenation）示警，此手法正被攻擊者積極利用，有些解壓縮工具才會讓惡意檔案就會現身，相當具隱蔽性。</p> <p>另外值得警惕的是，駭客透過假冒方式散布惡意軟體的情形有兩起，顯示這類假冒與社交工程的手法依然活躍，包括有攻擊者利用偽裝成Windows版GitHub應用程式，散布惡意軟體Fickle Stealer，以及以取名相近的方式假冒熱門Python套件SSH自動化函式庫fabric。</p> <p>在資安防護方面，本星期有兩大重要新聞，一是為了防範詐騙、網釣連結等問題，多家簡訊商因應NCC祭出的新規範，開始實施建立商業簡訊的白名單機制；另一是思科近期宣布擴大雲端保護方案布局，新增Cillium與Hypershield，當中顯現出該公司對於eBPF技術的重視，由於上個月CNCF技術委員會成員來臺揭露K8s未來3大發展焦點時，其中一項也就是eBPF，突顯這項發展多年的eBPF技術，如今正被資安界看到更多可能性。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166180"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1118~1122，中國駭客組織持續攻擊全球，發起間諜行動與零時差漏洞利用等攻擊</span></strong></a></h2> <p>11月第3周的資安新聞中，在威脅態勢方面，最重要是中國駭客鎖定電信業者的間諜行動，後續消息不斷，不只是多家美國電信業受害，其他國家電信業也傳出遭攻擊，如今資安業者CrowdStrike公布最新研究證實此事，指出中國駭客Liminal Panda已鎖定南亞、非洲電信業者多年。</p> <p>此外，11月中旬適逢黑色星期五行銷活動前夕，以這項活動為誘餌、騙取信用卡及個資的網釣威脅揭露，一直是每年這個時間的新聞焦點，而最近一起攻擊行動的發現中，顯現是中國駭客SilkSpecter主導。</p> <p>另要關注的是，中國駭客組織是近期零時差利用的主要威脅來源之一。繼上星期我們報導資安業者BlackBerry揭露APT41的近期行動，後續資安業者Volexity揭露該群駭客組織的最新手法，指出發現利用FortiClient零時差利用情形，先前已經通報業者（尚未登記CVE），用戶需多加偵測並注意廠商的回應與緩解。</p> <p>在漏洞消息方面，有多達6個明確的零時差漏洞利用的情形，涵蓋資安產品、企業產品，與消費端裝置，這些漏洞已被攻擊者利用，用戶應儘速更新並清查是否遭入侵，尤其Palo Alto Networks的漏洞，Shadowserver基金會追查發現全球約有2千臺防火牆疑似遭入侵，臺灣也有58臺。<br /> ●Palo Alto Networks針對旗下防火牆修補2個已出現攻擊行動的零時差漏洞，分別是CVE-2024-0012 、CVE-2024-9474。<br /> ●Oracle針對旗下產品生命週期管理Agile PLM產品，修補已遭利用的零時差漏洞CVE-2024-21287。<br /> ●臺廠奇偶科技多款已終止支援的視訊監控設備，發現零時差漏洞CVE-2024-11120被鎖定利用的情形，用戶應汰換設備因應。<br /> ●蘋果針對旗下多個作業系統與Safari瀏覽器修補2個已遭利用的零時差漏洞CVE-2024-44309、CVE-2024-44308，尤其Intel處理器的Mac電腦用戶最要注意。</p> <p>還有3個已知漏洞，近期被發現有駭客鎖定利用，包括Progress今年2月修補Kemp LoadMaster負載平衡設備的CVSS滿分重大漏洞CVE-2024-1212，以及VMware今年9月修補vCenter Server的漏洞CVE-2024-38812、CVE-2024-38813。</p> <p>至於資安事件方面，這一星期國內有3家上市櫃公司資安重訊，涵蓋網通、電腦周邊設備與電子零組件業。<br /> ●電信寬頻設備大廠中磊代子公司Sercomm Philippines發布重訊，說明該菲律賓公司有部份資訊系統遭受駭客網路攻擊。<br /> ●印表機製造商誠研發布資安重訊，說明部份資訊系統遭受駭客網路攻擊。<br /> ●電子零組件業晟楠發布資安重訊，說明外部伺服器遭受駭客攻擊。<br /> ●上星期國巨代美國子公司發布資安重訊，由於事故發生是在10月12日，等於事發相隔一個月才公布，違反重訊發布規範，證交所開罰5萬元。<br /> ●美國汽車大廠福特傳出4萬多筆顧客資料外洩，先是有駭客在地下論壇兜售，後續該公司表示資料是從第三方業者流出。</p> <p>在資安防護發展方面，我們看到AI治理與個資法的議題，分別是全球與臺灣關注資安風險的重點。首先，BSI揭露國際趨勢與展望，指出AI引發的「錯誤資訊與假消息」，已經被世界經濟組織（WEF）列為近兩年10大風險之首，同時強調AI系統管理標準ISO 42001與AI治理力的重要性，以及國內企業需掌握到國際間對「董事會義務」的高度重視。</p> <p>其次，在臺灣，關於個人資料檔案安全維護管理辦法有新重要變動，過去政府已規範多個產業，包括數位經濟相關產業、製造業及技術服務、綜合商品零售業等。近日焦點在於「綜合零售業」更名「零售業」，且擴大列管的範圍，涵蓋所有資本額達到1千萬元的零售業，從原本600多家，擴大至包含服飾業者Uniqlo、NET，以及全國電子等6,800多家零售業者。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166286"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬臺仍在使用</span></strong></a></h2> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。由於已出現攻擊行動，我們要提醒的是，還沒修補的用戶需盡速更新與清查是否已受影響。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人並不知道這類設備需要中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164110">【2024年6月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">【2023年5月資安月報】</a></h3> <p> </p> </div></div></div>
2024/12/6 15:22作者羅正漢https://www.ithome.com.tw/news/166394
【re:Invent 2024現場直擊】SageMaker轉型成資料與AI通用大平臺，Amazon Q助手則開始能輔助…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS執行長Matt Garman在今年度re:Invent 2024技術年會中揭露Amazon Bedrock、Amazon SageMaker和生成式AI助手Amazon Q重大更新，Bedrock不只能開發和管理多代理的協作，還將SageMaker重新定位為，集結資料、分析和AI的通用平臺。</p> <p>另外，Amazon Q也有更多自動化和整合新功能，比如Amazon Q Developer開發助手多了3款AI自動化代理功能、整合GitLab等第三方平臺，更重要的是，Q Developer能協助.NET、VMware和大型主機（Mainframe）轉換等IT現代化工作了。</p> <p><span style="font-size:22px;"><strong>Bedrock可以開發多代理協作的應用</strong></span></p> <p>Matt Garman在今日主題演講中點出，AI推論，是AWS發展策略的4大重要基石之一。「生成式AI（GAI）將是所有應用程式的核心元件，」他直言。這是AWS推出Amazon Bedrock的原因，不僅支援自家和第三方模型，還兼具安全、易上手等優點，目前有數十萬家組織使用。</p> <p>在這個基礎上，Matt Garman宣布Amazon Bedrock新添模型蒸餾功能預覽版，能將大模型的知識快速轉移到小模型上，能以更實惠的成本加速模型開發。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%A1%E5%9E%8B%E8%92%B8%E9%A4%BE.JPG" /></p> <p>操作也很簡單，使用者只要將應用程式裡的提示範例，輸入給Bedrock，就能快速打造出客製化的蒸餾模型。</p> <p>再來，為避免AI產生幻覺，Amazon Bedrock還新添了自動推理（Automated Reasoning）檢查功能預覽版，來檢視模型產出的答案是否符合邏輯。（如下圖）Matt Garman還透露，AWS自己有許多服務，就用自動推理功能來檢查，像是S3、程式碼檢查工具Amazon Codeguru等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automated%20reasoning.JPG" /></p> <p>不只如此，面對越來越多的生成式AI代理管理和調度問題，Amazon Bedrock也新添了多代理協作功能預覽版，來簡化AI代理調度任務、不必再寫複雜的程式嗎，還能平行化分配代理工作，加速任務的執行。</p> <p><span style="font-size:22px;"><strong>新一代Amazon SageMaker是一套集結資料、分析和AI的通用平臺</strong></span></p> <p>同樣是AI平臺，Amazon SageMaker專門提供模型訓練、微調、部署和機器學習維運等功能，而今年AWS賦予SageMaker新定位，成為集結資料、分析和AI的通用平臺。</p> <p>在這個大放下，SageMaker有幾個新特色，其一是Unified Studio預覽版，整合SQL分析（Amazon Redshift）、資料處理（Amazon EMR、AWS。Glue和Amazon Athena）、機器學習（Amazon SageMakerAI）、生成式AI管理（Amazon Bedrock）、串流（Amazon MSK、Amazon Kinesis）和商業智慧（Amazon QuickSight）等多種服務，使用者在單一平臺就能存取，打造所需AI分析應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/studio.JPG" /></p> <p>另一個新亮點是SageMaker Lakehouse資料湖倉，是一套存取資料的統一平臺，使用者可用來存取跨Amazon S3、Amazon Redshift、SaaS服務等平臺的資料，還與Iceberg開源資料表格式相容。</p> <p>這套資料湖倉還提供細緻的資料存取權限控管，方便落實資料治理。</p> <p>與治理相關，這次還推出一套治理工具SageMaker Catalog，管理者可用來設定細緻的資料、模型和存取權限。</p> <p>新一代SageMaker還有一個與SaaS應用程式整合的零ETL新亮點，使用者可在SageMaker Lakehouse或Redshift中，存取Zendesk、SAP等SaaS應用程式的資料，來進行分析和AI應用。如此一來，使用者不必再自己建立、管理資料管線了。</p> <p><span style="font-size:22px;"><strong>Amazon Q Developer程式碼助手能協助IT現代化了</strong></span></p> <p>去年年會，AWS揭露了生成式AI助手Amazon Q，可分為Developer和Business兩個版本。Q Developer專門用來處理程式碼相關工作，Business則接收自然語言指令，來處理組織業務。</p> <p>在今年年會中，Matt Garman揭露了Q Developer的幾個新進展，包括正式新添3款AI代理，分別能自動產生和套用單元測試、產出準確的程式碼文件，以及自動進行Code review。（如下圖）其中，產出程式碼文件的功能，針對新、舊程式碼都有用，可找出不足之處和漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%E5%80%8B%E4%BB%A3%E7%90%86.JPG" /></p> <p>不只如此，為加強可用性，除了原本既有的Slack等第三方合作平臺，Q Developer現在也能在GitLab上使用了，接下來還會整合至更多第三方平臺。</p> <p>今年的Q Developer新亮點，還包括協助IT現代化，特別是針對.NET、VMware和大型主機的現代化工作。Matt Garman表示，之前，Amazon自己就用Q Developer來升級內部Java程式為Java 17，不只省下大把時間，也因為使用了現代化Java程式，進而省下年度2.6億美元的IT成本。於是他們思考，Q Developer是否也能用於其他IT現代化任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/java%E7%AF%80%E7%9C%81.JPG" /></p> <p>後來，他們與企業客戶詳談，鎖定出3個現代化領域，並打造出Q Developer協助IT現代化的新功能。首先是將Windows.NET轉換為Linux，轉換時間得到4倍加速，還能省下40%的許可費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NET.JPG" /></p> <p>再來是將VMware工作流程轉換到雲原生架構，將地端網路配置轉換為AWS同等配置，幾個小時就能完成，而非純人工的幾個禮拜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware.JPG" /></p> <p>第三個是加速大型主機現代化，Q Developer能加速原本人工吃重的大型主機現代化工作，如程式碼分析、文件建檔、重新建構應用程式等，甚至還能根據使用者系統狀況，來給出IT現代化策的略規畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mainframe%20cover.JPG" /></p> <p>這三個功能皆為預覽版。</p> <p></p> </div></div></div>
2024/12/5 01:32作者王若樸https://www.ithome.com.tw/news/166352
【資安日報】12月3日，惡意軟體SmokeLoader假借報價名義攻擊臺灣多個領域的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織在執法單位從事執法行動，破壞基礎設施之後，另起爐灶再度從事攻擊行動的情況不時傳出，而最近一波惡意軟體SmokeLoader再度出沒的攻擊行動相當值得留意，因為這是在遭執法單位查緝之後，該惡意程式的最新活動。</p> <p>值得留意的是，這波攻擊行動針對臺灣的企業而來，駭客的目標涵蓋製造業、醫療保健、資訊科技等多個產業。特別的是，攻擊者竟使用內容幾乎一模一樣的釣魚信，對不同公司下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166324"><strong style="font-size: 22px;">收到報價相關電子郵件請注意！可能是釣魚！惡意軟體SmokeLoader鎖定臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-smokeloader-1.jpg" style="width: 300px; float: right;" /></a></p> <p>今年5月，歐洲刑警組織與十多個國家的執法單位聯手，針對包含SmokeLoader在內的多款惡意程式載入工具（Loader）、殭屍網路，摧毀相關基礎設施，並逮捕嫌犯、凍結不法所得，但事隔數個月，這些駭客又再度從事攻擊行動，而且，這次疑似針對臺灣而來。</p> <p>資安業者Fortinet指出，他們在今年9月看到新一波的SmokeLoader攻擊行動，駭客針對臺灣的製造業、醫療保健、資訊科技，以及其他領域的公司而來。值得留意的是，過往攻擊者將SmokeLoader作為散布其他惡意程式的管道，但在這波資安事故裡，駭客從C2伺服器下載其他的SmokeLoader外掛程式，以便進行後續的惡意活動。</p> <p>攻擊者先是透過釣魚信對目標下手，他們假借提供報價的名義，要求收信人依照指示進行確認、回覆，一旦收信人開啟附件的報價資料檔案，電腦就有可能執行VBS指令碼，啟動惡意程式載入工具AndeLoader，最終載入SmokeLoader的有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/166325"><strong style="font-size: 22px;">Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/corrupted-word-doc-attachment.png" style="width: 300px; float: right;" /></a></p> <p>提供惡意軟體分析沙箱的資安業者Any.run指出，他們發現疑似利用零時差漏洞的攻擊行動，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。</p> <p>針對攻擊者接觸受害者的管道，研究人員提及是透過釣魚信來進行，一旦收信人打開附件Word檔案，Word就會顯示警告視窗，表示偵測到檔案已經損壞，並指出內含無法讀取的內容，詢問使用者是否嘗試進行修復。資安新聞網站Bleeping Computer取得Any.run找到的惡意檔案，指出攻擊者假借人力資源部門，使用薪資、員工福利、獎金為誘餌，寄送挾帶ZIP檔或Word檔案附件的電子郵件，而且，這些檔案名稱皆包含以Base64編碼的字串。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-interlock">勒索軟體Interlock疑從9月出現，對8個國家企業組織發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spyloan-android-malware-on-google-play-installed-8-million-times/">安卓惡意軟體SpyLoan透過Google Play市集散布，已被下載800萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/smokedham-backdoor-unc2465s-stealth-weapon-for-extortion-and-ransomware-campaigns/">駭客組織UNC2465佯稱提供合法工具，散布後門程式Smokedham以從事勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/ai-powered-fake-news-campaign-targets.html">俄羅斯影響力活動Undercut鎖定烏克蘭及美國選舉而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166305"><strong style="font-size: 22px;">Windows Server 2012、2012 R2存在MotW零時差漏洞</strong></a></p> <p>11月28日專門提供微修補的資安業者0patch指出，他們在伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。</p> <p>根據該公司的調查，這項弱點很可能是在2年前引入Windows Server 2012，目前尚未登記CVE編號，他們已通報此事，但截至目前為止，微軟並未提供更新軟體。</p> <p>而對於這項漏洞影響範圍，研究人員表示，Windows Server 2012與2012 R2已於去年10月終止支援，但即便用戶已購買延伸安全性更新（ESU）並套用，還是會曝露在這項漏洞的危險。</p> <p><a href="https://www.ithome.com.tw/news/166327"><strong style="font-size: 22px;">針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明</strong></a></p> <p>上週資安業者Nozomi揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。</p> <p>該公司表示，他們在8月5日接獲Nozomi的通報，隨即指派軟體團隊著手分析，並進行修復。經過多輪測試，他們完成新版韌體並經由Nozomi進行驗證，11月25日確認完全修復所有漏洞，並符合業界的資安標準。</p> <p>針對客戶修補的情況，研華表示他們的產品團隊已陸續通知所有使用EKI-6333系列的客戶，提供相關韌體更新資訊與指引，並建議根據實際使用需求，更新至最新版韌體。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166326"><strong style="font-size: 22px;">國際刑警組織與40個國家聯手執行大規模掃蕩，逮捕逾5千人、查獲4億美元不法所得</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/74cfea33bb9d-1-Timor-Leste.jpeg" style="width: 300px; float: right;" /></a>上週國際刑警組織（Interpol）宣布，他們與40個國家及地區的執法單位聯手，從今年7月至11月執行名為Operation Haechi-V的執法行動，結果逮捕超過5,500名從事金融犯罪的嫌犯，並沒收超過4億美元的不法所得。</p> <p>這波執法行動他們針對7種透過網路從事的詐欺行為進行調查，這些包含：語音網路釣魚（vishing）、愛情騙局、色情勒索、投資詐騙、非法賭博、商業郵件詐騙（BEC），以及電子商城詐欺。</p> <p>他們提及韓國與中國聯手破獲大型語音網路釣魚集團，迄今已有超過1,900人受害，造成11億美元的損失。此犯罪組織的作案手法相當複雜，他們可能會假扮執法人員，或是使用偽造的身分來行騙。兩國執法單位逮捕至少27人，其中19人已遭到起訴。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://finance.ettoday.net/news/2866164"><strong style="font-size: 20px;">台新銀行加入國際資安事件應變小組論壇FIRST，為臺灣第一家參與該組織的金融機構</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166298"><strong>【12月2日】網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> </div></div></div>
2024/12/3 17:33作者周峻佑https://www.ithome.com.tw/news/166328
【資安日報】12月2日，網釣工具包Rockstar 2FA針對汽車相關主題網站而來，意圖竊取用戶的M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊可說是相當泛濫，相關工具包也接連出現，資安業者Trustwave揭露最新一波的攻擊行動相當引人注意，駭客運用名為Rockstar 2FA的網釣工具包，而能在突破多種資安防護下發動攻擊。</p> <p>研究人員強調，駭客在攻擊流程搭配多種合法服務，而能成功迴避資安系統的偵測，其中一種是Cloudflare去年底正式開放、可免費使用的圖靈驗證服務Turnstile。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166295"><strong style="font-size: 22px;">網釣攻擊套件Rockstar 2FA鎖定M365帳號而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 6_ Email attack flow of Rockstar 2FA phishing campaigns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%206_%20Email%20attack%20flow%20of%20Rockstar%202FA%20phishing%20campaigns.jpg" style="width: 300px; float: right;" /></a></p> <p>網釣工具包橫行，近期有不少研究人員公布駭客打造的新工具，但也有駭客更換名稱持續活動的情況。資安業者Trustwave揭露的Rockstar 2FA網釣工具包，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。</p> <p>研究人員在今年8月看到使用此網釣工具包的大規模網釣攻擊，駭客組織Storm-1575發動對手中間人（AiTM）攻擊，從而攔截受害者的帳密資料，以及連線階段（Session）的cookie，而有機會繞過多因素驗證機制，進而挾持Microsoft 365帳號。</p> <p>根據他們的觀察，這次對方的主要目標，很可能是想要瀏覽與汽車有關網站的使用者，研究人員從5月開始，發現逾5千個與車輛相關的網域名稱。</p> <p><a href="https://www.ithome.com.tw/news/166285"><strong style="font-size: 22px;">一年前揭露的UEFI漏洞LogoFAIL遭到利用，駭客企圖在Linux電腦植入Bootkitty</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/674a29add97eead6c8b5da5b_674a1f83d060f4a92874983c_image3.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET揭露第一個針對Linux電腦的UEFI Bootkit「Bootkitty」，但不久後有人結合已知的UEFI韌體漏洞，打造具有實際破壞性的惡意程式。</p> <p>11月29日專精韌體安全的資安業者Binarly指出，他們近日發現名為logofail.bmp的圖檔，大小為16MB，一旦傳送給Linux電腦，就會在圖片解析過程注入Shell Code，並在UEFI韌體的MokList變數注入惡意帳密，從而套用新的GRUB組態檔案。此檔案能成功繞過安全開機（Secure Boot）防護機制，並將後門程式植入受害電腦。</p> <p>值得留意的是，這支惡意程式針對具有特定漏洞LogoFAIL（CVE-2023-40238）的韌體而來，若是IT人員並未套用新版韌體，就有可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/166243"><strong style="font-size: 22px;">配置臭蟲釀禍，Cloudflare遺失逾半數客戶事件記錄檔案</strong></a></p> <p>提供內容傳遞網路及安全服務的Cloudflare坦承，在11月14日因為內部系統一連串的臭蟲，在短短5分鐘的錯誤配置中，遺失了55%客戶事件記錄。</p> <p>在11月14日，為了支援新的資料集以處理額外的事件記錄類型，Cloudflare更新Logpush的配置，系統需要將此配置傳送給Logfwdr，但配置系統傳送給Logfwdr的檔案卻是空白的，因而觸發了Logfwdr內部的「故障開放」（Fail Open）機制。</p> <p>儘管Cloudflare很快就發現此事，並在5分鐘內恢復了該變更，但Logfwdr已根據Fail Open發送事件記錄給大量客戶，而Buftee原本有防護機制，卻因配置問題而未被正確啟用，導致Buftee所管理的事件記錄緩衝區數量，很快就從一百多萬個快速增加到4,000萬個。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-11667-critical-vulnerability-in-zyxel-firewalls-actively-exploited/">德國針對兆勤防火牆漏洞提出警告，證實至少有5家企業受害</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/mut-8964-an-npm-and-pypi-malicious-campaign-targeting-windows-users/">駭客組織MUT-8694同時針對NPM、PyPI開發者下手，意圖向Windows用戶散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-npm-packages-inject-ssh-backdoors-via-typosquatted-libraries">惡意NPM套件鎖定Linux開發人員，偽裝熱門套件散布後門程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2024/11/hacker-in-snowflake-extortions-may-be-a-u-s-soldier/">犯下Snowflake大規模勒索案的主嫌疑為美國軍人</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166291"><strong style="font-size: 22px;">研華工控無線基地臺存在重大漏洞，若不修補恐被用於繞過身分驗證、執行任意程式碼</strong></a></p> <p>資安業者Nozomi揭露研華科技（Advantech）旗下EKI工控無線基地臺20個漏洞，一旦遭到利用，有可能導致攻擊者在未經身分驗證的情況下，使用root權限遠端執行任意程式碼，從而影響網路設備的機密性、完整性、可用性。</p> <p>這些漏洞影響EKI-6333AC-2G、EKI-6333AC-2GD、EKI-6333AC-1GPO等3款機型，對此研華針對EKI-6333AC-2G、EKI-6333AC-2GD發布1.6.5版韌體，以及針對EKI-6333AC-1GPO發布1.2.2版韌體，修補相關漏洞。</p> <p>根據漏洞嚴重程度來看，有6個被評為重大層級，其餘多為高風險層級，僅有1個為中度風險等級。其中，CVE-2024-50370、CVE-2024-50371、CVE-2024-50372、CVE-2024-50373、CVE-2024-50374、CVE-2024-50375皆為CVSS評分達到9.8的危險漏洞，除了CVE-2024-50375與重要功能缺乏身分驗證有關，其他漏洞的成因，則是涉及作業系統命令當中，特定元素的處理不正確。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/11/microsoft-fixes-ai-cloud-and-erp.html"><strong style="font-size: 20px;">微軟修補AI、雲端服務、ERP漏洞，已有部分出現攻擊行動</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166281"><strong>【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> </div></div></div>
2024/12/2 17:56作者周峻佑https://www.ithome.com.tw/news/166298
【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬多…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月最後一周的資安新聞中，在漏洞消息方面，有2大漏洞利用消息與1項漏洞警訊需要優先關注，都與邊緣裝置安全有關，涵蓋Array Networks、Zyxel Networks與D-Link的網路產品。</p> <p>●大宇集團旗下Array Networks去年3月修補的SSL VPN系統漏洞CVE-2023-28461，如今發現有駭客開始利用此已知漏洞發動攻擊。<br /> ●兆勤科技（Zyxel Networks）今年9月修補防火牆漏洞CVE-2024-42057，隨著資安業者Sekoia示警，後續兆勤警告攻擊者開始鎖定這項已知漏洞。<br /> ●中華電信提供許多個人及政府機關的D-Link數據機DSL-6740C，本月被國內資安研究人員揭露存在8個漏洞。</p> <p>值得注意的是，這2項漏洞利用的幕後凶手已被資安業者查出，趨勢科技揭露中國駭客組織Earth Kasha最新攻擊行動，就是利用上述Array的漏洞與另一Fortinet已知漏洞作為入侵起始點，臺灣與日本的企業均有受害案例；資安業者Sekoia揭露勒索軟體Hellodown的攻擊行動，指出是利用上述兆勤漏洞入侵。</p> <p>而D-Link數據機的DSL-6740C漏洞揭露亦是一大警訊，因為該設備今年初已終止支援，加上臺灣現在還有多達57,945臺仍在運作，顯示出中華電信處理EOL設備的速度太慢，以及還有很多人不知道要請中華電信更換。</p> <p>在資安事件上，11月底感恩節前夕有一起勒索軟體攻擊事件受矚目。美國供應鏈管理業者Blue Yonder遭攻擊後導致服務中斷，影響北美1.1萬家星巴克門市與英國2家連鎖超市等系統，使其員工只能手動作業，且3天後系統仍未恢復。</p> <p>國內也發生一起事件值得我們警惕，就是北捷AI客服被測試發現可代寫程式碼。過去ChatGPT等生成式AI常因提示注入攻擊（Prompt Injection）被誘導，超出違反原本的安全或使用限制，因此後續各界不斷強調提高AI安全護欄能力。雖然此次未達惡意濫用程度，但已暴露國內可能輕忽系統AI安全護欄的問題。</p> <p>在資安威脅態勢上，有多個中國與俄羅斯駭客組織的攻擊活動被揭露，其攻擊目標相關廣泛，涵蓋瀏覽器、作業系統，也有鎖定電信業者，以及針對圖博（西藏）民眾等：<br /> ●近兩個月Firefox與微軟分別修補的零時差漏洞（CVE-2024-9680、2024-49039），如今資安業者ESET公布幕後攻擊者是名為俄羅斯駭客Tropical Scorpius（又名UNC2596）所串連利用，並會植入後門程式RomCom。<br /> ●電信業注意！關於中國駭客組織Salt Typhoon攻擊全球電信業又有後續消息，趨勢科技揭露攻擊者會植入名為Demodex的rootkit程式，而近期攻擊東南亞電信業者的事故中，還使用先前未曾揭露的GhostSpider等多款後門程式。<br /> ●中國駭客TAG-112新一波鎖定圖博新聞媒體、大學網站的攻擊被揭露，目的是針對瀏覽網站的使用者電腦植入Cobalt Strike，目前尚不知駭客利用那些漏洞。<br /> ●鄰居被駭也是自家被攻擊的前奏，最近資安業者Volexity公布俄羅斯駭客APT28在俄烏戰爭前夕藉由Wi-Fi管道的攻擊方式－－Nearest Neighbor Attack。<br /> ●駭客濫用防毒軟體元件從事自帶驅動程式（BYOVD）攻擊的手法越來越多，最近一起是針對Avast的驅動程式元件而來，以停用受害電腦防護機制。</p> <p>在資安防禦新聞中，我們觀察到兩個關鍵議題備受關注，包括：促進民間資安情報的聯防合作以及打擊網路犯罪，分別是臺灣與全球關注資安風險的重點。</p> <p>首先是今年台灣資安通報應變年會，透露了TWCERT/CC的日後新方向，指出為了讓聯防更有效果，將以情資角度作為向企業溝通的方式，而不像過去從事件通報角度向企業溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，意即：何種類型攻擊、可能攻擊標的、入侵指標（IoC）、攻擊手法等關鍵資訊。</p> <p>另一個是全球在查緝網路犯罪方面取得新成果。國際刑警與非洲刑警聯手行動，在19個非洲國家逮捕了千餘名嫌犯。其中部分犯罪行動涉及高技術含量，例如在肯亞破獲的一起網路信用卡詐騙案中，駭客利用修改銀行系統安全協議的方式，執行惡意腳本竊取資金，並流向多國司法管轄區內的金融相關機構。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</span></strong></a></h3> <p>最近幾年，有研究人員揭露利用Wi-Fi無線網路從事近距離、非接觸式的攻擊手法，但這樣的手段鮮少在實際的資安事故曝光，如今有研究人員公布此種類型攻擊行動。</p> <p>資安業者Volexity指出，2年前俄羅斯駭客組織APT28就是利用類似的策略，先攻擊目標組織鄰近的企業，再藉由這些跳板存取目標組織的Wi-Fi網路，從而進行相關的情報收集。</p> <h3><a href="https://www.ithome.com.tw/news/166203"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</span></strong></a></h3> <p>供應鏈攻擊事故頻傳，最近軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，傳出已對客戶的運作造成影響，目前已有連鎖咖啡店星巴克、英國兩大超市證實受到波及。</p> <p>值得留意的是，11月21日Blue Yonder證實因資安事故導致代管服務中斷，但目前尚未確認復原的時間，相關災情與影響範圍有待後續觀察。</p> <p><a href="https://www.ithome.com.tw/news/166236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</span></strong></a></p> <p>攻擊者利用瀏覽器零時差漏洞的情況不時傳出，但多半會針對較多人使用的Chrome而來，發生在今年10月上旬的Firefox零時差漏洞攻擊相當引人關注，如今通報漏洞的研究人員更多細節。</p> <p>他們提及這波攻擊行動由俄羅斯駭客RomCom發起，在過程裡還會運用Windows零時差漏洞CVE-2024-49039，使得攻擊者無須與使用者互動，就能將後門程式散布到受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/166259"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】第一款針對Linux主機的UEFI Bootkit現身</span></strong></a></h3> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/166281"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體</span></strong></a></h3> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> </div></div></div>
2024/12/2 09:37作者羅正漢https://www.ithome.com.tw/news/166286
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周Bootkitty<a href="https://www.ithome.com.tw/news/166255" target="_blank">現身</a>後，研究人員又<a href="https://www.binarly.io/blog/logofail-exploited-to-deploy-bootkitty-the-first-uefi-bootkit-for-linux" target="_blank">發現</a>，去年發現的一組UEFI韌體漏洞，已有人發展出濫用手法來植入Bootkitty這第一隻可在Linux執行的UEFI Bootkit程式。</p> <p>去年12月，資安廠商Binarly研究人員發現到的漏洞為LogoFAIL，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-40238" target="_blank">編號CVE-2023-40238</a>。它是位於舊版Insyde InsydeH2O UEFI BIOS中的圖片解析器BmpDecoderDxe的圖片解析漏洞，影響5.2（05.28.47以前）、5.3（05.37.47以前）、5.4（05.45.47以前）、5.5（05.53.47以前）和5.6（05.60.47以前）版本。攻擊者可傳送惡意BMP logo，在開機過程影像解析過程中將資料複製到特定位址，濫用LogoFAIL漏洞最終會使基本的UEFI端點安全措施失效，使攻擊者得以對受影響的系統深度控制。BIOS廠商系微（Insyde）已經在去年12月釋出更新版，可解決該漏洞。</p> <p>今年Binarly又發現，有人發展出濫用LogoFAIL漏洞植入惡意程式的行為。他們發現一個名為16MB大小的logofail.bmp圖檔，當傳送給受害Linux機器時，能在圖片解析過程中注入shellcode，而在裝置UEFI韌體程式的MokList變量中注入惡意憑證，藉此允許一個GRUB配置檔在機器上執行。該檔內含後門程式的Linux核心圖檔，成功繞過安全開機（Secure Boot）防護，以便將後門程式植入受害系統。結果就是讓Bootkitty通過驗證，植入Linux裝置。</p> <p>研究顯示，本攻擊手法是針對特定硬體配置，受影響BIOS模組的電腦品牌涵括聯想等數家廠商。研究人員說明，系微一年前已釋出更新版，沒有安裝更新版的裝置就可能曝露於風險。</p> <p>必須說明的是，ESET研究人員發現的Bootkitty雖然可能只是概念性驗證（PoC）程式，而非已用於攻擊的惡意程式，但已顯示，Linux裝置不再能自外於UEFI惡意開機程式濫用風險。</p> </div></div></div>
2024/12/2 08:53作者林妍溱https://www.ithome.com.tw/news/166285
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/">他們發現名為GodLoader的惡意軟體</a>，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的<a href="https://www.ithome.com.tw/news/164161">Stargazers Ghost網路</a>，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p>另一方面，這樣的手法能夠針對多種類型的裝置進行跨平臺攻擊，範圍涵蓋Windows、Linux、macOS電腦，以及安卓和iOS裝置。雖然研究人員這次只找到針對Windows電腦的惡意軟體，但他們也發現藉此將有效酬載傳到Linux及macOS環境的作法。</p> <p>針對這波攻擊的危險性，研究人員認為，遊玩以Godot開發遊戲的玩家都有可能曝險，他們估計超過120萬人會成為駭客下手的標的。攻擊者可假借提供遊戲修改器或其他工具，利用Godot在使用者電腦執行惡意指令碼。</p> <p>而被駭客用來夾帶攻擊程式的管道Godot，其實是開源的遊戲開發平臺，提供高度彈性、對使用者友善的操作介面，以及豐富的功能，開發者可用來打造2D或3D遊戲，並將成品輸出為各種平臺的版本，除了電腦、行動裝置版本，開發者也能以網頁的形式（HTML5）提供玩家遊玩。其中，Godot核心引擎使用類似Python的指令碼語言GDScript，以便開發人員用於打造遊戲。</p> <p>但功能如此全面的GDScript，也成為攻擊者利用的對象，研究人員提及，此語言能讓攻擊者迴避沙箱和虛擬機器，也可以遠端執行有效酬載，在此同時，攻擊者因為使用了這項合法工具，而能夠迴避偵測。</p> <p>針對遊戲開發工具被濫用的情況，Godot遊戲引擎維護團隊及資安團隊成員Rémi Verschelde<a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">找上資安新聞網站Bleeping Computer，並提出說明</a>，他們表示，已經得知Check Point公布的調查結果，並認為這種型態的弱點也同樣可能會出現在其他遊戲開發引擎，而會遭到濫用。</p> <p>這種攻擊手法必須搭配特定條件，Rémi Verschelde表示，攻擊者必須將Godot的部分執行元件（runtime）與PCK檔案一起傳送，而且，使用者必須將執行元件與PCK檔放置於相同資料夾，並啟動相關元件。除非攻擊者搭配作業系統層級漏洞，否則他們無法讓使用者執行檔案就中招，Rémi Verschelde認為，由於還要將Godot元件帶到受害電腦上，這類方法並非駭客偏好的觸發作業系統漏洞管道。</p> </div></div></div>
2024/11/29 17:09作者周峻佑https://www.ithome.com.tw/news/166280
【資安日報】11月29日，駭客利用CleverSoar惡意程式於中國、越南電腦散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體框架Winos 4.0的攻擊行動，最近半年已出現數起相關事故，但值得留意的是，過往駭客的主要攻擊目標，都是使用簡體中文的使用者，而在最近一起事故當中，慣用越南文的用戶也是目標。</p> <p>不只攻擊的範圍擴大，散布該惡意程式的駭客也搭配其他新工具來進行，其中一種引起研究人員關注的是惡意程式部署工具CleverSoar。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166273"><strong style="font-size: 22px;">中國及越南遭到CleverSoar惡意部署工具鎖定，攻擊者意圖散布Winos 4.0、Nidhogg</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-11-25-at-2_49_06-PM.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客運用惡意軟體框架Winos 4.0從事攻擊行動的情況，今年已發生數起資安事故，例如：6月趨勢科技揭露駭客組織Void Arachne的攻擊行動，假借提供AI應用程式的名義，向簡體中文用戶散布這款惡意軟體；到了11月初，另一家資安業者Fortinet指出，有人利用這款惡意程式框架疑似鎖定教育機構下手，如今相關的攻擊行動再度傳出。</p> <p>資安業者Rapid7指出，他們在11月初發現了名為CleverSoar的惡意程式部署工具（Installer），攻擊者的主要目標，是慣用簡體中文與越南文的使用者。駭客意圖利用這款部署工具在受害電腦植入多種惡意程式，並保護這些軟體的運作不受到干擾。</p> <p>而這些對方使用的惡意程式，包含了Winos 4.0進階版本，以及名為Nidhogg的Rootkit程式。攻擊者能夠用來側錄鍵盤輸入內容、資料外洩、繞過安全防護措施，甚至能進一步控制受害電腦。究竟攻擊者的目的為何？研究人員推測，主要很有可能是為了進行更深入的監控，並且截取特定的資料。</p> <p><a href="https://www.ithome.com.tw/news/166278"><strong style="font-size: 22px;">日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-C-60-fig1-ec9cbc65.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知駭客組織APT-C-60於今年8月攻擊日本企業組織，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。</p> <p>在這波攻擊行動裡，駭客寄送含有Google Drive連結的釣魚信，一旦收信人點選連結，電腦就會下載含有惡意程式的VHDX虛擬磁碟檔案，該檔案內含誘餌及Windows捷徑檔（LNK）。</p> <p>收信人若是點選附件，電腦就會掛載虛擬磁碟並顯示偽製成自我介紹的LNK檔案，一旦開啟，電腦就會啟動檔名為IPML.txt的Shell檔案，此Shell程式就會下載惡意程式下載工具SecureBootUEFI.dat，並以COM挾持（Component Object Model Hijacking）的方式執行，藉此讓攻擊者在受害電腦持續活動，最終於受害電腦植入後門程式SpyGlace。</p> <p><a href="https://www.ithome.com.tw/news/166280"><strong style="font-size: 22px;">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodLoader-6.png" style="width: 300px; float: right;" /></a></p> <p>最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。</p> <p>資安業者Check Point指出，他們發現名為GodLoader的惡意軟體，從今年6月底開始透過開源遊戲引擎Godot，並執行特製的GDScript指令碼，駭客藉此觸發惡意指令，並於受害電腦載入惡意軟體，迄今約有1.7萬臺電腦遭到感染，而且，許多防毒軟體可能無法偵測攻擊者使用的惡意指令碼，因為將這些程式送到惡意軟體分析平臺VirusTotal檢測，鮮少有防毒引擎將其視為有害。</p> <p>值得留意的是，該惡意軟體散布的管道，是濫用程式碼儲存庫GitHub組成的Stargazers Ghost網路，從9月至10月，約有200個儲存庫用於散布GodLoader。</p> <p><a href="https://www.ithome.com.tw/news/166221"><strong style="font-size: 22px;">因不滿成為OpenAI宣傳影片生成器Sora的工具，受邀測試的藝術家洩露存取權限</strong></a></p> <p>一群被OpenAI邀請來測試文字轉影片AI模型Sora的藝術家，因為認為自己被OpenAI免費用來行銷Sora，而在Hugging Face上釋出了Sora的存取權限。不過，OpenAI在3小時後就關閉了針對藝術家所提供的早期存取權限。</p> <p>而該藝術社群在11月26日發表公開信，指出約有300名藝術家獲得了Sora的存取權限成為早期測試者、紅隊成員，以及創意合作夥伴，然而，他們卻認為自己是被OpenAI引誘以替其展開藝術漂白，向全世界說明Sora對藝術家來說是個有用的工具。</p> <p>公開信中闡述，藝術家們使用Sora所生成的影片，在對外分享之前都必須獲得OpenAI團隊的批准，此一早期存取計畫似乎不太關心創意表達與批評，而更在意公關及廣告。對此，他們公開取得的存取權限，讓一般使用者也能探索、實驗Sora的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/k/return-of-anel-in-the-recent-earth-kasha-spearphishing-campaign.html">中國駭客Earth Kasha從事網釣攻擊，意圖對日本企業散布後門程式Anel</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/tracing-the-path-of-vietcredcare-and-ducktail/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對遭遇中國駭客Salt Typhoon入侵的事故，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/11/22/microsoft-shares-latest-intelligence-on-north-korean-and-chinese-threat-actors-at-cyberwarcon/">北韓駭客半年內竊取逾1千萬美元加密貨幣、針對衛星與軍事系統從事網釣攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">網路流量監控系統Zabbix存在重大層級漏洞，恐被用於SQL注入、RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166264"><strong style="font-size: 22px;">行政院推打詐策略行動綱領2.0，提高產業防詐監管力度、AI科技防詐是關鍵</strong></a></p> <p>為遏止詐騙盛行，行政院推動新世代打擊詐欺策略行動綱領2.0版（後簡稱打詐策略行動綱領2.0），除強化金融、電信產業的防詐策略，也擴大納入數位經濟產業，提高對產業監管力度以對抗各種詐騙手法，並且積極運用AI以強化科技防詐。</p> <p>打詐策略行動綱領2.0，打詐辦公室轉型為打詐指揮中心，分為識詐、堵詐、防詐、阻詐、懲詐5個面向，分別由內政部、NCC、數發部、金管會、法務部負責，各自針對警政宣傳、電信產業、數位經濟產業、金融產業、偵查提出打詐對策，並由打詐指揮中心跨部會協調合作，2.0也加強中央政府和地方政府合作，取得通報、共同打詐防詐。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166158"><strong style="font-size: 22px;">AWS與Rust基金會攜手，驗證Rust標準函式庫的安全性</strong></a></p> <p>AWS與Rust基金會11月20日共同舉辦新競賽，期望號召社群的力量，來驗證Rust標準函式庫的安全性。</p> <p>AWS表示，由core、alloc與std等套件組成的Rust標準函式庫，替開發者提供了許多常用的功能，這些功能在外部看起來是安全的，但它們在內部可能使用了unsafe區塊來實現一些低階的高效能操作或硬體互動，而且並未經過真正的安全驗證。</p> <p>因此，AWS與Rust基金會共同推出一系列的挑戰賽，專注於驗證記憶體安全，以及Rust標準函式庫中未定義行為的子集，參與者可以透過指定合約、驗證函式庫元件，或是開發新的驗證工具來作出貢獻，而且每項成功的挑戰都可獲得獎勵。本競賽的最終目標，是要讓驗證成為Rust語言持續整合過程中不可或缺的一部分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166259"><strong>【11月28日】第一款針對Linux主機的UEFI Bootkit現身</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> </div></div></div>
2024/11/29 17:15作者周峻佑https://www.ithome.com.tw/news/166281
檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者VulnCheck針對<a href="https://vulncheck.com/blog/projectsend-exploited-itw">檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告</a>，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>為何會如此？原因可能與這項漏洞遲遲沒有登記CVE編號，開發團隊也並未發布相關資訊有關。這項漏洞起因是身分驗證不當，攻擊者可在未經身分驗證的情況下，向options.php發送偽造的HTTP請求，從而遠端觸發漏洞，一旦成功，攻擊者就能竄改應用程式組態、建立帳號、上傳Web Shell，或是嵌入惡意JavaScript指令碼，CVSS風險評為9.8，開發團隊發布r1720版修補。</p> <p>該漏洞最早是資安業者Synactiv去年1月通報，<a href="https://github.com/projectsend/projectsend/commit/193367d937b1a59ed5b68dd4e60bd53317473744">開發團隊5月嘗試修補</a>，到了今年7月，<a href="https://www.synacktiv.com/sites/default/files/2024-07/synacktiv-projectsend-multiple-vulnerabilities.pdf">Synactiv公開對這項漏洞提出警告</a>，開發團隊8月才正式提供修補程式。</p> <p>值得留意的是，到11月26日VulnCheck登記CVE編號之前，已有ProjectDiscovery、Rapid7兩家資安業者，將這項弱點的規則加入弱點掃描工具<a href="https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/projectsend-auth-bypass.yaml">Nuclei</a>、滲透測試工具<a href="https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/projectsend_unauth_rce.rb">Metasploit</a>，而這樣的情況，使得攻擊者想要透過濫用這些工具鑽漏洞，變得更加容易。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p>研究人員使用GreyNoise的威脅分析平臺進行搜尋，結果發現122個攻擊來源IP位址，大部分來自德國，但也有愛爾蘭、英國、澳洲、日本。這樣的情況，代表可能有多組人馬試圖利用漏洞。</p> <p>他們看到攻擊者一旦成功利用漏洞，就會接著啟動使用者註冊功能，從而取得特殊權限。此外，攻擊者很可能在網站根目錄（webroot）上傳Web Shell的情況。</p> <p>但在此同時，鮮少有ProjectSend伺服器完成更新。研究人員指出，僅有1%左右執行r1750版，採用2022年10月推出的r1605，佔了55%，而其餘（44%）執行去年4月發布的版本（未公布版號）。考慮到尚未修補的情況非常嚴重，研究人員推測，攻擊者很可能已經準備大肆對這種伺服器展開攻擊。</p> </div></div></div>
2024/11/28 17:15作者周峻佑https://www.ithome.com.tw/news/166258
【資安日報】11月28日，第一款針對Linux主機的UEFI Bootkit現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>埋藏在UEFI韌體的惡意啟動工具UEFI Bootkit相當神秘，攻擊者藉此隱匿行蹤，並能從開機階段就挾持整臺電腦，讓執行於作業系統之上的防護機制失效，這樣的情況最近有了新的變化。</p> <p>本週資安業者ESET揭露新的惡意啟動工具Bootkitty，並指出雖然這支程式很可能仍在開發階段，但是第一個專門針對Linux作業系統的UEFI Bootkit，後續發展相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166255"><strong style="font-size: 22px;">研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bootkitty-figure-6-1.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，他們近期看到有人在VirusTotal上傳未知的UEFI應用程式，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> <p><a href="https://www.ithome.com.tw/news/166258"><strong style="font-size: 22px;">檔案共享伺服器ProjectSend存在重大漏洞，已被用於實際攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-victims.png" style="width: 300px; float: right;" /></a></p> <p>本週資安業者VulnCheck針對檔案共享平臺ProjectSend重大漏洞CVE-2024-11680提出警告，並指出該漏洞雖然前幾天才正式登記CVE編號，但其實是去年就被發現、修補，而且，已有駭客將其用於攻擊行動。</p> <p>ProjectSend是開源檔案共享應用程式，該專案在GitHub得到1,500顆星，根據Censys威脅情報平臺的分析資料，全球約有超過4千套ProjectSend系統。但資安業者VulnCheck發現，大部分的伺服器仍在執行存在漏洞的舊版ProjectSend。</p> <p>對於漏洞出現實際攻擊行動的情況，VulnCheck留意到從網際網路存取的ProjectSend伺服器約有208臺，自9月開始遭到竄改，入口網站的標題變成一長串的隨機字串，而這些字串的規則，正好與Nuclei與Metasploit加入的漏洞測試規則雷同，換言之，攻擊者很可能利用這些規則竄改伺服器。</p> <p><a href="https://www.ithome.com.tw/news/166225"><strong style="font-size: 22px;">美國證實Array Networks旗下SSL VPN系統重大漏洞已出現攻擊行動</strong></a></p> <p>1月25日美國網路安全暨基礎設施安全局（CISA）發布公告，他們將去年一項重大層級的已知漏洞CVE-2023-28461新列入已遭利用漏洞（KEV）清單，要求聯邦機構必須在12月16日完成修補。</p> <p>這項漏洞存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備，以及虛擬化版本vxAG，原因是重要功能缺乏身分驗證機制造成，攻擊者有機會利用漏洞讀取SSL VPN閘道的本機檔案，或是執行任意程式碼，CVSS風險達到9.8，影響9.4.0.481以前版本的作業系統。安瑞於去年3月9日公布這項漏洞，並於同月17日提供修補程式。</p> <p>雖然CISA並未透露攻擊者如何利用這項漏洞，不過這項資安公告發布的前幾天，趨勢科技公布中國駭客組織Earth Kasha的最新一波攻擊行動裡，其中一項用來取得初始入侵管道的SSL VPN漏洞，就是CVE-2023-28461。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/apt-c-60-exploits-wps-office.html">駭客組織APT-C-60鎖定StatCounter、Bitbucket伺服器，意圖散布惡意軟體SpyGlace</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/">惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/infostealers-vietcredcare-and-ducktail-fuel-facebook-business-account-exploitation/">越南駭客透過企業臉書帳號散布竊資軟體VietCredCare、DuckTail</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-breached-t-mobiles-routers-to-scope-out-network/">針對傳出遭遇中國駭客入侵，T-Mobile公布最新調查結果</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-godloader-malware-infects-thousands-of-gamers-using-godot-scripts/"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166245"><strong style="font-size: 22px;">已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e9DooFv6gX.png" style="width: 300px; float: right;" /></a>11月11日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布公告，指出D-Link數據機DSL-6740C存在一系列漏洞，由於該設備今年初已達到終止支援（EoS）階段，D-Link將不會進行修補，呼籲使用者應汰換設備。由於使用這款設備的用戶絕大多數都位於臺灣，寬頻網路的使用者應特別提高警覺。</p> <p>對此，12日D-Link也發布公告證實此事，並指出這款設備在今年1月15日已經結束支援，強烈建議用戶停止使用。</p> <p>這些漏洞分別是特權API不正確使用漏洞CVE-2024-1108、路徑穿越漏洞CVE-2024-11067，以及作業系統命令注入漏洞CVE-2024-11062、CVE-2024-11063、CVE-2024-11064、CVE-2024-11065、CVE-2024-11066，CVSS風險評分介於7.2至9.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/">Palo Alto Networks、SonicWall旗下SSL VPN系統存在新型態漏洞NachoVPN，攻擊者有機會為用戶端安裝惡意更新</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166249"><strong style="font-size: 22px;">重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享</strong></a></p> <p>為了提升臺灣民間企業的資安能力，不僅依賴個資法對全體企業的規範，以及金管會對上市櫃公司提出的各項要求，政府在協助企業提升資安能力方面，台灣電腦網路危機處理暨協調中心（TWCERT/CC）扮演著重要角色。</p> <p>隨著2024年元旦資通安全研究院（資安院）接手TWCERT/CC，各界都關心他們後續如何進一步協助民間企業。4月他們公布發展計畫，預告將持續推廣共同參與，拉攏更多企業加入TWCERT/CC免費會員，時隔超過半年的此刻，資安院在2024台灣資安通報應變年會，揭露目前最新相關進展。</p> <p>關於深化情資分享的具體做法，TWCERT/CC最近更是有了全新的策略，強調將以情資為主的溝通，扭轉大家對於通報的刻板印象。</p> <p><a href="https://www.ithome.com.tw/news/166187"><strong style="font-size: 22px;">「零信任博士」的實踐觀察，揭示零信任挑戰與應用未來</strong></a></p> <p>零信任架構（ZTA）在美國政府的推動下，已經成為全球政府與企業積極推動的網路安全架構，臺灣從政府到企業也非常認同零信任架構。在這個理論推動的過程中，除了有零信任架構的提出者、現任Illumio傳道士John Kindervag，各界稱之為「零信任之父」外，另外也有被譽為「零信任博士」（Dr. Zero Trust）的Dr. Chase Cunningham。</p> <p>Chase Cunningham日前來臺參加「零信任架構實踐高峰論壇」的媒體專訪時表示，零信任架構的核心原則是「永不信任，始終驗證」（Never Trust、Always Verify），這一原則徹底顛覆了傳統網路安全模型中對內部邊界的信任假設。他指出，隨著數位化轉型、雲端技術的普及以及第三方供應商的依賴，對傳統的「信任邊界」模式已經不再適用，企業需要重新定義網路安全的基石。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166236"><strong>【11月27日】攻擊者串連Firefox與Windows的零時差漏洞，能在使用者毫無察覺的狀況下植入惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166203"><strong>【11月26日】軟體供應鏈業者Blue Yonder遭遇勒索軟體攻擊，客戶受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166190"><strong>【11月25日】俄羅斯駭客在軍事行動前夕，藉由跳版入侵目標組織的無線網路環境</strong></a></p> </div></div></div>
2024/11/28 17:27作者周峻佑https://www.ithome.com.tw/news/166259
研究人員揭露名為Bootkitty的惡意UEFI Bootkit，專門鎖定Linux主機而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，駭客針對UEFI開機系統打造惡意啟動工具（UEFI Bootkit）的情況，約自2020年開始已有數起事故傳出，攻擊者利用這種工具竄改電腦的安全啟動機制，從而突破Windows作業系統的安全防護，甚至是停用防毒軟體與EDR系統。但如今，這類工具也出現專門針對Linux作業系統下手的情形。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/bootkitty-analyzing-first-uefi-bootkit-linux/">他們近期看到有人在VirusTotal上傳未知的UEFI應用程式</a>，檔名是bootkit.efi，經過分析確認是惡意UEFI啟動工具，研究人員將其命名為Bootkitty，並指出與過往同類工具最大的不同，在於它是針對Ubuntu作業系統特定版本而開發。</p> <p>為了讓啟動工具能夠通過UEFI開機流程，駭客使用自行簽署的憑證，替Bootkitty「漂白」，電腦啟動流程皆可進到執行Linux核心的階段，並在開機管理程式GRUB執行前，在記憶體內進行必要的完整性驗證功能，然而，這項工具的主要目的就是停用Linux的核心簽章驗證功能，並透過init處理程序預先載入2項來路不明的ELF執行檔。</p> <p>對於攻擊者的身分，雖然開發者自稱是BlackCat，但研究人員認為與勒索軟體BlackCat（Alphv）無關，原因是這些駭客雖然自稱BlackCat，Bootkitty是以C語言開發而成，但BlackCat其實是資安研究人員的稱呼，該組織自稱ALPHV，而且他們自始至終都用Rust語言開發惡意程式。對照之下，很有可能是兩組不同的攻擊者。</p> <p>另一方面，根據分析結果，研究人員認為Bootkitty很可能在早期開發階段，只是進行概念性驗證（PoC），而非積極活動的駭客用來作案的工具，僅管可能沒有實際的危害能力，但這代表執行Linux的電腦又多了一個可被侵入的管道，並顯示攻擊者正積極鎖定這類電腦開發相關工具。</p> </div></div></div>
2024/11/28 15:13作者周峻佑https://www.ithome.com.tw/news/166255
【資安日報】11月22日，駭客疑似利用零時差漏洞入侵2千臺Palo Alto Networks防火牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Palo Alto Networks在2週前發出不尋常的警告，指出他們得知有人掌握一項漏洞，呼籲用戶要限縮管理介面的存取管道因應，到了本週，該公司公布漏洞細節，並指出有一定數量的防火牆遭到攻擊。</p> <p>但究竟有多少防火牆受害？這幾天Shadowserver基金會表示，約有2千臺防火牆疑似遭到入侵，值得留意的是，雖然多數受害設備位於美國、印度，但臺灣也有災情。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166149"><strong style="font-size: 22px;">快修補！2千臺Palo Alto Networks防火牆疑似已遭漏洞攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kxDjVxCgCB.png" style="width: 300px; float: right;" /></a>本週一（11月18日）資安業者Palo Alto Networks修補PAN-OS管理介面身分驗證旁路漏洞CVE-2024-0012、權限提升漏洞CVE-2024-9474，當時，他們就提及有一定數量（Limited Number）的防火牆已經遭到攻擊，但究竟有多少防火牆受害？這幾天，有研究人員公布相關的觀察現況。</p> <p>11月21日Shadowserver基金會指出，他們發現全球約有2千臺防火牆疑似遭遇漏洞攻擊，其中美國、印度、泰國最多，分別有554、461、80臺。值得留意的是，臺灣也有58臺遭到入侵。</p> <p>另一方面，該基金會警告，全球約有2,700臺防火牆尚未修補這些漏洞，數量最多的仍是美國、印度、泰國，分別有932、484、96臺，至於臺灣，則有57臺未修補漏洞，數量排行全球第6。</p> <p><a href="https://www.ithome.com.tw/news/166159"><strong style="font-size: 22px;">中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WolfsBane-figure-4.jpeg" style="width: 300px; float: right;" /></a>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到名為WolfsBane的Linux變種版本。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/frostygoop-malware-analysis/">針對工控惡意軟體FrostyGoop影響烏克蘭暖氣供應事故，研究人員公布進一步調查結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/its-not-safe-to-pay-safepay">勒索軟體SafePay利用寄生攻擊停用內建防毒，繞過UAC提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay">研究人員揭露Ghost Tap攻擊手法，濫用NFC及行動支付偷錢</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fintech-giant-finastra-investigates-data-breach-after-sftp-hack/">金融軟體業者Finastra證實檔案傳輸平臺遭駭，傳出有人兜售竊得的內部資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166160"><strong style="font-size: 22px;">Oracle針對產品生命週期管理系統Agile用戶提出警告，其零時差漏洞已傳出被用於攻擊</strong></a></p> <p>本週Oracle修補產品生命週期管理（PLM）系統Agile的高風險漏洞CVE-2024-21287，值得留意的是，這項弱點已傳出被用於攻擊行動。</p> <p>該公司先是發布資安公告，表示他們針對9.3.6版Agile PLM框架修補CVE-2024-21287，並指出攻擊者無需通過身分驗證，就能遠端利用這項弱點，一旦成功利用，就有可能導致檔案洩露，CVSS風險評為7.5分。</p> <p>雖然在前述資安公告當中，Oracle並未進一步說明漏洞是否遭到利用，但該公司安全保證副總裁Eric Maurice透過部落格提出警告，資安業者CrowdStrike向他們通報此事時，已出現積極且廣泛利用的現象，呼籲IT人員應儘速取得修補程式並套用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-10220-kubernetes-vulnerability-allows-arbitrary-command-execution/">Kubernetes存在高風險漏洞，恐被用於執行任意命令</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166130"><strong style="font-size: 22px;">BSI呼籲重視AI科技風險，強調臺灣企業要提升AI治理力</strong></a></p> <p>全球都在聚焦的數位信任、AI、永續發展議題，臺灣企業同樣十分關注，隨著2024年即將結束，在今年英國標準協會（BSI）舉辦的數位信任國際標準管理年會上，他們不僅點出企業這一年來必須掌握的重要變化，更是強調AI治理及永續治理，對於未來的重要性。</p> <p>從今年BSI年會的內容來看，在數位信任與資安議題之下，AI當屬重要焦點之一，不僅是上述提及的AI風險，成為近兩年來最大風險挑戰，另從國際標準組織（ISO）的發展來看，AI也是主角，過去一年的最大焦點在於：全球首部AI治理國際標準的推出，ISO 42001的人工智慧管理系統標準（AIMS），正式在2023年12月出爐。</p> <p>BSI東北亞區董事總經理蒲樹盛指出，ISO 42001將縮小我們對AI信任的差距，而這項標準的關鍵就是AI的風險管理，這其實與國際上的公司法或許多管理系統框架一致，換言之，ISO 42001是企業在AI轉型過程中的重要參考。</p> <p><a href="https://www.ithome.com.tw/news/166104"><strong style="font-size: 22px;">Thin Client搭上雲端運算特快車，微軟公布混合式雲端PC裝置Windows 365 Link</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/windws365link.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/windws365link.png" style="width: 300px; float: right;" /></a>在本週二舉行的Ignite大會上，微軟公布精簡型終端裝置Windows 365 Link，主打安全、效能、易於管理。定價為349美元，預計明年上半上市。</p> <p>此裝置定位為特定商務應用，像是客服中心、銀行櫃臺、實驗室等單一應用、多人共享裝置的場景，用戶需以Microsoft Entra ID（即Azure Active Directory）存取、使用。由於此裝置無管理員身分的使用者，可有效降低攻擊面。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166142"><strong>【11月21日】中國駭客鎖定南亞及非洲一帶一路國家的電信業者從事間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166119"><strong>【11月20日】勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> </div></div></div>
2024/11/22 15:29作者周峻佑https://www.ithome.com.tw/news/166161
中國駭客Gelsemium改寫Windows版本的後門程式，對Linux主機發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客的主要標的往往是Windows電腦，但隨著企業有許多應用系統採用Linux作業系統，不少駭客團體也針對這種作業系統開發相關工具。</p> <p>例如，中國駭客Gelsemium原先使用惡意軟體Gelsevirine攻擊Windows電腦，但近期資安業者ESET看到<a href="https://www.welivesecurity.com/en/eset-research/unveiling-wolfsbane-gelsemiums-linux-counterpart-to-gelsevirine/?&web_view=true">名為WolfsBane的Linux變種版本</a>。會有這樣的變化，研究人員認為，很有可能是Windows端點防護已有所改進，使得駭客轉向可透過網際網路存取的應用系統，而這些系統大多以Linux建置。</p> <p>這些惡意程式之所以曝光，源於惡意程式分析平臺VirusTotal，去年收到從臺灣、菲律賓、新加坡上傳的WolfsBane，由於Gelsemium原先的主要攻擊目標，是東亞與中東的企業組織，這樣的情況相當不尋常。</p> <p>這個後門程式的攻擊鏈，主要是從惡意程式載入工具（Dropper）開始，執行後門程式WolfsBane，這樣的做法與Windows版後門程式Gelsevirine雷同。值得一提的是，駭客也運用修改過的Userland Rookit，這麼一來，攻擊者就有機會藉此隱匿行蹤。</p> <p>他們也看到Gelsemium使用的另一個後門程式FireWood，這個後門也是從Windows版衍生而來，但似乎與這些駭客無直接關聯。研究人員推測，Gelsemium很有可能與多個中國駭客組織共用此後門程式。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示尚缺乏相關證據能夠證明，但根據這些駭客過往的戰略、手段、流程（TTP），他們認為，駭客很有可能透過未知的網頁應用程式漏洞，取得伺服器的存取權限。</p> <p>接著，攻擊者將偽裝成工作排程公用工具cron的惡意程式載入工具執行，一旦啟動，就會建立隱藏資料夾$HOME/.Xl1，並埋入惡意軟體啟動工具（Launcher）及後門程式。而這個資料夾名稱，顯然是模仿X Window系統的名稱「X11」。</p> <p>攻擊者將以root權限執行惡意軟體啟動工具，停用SELinux防護機制，竄改系統配置以便維持在受害主機活動。</p> <p>完成後攻擊就會進入下個階段，執行惡意軟體啟動工具，駭客將其偽裝成桌面環境KDE的元件來掩人耳目。</p> <p>最後，就是正式啟動後門程式的有效酬載。此後門程式的執行過程，先是載入嵌入的程式庫libMainPlugin.so，然後利用另外兩個程式庫libUdp.so、libHttps.so建立網路通訊，然後從C2接收命令。</p> <p>研究人員指出，這批Linux作案工具，代表Gelsemium攻擊目標出現變化，而這個駭客組織並非唯一這麼做的網路罪犯，因為，研究人員發現，惡意軟體轉移到Linux平臺的情況，有逐漸上升的趨勢。</p> </div></div></div>
2024/11/22 14:46作者周峻佑https://www.ithome.com.tw/news/166159
微軟更新WSL加入RHEL官方發行版並強化企業安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布多項有關WSL（Windows Subsystem for Linux）的<a href="https://devblogs.microsoft.com/commandline/whats-new-in-the-windows-subsystem-for-linux-in-november-2024/">更新</a>，當中值得關注的是RHEL將成為官方支援的WSL發行版本。此外，微軟針對企業用戶推出Entra ID整合功能，進一步提升WSL的實用性與安全性。</p> <p>微軟表示，RHEL將會在未來數月內，正式成為WSL官方發行版本。雖然目前使用者已能在WSL上執行任意各種Linux發行版本，但是在成為官方支援版本後，RHEL的安裝與管理將變得更為便利。使用者可透過wsl --list --online指令，快速查看所有可用的發行版本清單，不需要手動搜尋或設定，或直接使用wsl --install指令進行安裝，不需要額外的步驟或是設定。</p> <p>在架構設計方面，微軟宣布引入全新的格式架構，WSL新架構以tar為核心，可以簡化發行版的開發和發布流程。過去建立WSL發行版需要將.tar檔案封裝成.appxbundle，並透過Microsoft Store發布，但是新架構讓開發者僅需調整.tar檔案，並且添加必要的設定檔案，即可完成設計。這不僅降低了技術門檻，也讓企業用戶能透過內部網路共享自定義發行版，強化部署靈活性。</p> <p>針對企業需求，微軟推出了Intune與Entra ID的整合功能。Intune目前已經全面支援WSL，IT管理人員可以藉由條件式存取政策，限制企業內部使用的WSL發行版與版本號，強化安全性，並提升Linux發行版的可見性。</p> <p>同時，WSL整合Entra ID功能則進入私有預覽階段，其強調零信任架構，提升企業資源存取的安全性。該功能改進憑證傳遞的方式，避免憑證透過網路封包傳送，同時也替Linux程序提供自動化的Windows身分認證。</p> </div></div></div>
2024/11/22 08:21作者李建興https://www.ithome.com.tw/news/166146
中國駭客Liminal Panda入侵南亞、非洲電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定電信業者發動攻擊，從而進行間諜活動的情況，這幾個星期以來不斷浮出檯面，最近一波是<a href="https://www.ithome.com.tw/news/166096">Salt Typhoon針對美國電信業者的事故</a>，傳出受害電信業者涵蓋AT&T、Lumen、T-Mobile、Verizon，但有知情人士透露，受害的國家並不只是美國，其他國家的電信業者也有遭受中國駭客攻擊的情況，如今有研究人員證實此事。</p> <p>資安業者CrowdStrike揭露<a href="https://www.crowdstrike.com/en-us/blog/liminal-panda-telecom-sector-threats/">從2020年開始活動的中國駭客組織Liminal Panda</a>，這些駭客擁有廣泛的電信網路知識，甚至相當熟悉各家電信業者之間如何互相連結，而能夠在成功滲透部分電信伺服器後，進一步對其他地區的供應商下手。</p> <p>該組織使用支援電信行動網路的通訊協定，像是模擬GSM通訊協定來啟用C2，或是透過開發工具接收行動用戶資訊、通話中繼資料，以及簡訊文字。</p> <p>究竟這些駭客的目的為何？研究人員認為，很有可能是從事情報收集。由於這群駭客過往專門針對南亞和非洲的電信業者，他們推測這些區域將是主要的攻擊目標。研究人員也特別提及，這些駭客的攻擊目標與國家利益一致的情況，因為，受害電信業者都位於中國推動一帶一路（縮寫為B&R或BRI）的國家。</p> <p>附帶一提的是，2021年，CrowdStrike揭露<a href="https://www.ithome.com.tw/news/147381">駭客組織LightBasin（UNC1945）針對電信業者的攻擊行動</a>，根據最新出爐的調查結果，CrowdStrike認為當初的攻擊其實是Liminal Panda所為，為何會出現不同的攻擊者身分判斷？原因是當時有多組人馬在同一個遭到入侵的網路環境從事惡意活動，使得相關攻擊行為難以判斷責任歸屬。</p> <p>當時CrowdStrike表示，攻擊者專門針對Linux及Solaris伺服器下手，先是透過密碼噴灑（password-spraying）手法，入侵電信業者外部的DNS伺服器（eDNS），並部署後門程式PingPong竊取帳密資料，以及進行橫向移動。</p> <p>此外，對方也使用公開能取得的後門程式TinyShell，以及Serving GPRS Support Node（SGSN）模擬軟體，建立C2通訊，目的是偽裝成合法流量來隱匿行蹤。</p> </div></div></div>
2024/11/21 12:13作者周峻佑https://www.ithome.com.tw/news/166128
【資安日報】11月20日，勒索軟體Helldown潛入受害組織，管道是兆勤防火牆的弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安業者Sekoia針對勒索軟體Helldown的攻擊行動提出警告，指出這些駭客從原本針對Windows進行加密，如今也開發了破壞VMware ESXi虛擬化平臺的檔案加密工具。</p> <p>值得留意的是，這些駭客潛入受害組織的方法，是利用兆勤防火牆的漏洞，駭客聲稱他們也成功入侵該公司的歐洲分公司，對此我們試圖聯繫兆勤科技，但在今天資安日報截稿之前，我們尚未得到他們的回應，目前無法進一步證實此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166117"><strong style="font-size: 22px;">勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/helldown-ttps.png" style="width: 300px; float: right;" /></a></p> <p>今年10月兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，這幾天有其他資安業者發布相關報告，指出此類威脅很可能與勒索軟體攻擊有關。針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> <p>19日資安業者Sekoia針對近期出現的勒索軟體Helldown提出警告，他們發現這些駭客最早從8月5日開始活動，截至11月7日，攻擊者聲稱有31家企業組織受害，而且大部分是中小企業、位於美國，部分受害企業組織位於歐洲。值得留意的是，這群駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>原本的攻擊活動主要是針對Windows電腦而來，但到了10月底，駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p><a href="https://www.ithome.com.tw/news/166108"><strong style="font-size: 22px;">駭客兜售福特逾4萬名顧客資料，該公司表示起因是第三方業者遭駭</strong></a></p> <p>有人在地下論壇聲稱竊自美國汽車大廠福特（Ford）的4萬多筆顧客資料，尋求買家兜售。對此福特汽車表示，這批資料是從第三方業者流出，公司系統未被駭。</p> <p>此次風波的造成，一開始，是名為EnergyWeaponUser的駭客在地下論壇張貼公告，聲稱於11月初夥同初始入侵管道掮客IntelBroker駭入福特的內部系統。他們取得4.4萬筆客戶資料，包括姓名、住家地址、購買產品型號、帳號、銷售數量等，以及國別等。駭客並張貼部分資料證實資料的真實性。雖然顧客資料不少，但駭客僅僅要求約合2美元的論壇點數。</p> <p>根據資安新聞網站CyberDaily的報導，外流資料的客戶，分布於美國、中國、西班牙、辛巴威、莫三比克等國。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=183621&SPOKE_DATE=20241119&COMPANY_ID=3494"><strong style="font-size: 22px;">印表機製造商誠研傳出部分資訊系統遭受網路攻擊</strong></a></p> <p>在11月19日晚間，印表機製造商誠研於股市公開觀測站發布重大訊息，表示部分資訊系統遭到駭客攻擊，資訊部門在事發當下已全面啟動相關防禦機制，並著手復原，該公司也尋求外部資安業者協同處理，並指出將對所有網域、網頁，以及相關檔案進行徹底檢測，再以備份資料恢復運作。</p> <p>而對於這起事故可能帶來的影響，該公司表示，根據他們的初步評估，對公司的運作無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.prnewswire.com/il/news-releases/new-threat-report-from-cato-networks-reveals-ransomware-gangs-recruiting-penetration-testers-to-improve-effectiveness-of-attacks-302309226.html">為增加攻擊成功的機會，多個勒索軟體組織向滲透測試人員招手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/">勒索軟體Akira威脅加劇，一天裡列出超過30個受害組織</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://cyberint.com/blog/research/akira-ransomware-what-soc-teams-need-to-know/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-attack-on-oklahoma-medical-center-impacts-133000/">美國奧克拉荷馬州醫療中心遭遇勒索軟體攻擊，影響13.3萬人</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/babbleloader-the-polyglot-malware-evading-both-traditional-and-ai-defenses/">多語言惡意程式BabbleLoader採用複雜回避偵測手法，有機會躲過AI打造的資安防護系統</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/north-korean-hackers-target-job-seekers-with-malware-laced-video-apps/">北韓駭客針對求職者下手，利用挾帶惡意程式的視訊會議軟體感染受害電腦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166107"><strong style="font-size: 22px;">Intel處理器的Mac電腦遭到鎖定，駭客利用零時差漏洞從事攻擊行動</strong></a></p> <p>11月19日蘋果針對旗下多種裝置作業系統發布新版，包含macOS Sequoia 15.1.1、iOS 18.1.1與17.7.2、iPadOS 18.1.1與17.7.2、visionOS 2.1.1，並對於macOS Ventura與Sonoma用戶提供瀏覽器更新Safari 18.1.1，目的是為了修補2項已被用於實際攻擊行動的零時差漏洞。</p> <p>這些漏洞是CVE-2024-44308、CVE-2024-44309，分別存在於JavaScriptCore框架，以及瀏覽器排板引擎WebKit。一旦電腦或行動裝置處理惡意的網頁內容，就有可能觸發上述漏洞，從而導致攻擊者能夠執行任意程式碼，或是發動跨網站指令碼（XSS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166109"><strong style="font-size: 22px;">GitHub命令列存在高風險漏洞，攻擊者有機會遠端執行任意程式碼</strong></a></p> <p>11月15日GitHub開發團隊指出，該程式碼儲存庫存在高風險漏洞CVE-2024-52308，這項漏洞出現於其命令列介面（CLI），一旦遭到利用，在使用者連線到惡意的Codespace SSH伺服器，並下達gh codespace ssh或gh codespace logs指令的情況下，攻擊者就有機會遠端執行任意程式碼（RCE），CVSS風險評為8.1，GitHub發布2.62.0版修補。</p> <p>對於這項弱點發生的原因，GitHub表示，這項弱點的起因是命令列介面在執行指令的過程中，處理SSH連線導致。當開發人員連線到遠端的Codespace，通常會使用執行開發容器（devcontainer）的SSH伺服器來存取，而這類容器的建置，大多使用預設的映像檔。</p> <p>一旦外部的惡意開發容器在SSH伺服器注入，並透過相關參數帶入SSH連線詳細資料，此時攻擊者就有機會藉由gh codespace ssh或gh codespace logs指令執行，於使用者的工作站電腦執行任意程式碼，甚至有可能藉此存取系統上使用者的資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166111"><strong style="font-size: 22px;">微軟舉行獎金提高50至100%的資安漏洞攻防賽Zero Day Quest</strong></a></p> <p>微軟19日舉行駭客任務競賽，邀請全球安全研究人員提交有關微軟AI、Microsoft Azure、Microsoft Identity、M365、Microsoft Dynamics 365及Power Platform等服務的安全漏洞研究，加碼50%至100%漏洞獎勵，活動期間至明年的1月19日。排行前45名的研究人員，將會獲邀參加明年於微軟華盛頓總部舉行的實體駭客活動（Onsite Hacking Event）。</p> <p>微軟安全回應中心（MSRC）工程副總裁Tom Gallagher表示，此活動不僅是為了尋找漏洞，也能強化MSRC、產品團隊及外部研究人員之間的關係，提高安全門檻。另一方面，微軟亦鼓勵開發人員在漏洞緩解後，於微軟的支持下透過部落格、播客或影片公開討論其發現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166099"><strong>【11月19日】中國駭客鎖定想趁機撿便宜的黑色星期五購物者發動網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166067"><strong>【11月18日】中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> </div></div></div>
2024/11/20 16:40作者周峻佑https://www.ithome.com.tw/news/166119
勒索軟體Helldown藉由兆勤防火牆弱點入侵受害組織，攻擊Windows電腦及VMware虛擬化平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年10月兆勤（Zyxel Networks）<a href="https://www.ithome.com.tw/news/165487">針對旗下USG Flex、ATP系列防火牆用戶提出警告</a>，他們在歐洲、中東、非洲地區（EMEA）偵測到鎖定該廠牌設備的攻擊行動，近期有資安業者指出，很可能與勒索軟體攻擊有關。</p> <p>資安業者Sekoia針對<a href="https://blog.sekoia.io/helldown-ransomware-an-overview-of-this-emerging-threat/">近期出現的勒索軟體Helldown提出警告</a>，這些駭客最早從8月5日出現活動，截至11月7日，攻擊者聲稱有31家企業組織受害，這些大部分是中小企業，多半位於美國，部分位於歐洲。值得留意的是，這些駭客也將兆勤的歐洲分公司（Zyxel Europe）列於受害者名單。</p> <p>而對於這些駭客攻擊的標的，原本主要是針對Windows電腦而來，但到了10月底，這些駭客進一步打造Linux版變種，用於攻擊VMware ESXi虛擬化平臺，使得該勒索軟體破壞範圍更為廣泛。</p> <p>研究人員對於勒索軟體程式進行分析，指出Windows版勒索軟體是以外流的LockBit 3.0建置工具開發而成，能在執行檔案前進行一系列作業，以便加密工作順利執行。</p> <p>其中包括透過指令碼終止特定處理程序，並刪除磁碟區陰影複製（Shadow Copy）的備份資料，並檢查是否取得特殊權限，以便後續將檔案加密並留下勒索訊息，最終清理作案痕跡，將指令碼及勒索軟體刪除，然後將電腦關機。</p> <p>至於Linux版變種，研究人員指出，駭客並未如同Windows版採用高度混淆處理，以及防除錯等反分析的機制。再加上這種針對虛擬化平臺的勒索軟體當中，通常會具備的終止虛擬機器（VM）功能，並未實際提供，因此他們推測，Linux版勒索軟體仍在開發的階段。</p> <p>針對攻擊者鎖定兆勤防火牆做為入侵受害組織的管道，研究人員提出他們掌握的線索。首先，他們在11月4日確認至少有8家企業受害，其中一家在8月受害的企業，當時利用該廠牌防火牆架設IPSec VPN，另有2家企業在遇害後，換成其他品牌的防火牆。</p> <p>他們也提及9月下旬兆勤論壇有許多防火牆用戶通報，搭配5.38版韌體的防火牆遭到入侵，駭客植入名為zzz1.conf的檔案，並建立名為OKSDW82A的帳號。研究人員針對上述CONF檔案進行分析，指出他們經過Base64編碼解密，取得針對MIPS架構系統打造的ELF執行檔，研究人員推測，此檔案可能與兆勤歐洲分公司遭入侵有關。</p> <p>再加上10月9日兆勤發布的資安公告當中，提及有駭客針對該廠牌防火牆發動攻擊，藉由特定弱點建立SUPPOR87、SUPPOR817，或是VPN的使用者帳號，根據上述資訊，研究人員認為勒索軟體Helldown入侵受害組織網路環境的管道，就是利用兆勤防火牆的弱點而得逞。</p> <p>他們提及另一家資安業者Truesec經手的勒索軟體Helldown攻擊事件回應，駭客利用兆勤防火牆漏洞入侵，並指出其戰術、手法、流程（TTP），與他們從兆勤論壇用戶得知的一致。攻擊者利用SSL VPN存取名為OKSDW82A的帳號，濫用網域控制器的LDAP同步機制取得相關帳密，並進一步偵察，直到遭到EDR系統攔截才被中斷。</p> <p>針對上述情況我們也向兆勤進行確認，在截稿之前尚未得到回應。</p> </div></div></div>
2024/11/20 16:21作者周峻佑https://www.ithome.com.tw/news/166117
臺灣IBM揭露在臺GAI發展策略，要將輕量級GAI模型Granite帶進企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="_block_oewjo_1" data-node-id="eec3fd38-839f-406f-88ff-e912671e3bbf" data-node-type="paragraph" data-pm-slice="0 0 []">在公雲巨頭的GAI技術競賽中，IBM今年5月終於發表了自家開源LLM模型Granite，到了十月時更在年度產品大會上推出3.0新版模型。臺灣IBM最近也開始在臺介紹Granite新版模型，要搶攻企業GAI落地部署的需求，更揭露了在臺發展GAI的兩大策略。</p> <p class="_block_oewjo_1" data-node-id="1e1e2b5a-c819-4711-9756-2c01226419be" data-node-type="paragraph">臺灣IBM技術長莊士逸表示，剛發表的Granite 3.0新版是一款輕量級的基礎模型，包括了1B、2B、3B和8B參數量的版本，採用可商用的Apache 2.0開源授權，可以部署到企業內部環境，也能在硬體資源較低的環境中執行，來瞄準企業落地部署的需求。3.0版可以支援12種語言，包括中文，臺灣IBM內部也正在進行繁體中文的測試。</p> <p class="_block_oewjo_1" data-node-id="64753134-0fea-41fc-817e-bc187da1793b" data-node-type="paragraph">Granite 3.0包括了一系列的模型，包括了大型語言模型，還有強化輸入和回應內容過濾的安全護欄模型，另外還有推測解碼模型、程式碼開發模型、時間序列模型和地理空間模型，目前先釋出的是大型語言模型系列和安全護欄系列模型，陸續再推出其餘模型。企業可到Hugging Face等網站自行下載，也能在IBM的AI開發平臺Watsonx或Google Vertex AI等平臺上選用。</p> <p class="_block_oewjo_1" data-node-id="04089f4d-59b9-485b-9ae3-713dffb38c6a" data-node-type="paragraph">除了多語言支援，3.0版也開始提供企業打造代理人需要的工具調用能力，目前可支援Function Call功能，在LLM模型呼叫外部的第三方函式庫。後續將釋出3.1版，預計可支援到128Ｋ上下文長度的資料輸入輸出，還會強化程式碼生成的能力，以及代理人應用的邏輯推理功能。IBM在Watsonx平臺上提供了調度工具，可用來組合LLM模型和第三方元件，打造AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="44462487-025b-4a13-98c0-23548b31512e" data-node-type="paragraph">臺灣IBM透露，明年要發布的Granite 3.2版將是一款多模態LLM，將釋出Granite-3.0-vision-instruct模型，可理解圖像，後續還會推出支援聲音的模型版本。</p> <p class="_block_oewjo_1" data-node-id="6ecad48a-4e23-4644-a2d8-97754bea154b" data-node-type="paragraph">莊士逸表示，IBM已經用Granite模型打造多款內部的AI代理人，包括了後勤HR、後勤IT HelpDesk、後勤IT系統申請、後勤ERP、員工績效管理、銷售、業務績效、合作夥伴管理等名為Ask系列的AI代理人助手。例如他就曾收到員工績效管理AI助理的通知，提醒他有名員工表現優異，GAI彙整了市場上同類職務的薪水水準供他參考，詢問莊士逸是否要幫這名員工加薪，若他按下同意鍵，就會自動完成相關調薪申請，自動實施到這名員工下個月的薪水匯款。這是由GAI彙整外部市場資訊，結合內部流程自動化工具而成的AI代理人應用。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph">IBM在年度大會上也公布了最新的產品戰略架構，底層是各種基礎架構和混合雲平臺產品，包括了OpenShift、企業級Linux、Ansible，再上一層則是Data與AI層，以Watsonx平臺服務，還有多款AI助理服務和安全護欄服務。莊士逸表示，新版戰略架構有一項改變是，在資料與AI層之上，IBM將自動化工具產品獨立成一個平臺層，可用來和AI工具整合。最上面一層則是各項顧問服務與合夥夥伴。</p> <p class="_block_oewjo_1" data-node-id="5d094964-0b57-480c-a8bf-167d14bbd22c" data-node-type="paragraph"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%E7%94%A2%E5%93%81%E6%9E%B6%E6%A7%8B%E5%9C%96%E6%96%B0%E7%89%88-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IBM.jpg" /></p> <p class="_block_oewjo_1" data-node-id="d1f57a5d-b313-474b-9b6f-d62577295592" data-node-type="paragraph">臺灣IBM的客戶工程團隊從2023年至今，完成了數百個GAI客戶PoC案例，已有高科技製造和金融的GAI應用實例，例如有金融業者用GAI來搜尋內部知識文件，或是用來整理語音會議的文字記錄。也有高科技業者用RAG作法來檢核ESG報告的內容，是否符合不同ESG標準的各項要求。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">莊士逸表示，臺灣IBM的GAI發展策略，主要分為兩大作法，一是針對有意採用GAI但需求還不明確的企業，IBM將扮演顧問來協助，找來有大型企業客戶經驗的資料科學家，協助這些企業評估和試驗LLM模型的應用。另一項作法則瞄準需求明確的企業，提供設計思考工作坊，也以4～8周時間打造出目標應用場景的PoC驗證，或是最小可行產品（MVP），供企業評估是否正式導入。</p> <p class="_block_oewjo_1" data-node-id="e51a404d-b5a7-445d-9bec-9ba245889963" data-node-type="paragraph">他觀察，過去一年，臺灣企業大多處於試驗、尋找使用情境或是驗證RAG作法，接下來會開始往IT自動化、程式碼模型開發、智慧助理等方向發展。不過，目前採落地部署的案例多以LLaMA模型為主，臺灣IBM未來也計畫引薦自家Granite模型給臺灣企業。</p> </div></div></div>
2024/11/20 16:59作者王宏仁https://www.ithome.com.tw/news/166120
【資安日報】11月18日，中國駭客利用FortiClient零時差漏洞存取VPN，入侵受害組織網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二資安業者BlackBerry揭露對於間諜軟體LightSpy攻擊行動的最新調查結果，指出攻擊者的身分是中國駭客APT41，並提及另一款模組化的惡意程式框架DeepData Framework，事隔3日，有研究人員透露更多關於該框架的外掛模組功能細節，其中最引起他們注意的是，專門針對FortiClient用戶端程式零時差漏洞而來的外掛元件。</p> <p>值得留意的是，這項漏洞的修補狀態並不明朗，後續發展相當值得觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166066"><strong style="font-size: 22px;">中國駭客BrazenBamboo利用FortiClient零時差漏洞，開發能擷取VPN帳密的惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BrazenBamboo002.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BrazenBamboo002.png" style="width: 300px; float: right;" /></a>11月12日資安業者BlackBerry指出，他們發現使用iOS間諜軟體LightSpy的攻擊者身分，就是惡名昭彰的中國駭客組織APT41，並指出這些駭客也鎖定政治人物及記者的電腦，打造Windows惡意程式框架DeepData Framework，事隔數日，有其他研究人員公布新的調查結果。</p> <p>資安業者Volexity指出，他們在今年7月，於執行Fortinet的VPN用戶端的Windows電腦裡，察覺零時差漏洞（目前尚未登記CVE編號），此為可導致帳密洩漏的弱點，攻擊者可藉由用戶端FortiClient的處理程序，從記憶體內竊取帳密資料。</p> <p>針對惡意程式的來歷，研究人員認為開發者是中國國家級駭客組織BrazenBamboo，這組人馬與LightSpy、DeepData、DeepPost惡意軟體家族有所聯繫。他們也揭露駭客設計的部分攻擊流程，包含如何利用FortiClient漏洞，以及得逞後透過DeepPost外傳資料的手段。</p> <p><a href="https://www.ithome.com.tw/news/166063"><strong style="font-size: 22px;">已終止支援的GeoVision視訊監控設備存在重大漏洞，傳出被用於攻擊行動</strong></a></p> <p>11月15日台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出奇偶科技（GeoVision）旗下有多款已停止維護設備存在作業系統層級的命令注入漏洞CVE-2024-11120，而且，他們已經掌握該漏洞已遭到利用的跡象。</p> <p>對於這項漏洞帶來的影響，TWCERT/CC表示涵蓋視訊主機GV-VS11、GV-VS12，車牌辨識系統GV-DSP LPR V3，以及第2、第3代的GVLX 4移動式攝影機。攻擊者一旦利用這項漏洞，就有機會在未經身分驗證的情況下，遠端注入系統指令，並於設備上執行，CVSS風險評為9.8分。由於這些設備奇偶已終止支援，TWCERT/CC建議用戶應汰換設備因應。</p> <p>針對已經出現的漏洞利用情況，通報此事的Shadowserver基金會表示，他們看到該零時差漏洞有殭屍網路廣泛利用，鎖定該廠牌已終止支援（EOL）的設備而來。究竟有多少設備受害，研究人員並未進一步說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chinese-threat-actor-silkspecter-exploits-black-friday-frenzy-with-sophisticated-phishing-campaign/">中國駭客SilkSpecter以黑色星期五為誘餌，發動網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/t-mobile-confirms-it-was-hacked-in-recent-wave-of-telecom-breaches/">中國駭客入侵美國多家電信業者，T-Mobile傳出也受害</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-melofee-backdoor-variant-targets-linux-systems-with-advanced-stealth-tactics/">惡意程式Melofee鎖定RHEL作業系統而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/vietnamese-hacker-group-deploys-new-pxa.html">越南駭客鎖定歐洲、亞洲，企圖部署竊資軟體PXA</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166062"><strong style="font-size: 22px;">PostgreSQL發布安全性更新，修補高風險任意程式碼執行漏洞</strong></a></p> <p>11月14日關聯式資料庫軟體平臺PostgreSQL開發團隊發布17.1、16.5、15.9、14.14、13.17，以及12.21版一系列更新，本次修補4項資安漏洞，以及35項程式臭蟲。</p> <p>其中，最值得留意的是被列為高風險層級的CVE-2024-10979，此為PL與Perl環境變數變更造成的弱點，使得攻擊者有機會執行任意程式碼，CVSS風險達到8.8（滿分10分）。</p> <p>這項漏洞發生的原因，在於PL與Perl環境變數出現不正確控制的現象，導致不具特權的資料庫使用者，有機會改變敏感處理程序的環境變數（如PATH）。開發團隊進一步指出，即使攻擊者並未具備資料庫作業系統的使用者身分，還是有可能藉此執行任意程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166054"><strong style="font-size: 22px;">Python供應鏈信任措施升級，PyPI導入數位見證機制</strong></a></p> <p>Python軟體生態系近期迎來重要功能，PyPI正式啟用數位見證（Digital Attestations），讓套件維護者可以在發布時，加入經過身分驗證的數位簽章，進一步強化軟體供應鏈安全性。此項新措施將可提高套件的可信度並強化整體安全性。根據官方資料，目前已經有超過2萬筆數位見證上傳至PyPI，而這樣大量採用的趨勢，也顯示出業界對軟體安全的高度需求。</p> <p>PyPI推出兩個新工具供使用者方便驗證檔案的數位見證資訊，使用者可以透過新設計的Integrity API程式化存取數位見證，或直接在PyPI網站的新介面，檢視每個檔案的詳細資訊，包含所有相關數位見證。這些工具提供更高的透明度，讓開發者和使用者能夠即時查證所使用套件的安全性。</p> <p>符合條件的專案將能夠自動生成數位見證，不需要額外配置即可啟用。使用GitHub Actions發布並依循可信發布原則，且採用pypa/gh-action-pypi-publish發布的套件，已經自動啟用數位見證。之後PyPI計畫逐步推展至其他可信發布環境，讓更多發布環境均可自動生成見證，擴大數位見證的覆蓋範圍。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.soft-world.com/News/NewsDetail?Sn=20356">臺灣遊戲業者智冠導入FIDO身分驗證機制，上線3個月使用量突破百萬人次</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166052"><strong>【11月15日】中國駭客APT41打造惡意軟體框架，鎖定政治人物與記者的電腦而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166020"><strong>【11月14日】NTLM雜湊洩露欺騙漏洞5個月前被用於攻擊烏克蘭企業組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166004"><strong>【11月13日】微軟本月例行更新揭露4項零時差漏洞</strong></a></p> </div></div></div>
2024/11/18 17:34作者周峻佑https://www.ithome.com.tw/news/166067
企業發展雲原生永續IT有新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">「技術部門要在雲原生環境中觀察、記錄並評估碳排放，需要新工具來解決這個課題。」雲端原生運算基金會（CNCF）技術監督委員會成員Katie Gamanji最近在臺灣Kubernetes高峰會上強調，這正是K8s接下來在永續性的重要發展新方向。從CNCF基金會揭露的K8s未來發展，凸顯出企業為因應ESG或永續性，使得雲原生永續成了重要議題，如何整合雲端與永續發展的策略，成了實現綠色數位轉型的關鍵。</p> <p dir="ltr">由於數位轉型，許多企業採用雲端架構推動內部IT基礎架構現代化、數位化，隨著雲原生技術的成熟，近幾年，多雲混合雲架構逐漸成為許多大型企業現代化IT策略的主流，也讓雲原生永續的議題，開始受到重視。</p> <p dir="ltr">從雲原生永續角度來看，企業不能再像過去那樣僅僅以成本考量來使用雲端資源。過去，當雲端可用時，企業往往會盡可能使用免費資源，例如按日計費的虛擬機器，並不太關心使用了多少CPU資源。可是，追求永續發展以後，企業就不能僅僅關注成本，而是需要更加全面的思考，包括能源消耗和碳排放等環境影響。</p> <p dir="ltr">尤其，近2年，生成式AI的快速普及，推動了AI運算能力的不斷提升，也帶來雲端資料中心日益增高的能源消耗和碳排放。這些大型語言模型（LLM）在訓練和推論階段需消耗大量能源。例如，每次ChatGPT查詢所耗電量幾乎是傳統Google搜尋的10倍之多。特別是影像、音樂和影片生成等運算密集型GAI應用，將進一步提升能源耗損，也大大增加碳排放量。</p> <p dir="ltr">另一項調查預測，由於GAI需求激增，到2030年資料中心的電力需求將暴增160%，將從目前占了全球總電力消耗的1到2%，提升至3到4%，將大幅增加IT能耗與碳排量。由於這些AI模型需要大量運算，得在雲端環境上執行，促使雲原生永續關注度越來越高。</p> <p dir="ltr"><strong><span style="color:#B22222;"><span style="font-size:28px;">為何雲原生永續成為K8s未來的重要發展方向？</span></span></strong></p> <p dir="ltr">Katie Gamanji引用一項調查數據指出，當今全球碳排放量中有1.4%來自技術部門。若資料中心和資訊基礎架構全面轉用再生能源，可望減少80%的碳排，可是，目前技術部門行動力不足，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加10%。</p> <p dir="ltr">隨著雲端成為主流IT架構，越來越多企業選擇K8s來調度和管理容器化應用與服務。而K8s本身不只是一個雲端維運工具，也是一個減少碳足跡的工具，甚至不僅僅是一個容器調度工具，也是雲端永續IT工具。</p> <p dir="ltr">例如，K8s內建垂直Pod自動擴充機制，能幫助開發者自動調整容器的工作負載，避免讓應用程式長時間占用CPU和節點資源，造成資源浪費。此外，K8s還能配合優化排程，幫助開發者在非工作時段自動關閉不必要的資源，並在工作時間恢復。透過這樣的方式，就能節省大量能源，且不需額外成本。</p> <p dir="ltr">但是，光靠K8s內建的功能不足以支持雲原生永續的發展，若沒有來自K8s詳細的IT能耗數據，來提供技術部門了解雲原生環境中的容器化應用消耗多少的能源和碳排放數據，也就沒辦法根據這些行為提出具體改進方案。這正是 CNCF基金會未來聚焦的一大重點，要提供新工具解決這個問題，讓技術部門能在雲原生環境中觀察、記錄並評估自身的碳排放情形。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>K8s目前有兩大雲原生永續工具</strong></span></span></p> <p dir="ltr">目前K8s有兩個重要的雲原生永續工具，第一個是Kepler工具，這是一個利用eBPF來取得K8s叢集系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。另一個工具是Carbon-Aware KEDA Operator功能，這是K8s事件式叢集擴充工具KEDA在2023年新增的功能，可以自動依據碳排放變化，來調整叢集的大小機制，就好像具備碳察覺的效果。</p> <p dir="ltr">Kepler這套雲原生永續監控工具已獲得不少大廠的支持，包括IBM、紅帽、<a href="https://www.ithome.com.tw/news/166044" target="_blank"><span style="color:#3366ff;">德鐵</span></a>等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9AKepler-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IBM.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size: 20px;"><span style="color: rgb(51, 153, 255);"><strong><span style="font-size: 16px;">Kepler工具可以提供以秒為單位的能耗指標，結合碳感知SDK使用，能實現雲端環境中更細緻的碳排放追蹤。這些即時數據不僅有助於精細掌握能源消耗的情況，還能將這些數據匯出至Prometheus彙整，並利用Grafana儀表板進行視覺化呈現</span>。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／IBM</span></span></p> <p dir="ltr">去年11月，在紅帽OpenShift 4.14版本中，推出了採用Kepler專案開發的電力監控功能，作為容器層級的電力監控工具提供，在裸機環境中，讓開發者可以透過安裝外掛的方式，直接將Kepler工具整合到OpenShift主控臺的儀表板上，方便用戶進行查看和分析OpenShift叢集中容器的功耗數據。今年1月底，這項功能進入技術預覽，之後將推出正式版。</p> <p dir="ltr">又如德國鐵路集團開始用Kepler蒐集和監控混合雲環境的功耗和碳排資訊，還建立了綠色IT儀表板可提供每支容器化應用程式即時的能耗數據，作為追蹤和改善IT能耗以及碳排的重要參考。這是德鐵交給內部開發人員的第一個工具，協助集團達成綠色IT的目標。</p> <p dir="ltr">Kepler這項碳足跡偵測工具會在每一個K8s叢集節點中，安裝一個Kepler探索器，用來收集容器和節點層級的能耗指標，主要透過eBPF追蹤CPU效能計數器和Linux核心Tracepointsa機制，來蒐集功耗和資源利用資訊，再進一步計算每個容器和節點所消耗的每小時KW能耗資訊，再乘上碳排放係數，來換算出這個能耗所產生的碳排放量。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>Kepler工具可提供秒級的雲原生能耗指標</strong></span></span></p> <p dir="ltr">不像公雲碳排偵測工具使用上存在諸多限制，Kepler這套工具的最大特色是，不僅可以提供單一應用程式的能耗使用資訊，還能夠精細到從高層次，到容器層次的詳細能耗數據，並以接近即時的方式呈現，方便用戶能夠快速了解單一元件中能源使用狀況，進而做出相應的調整。</p> <p dir="ltr">甚至，Kepler可以提供以秒為單位的能耗指標，結合碳感知SDK使用，能實現雲端環境中更細緻的碳排放追蹤。這些即時數據不僅有助於精細掌握能源消耗的情況，還能將這些數據匯出至Prometheus彙整，並利用Grafana儀表板進行視覺化呈現。</p> <p dir="ltr">因應GAI風潮，企業可以利用這套工具監控雲端GenAI專案工作負載，估算出推論與訓練過程中的能源消耗，作為優化LLM模型能耗的依據，有助於降低模型的能耗，使其更具永續性。</p> <p dir="ltr">Kepler最早由紅帽、IBM於2022年2月發起，並於隔年成為CNCF基金會旗下的沙盒專案，雖然Kepler還是一個新興專案，但自上架至GitHub以來，逐漸吸引越來越多開發者的關注和採用。在過去一年中，Kepler在GitHub上的星標數量已翻倍，累積超過12K顆星星。</p> <p dir="ltr">除了開發者社群的力推，Kepler也開始在國際重要的雲原生技術會議中獲得關注，像是在KubeCon美洲和歐洲年會中，均設有專場介紹這套工具，並分享企業應用實例。甚至一些國際性重要組織，如綠色軟體基金會（GSF）、歐洲電信標準協會（ETSI）等都將Kepler納入其永續發展框架或標準中，進一步加速推動了其應用與普及。</p> <p dir="ltr">儘管，雲原生永續在國外討論越來越多，但在臺灣的關注仍相對較少，意味著許多企業可能還未意識到其重要性，或是也不知道如何運用這些新工具，有效地追蹤和改善其雲端資源的消耗，進而減少碳排放。</p> <p dir="ltr">隨著臺灣今年10月式正式公告碳費費率並於明年初生效，未來許多高碳排的企業將需依每噸碳排300元計算每年要繳交的碳費。對於企業而言，如何運用雲原生永續工具，來收集雲端環境中的能耗和碳排數據，並透過這些數據來優化資源使用，降低碳排放和碳費成本，將變得越來越重要。<a href="https://www.ithome.com.tw/news/166047" target="_blank"><span style="color:#3366ff;">我們也專訪Kepler專案核心維護者</span></a>，親自剖析雲原生永續關鍵手段。</p> <p dir="ltr"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/166048" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/166048" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1208-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=SlnifoW4" style="width: 550px;" /></a></p> </div></div></div>
2024/11/15 16:42作者余至浩https://www.ithome.com.tw/news/166042
博通全面開放VMware Workstation Pro、Fusion Pro桌機虛擬化軟體免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通本周<a href="https://blogs.vmware.com/cloud-foundation/2024/11/11/vmware-fusion-and-workstation-are-now-free-for-all-users/" target="_blank">宣布</a>將Windows/Linux及macOS版桌機虛擬化軟體VMware Workstation Pro及Fusion Pro開放給所有人，包括企業和個人免費使用。</p> <p>這是繼今年5月博通將這兩項產品<a href="https://www.ithome.com.tw/news/162908" target="_blank">開放</a>個人使用後，進一步擴大免費提供的對象。現在企業、教育單位及個人，都可以自由使用桌機版hypervisor產品。</p> <p>VMware Workstation為單機虛擬化產品，分成Windows和Linux版，而VMware Fusion則是為macOS電腦設計。這次開放意謂VMware Fusion和Workstation將不再使用付費訂閱模式。免費產品和原有付費產品功能相同。用戶可以在博通<a href="https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion" target="_blank">網頁</a>下載。</p> <p>若企業現有合約包含本項產品的技術支援，博通會持續在合約期間提供原有服務。包括透過入口網站或支援團隊取得技術支援。合約期滿，企業可持續使用產品，但博通不再提供2產品的支援工單或問題排除服務。</p> <p>轉為免費軟體後，未來支援改為社群形式。用戶可加入<a href="https://community.broadcom.com/communities/communityhomeblogs?CommunityKey=fb707ac3-9412-4fad-b7af-018f5da56d9f" target="_blank">Workstation</a>及<a href="https://community.broadcom.com/communities/communityhomeblogs?CommunityKey=0c3a2021-5113-4ad1-af9e-018f5da40bc0" target="_blank">Fusion</a>社群。此外，博通也提供二項產品的技術文件（<a href="https://docs.vmware.com/en/VMware-Fusion/index.html" target="_blank">VMware Fusion</a>、<a href="https://docs.vmware.com/en/VMware-Workstation-Pro/index.html" target="_blank">VMware Workstation</a>）。</p> <p>這也是博通客戶挽回的最新舉動。上周博通<a href="https://www.ithome.com.tw/news/165961" target="_blank">宣布</a>適合中小企業的二項軟體授權vSphere Standard及vSphere Essentials Plus Kit訂閱方案，允許用戶只買他們需要的產品。</p> </div></div></div>
2024/11/13 10:39作者林妍溱https://www.ithome.com.tw/news/165975
【資安日報】11月11日，6.1萬臺D-Link網路儲存設備存在重大層級命令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月研究人員揭露D-Link網路儲存設備（NAS）高風險漏洞，而且，這些機型生命週期都已結束，D-Link不提供修補程式，當時有超過9萬臺設備曝險，不久之後就出現相關資安事故。存在於該廠牌生命週期終結設備的弱點，如今再度出現。</p> <p>值得留意的是，上週研究人員公布的弱點CVE-2024-10914為重大層級，接下來很有可能會被攻擊者盯上，並將其實際嘗試利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165937"><strong style="font-size: 22px;">名稱只差正版一個字，惡意Python套件fabrice魚目混珠，專門竊取AWS金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dgf4NR6a1V.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dgf4NR6a1V.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Socket警告，惡意的Python套件fabrice企圖偽裝成正版的SSH自動化程式庫fabric，它們有同樣的功能描述，只不過，盜版的名字多了一個字母，而且它會竊取用戶的AWS金鑰。</p> <p>fabric是由Jeff Forcier（bitprophet）負責開發及維護，問世十多年來已有超過2億次的下載。至於fabrice則是在2021年現身，下載次數亦已超過3.7萬，且同時支援Linux及Windows作業系統。</p> <p>研究顯示，駭客的最終目的是竊取帳密資料，特別是AWS金鑰，fabrice利用boto3函式庫來存取開發人員的AWS存取金鑰與密鑰，再將相關資訊傳送到位於巴黎的VPN伺服器。開發人員的憑證一旦遭竊，駭客即可取得受害者的雲端資源。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=185813&SPOKE_DATE=20241108&COMPANY_ID=2327"><strong style="font-size: 22px;">電子元件製造商國巨證實子公司遭遇網路攻擊，並透露損失情形</strong></a></p> <p>11月8日電子元件製造商國巨於股市公開觀測站發布重大訊息，表示有駭客對旗下子公司KEMET Electronics Corporation部分資訊系統發動網路攻擊，並指出發生事故的過程裡，部分員工的個資有可能遭到外洩。對此他們已立即啟動相關防禦機制，並著手復原。</p> <p>而罕見的是，這起公告也列出可能造成的損失和影響。國巨指出，在遭遇網路攻擊的當下，KEMET Electronics Corporation取消訂單金額約60萬美元，占2022年度銷貨收入約0.04%；閒置產能約造成310萬美元損失，占2022年度營業利益約0.75%。整體來說，影響比例不大，對公司營運無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/165944"><strong style="font-size: 22px;">網攻進入鐘點戰時代，Palo Alto Networks預估2026年3大威脅1小時發動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vishal Lanjekar-2024-Ignite-TW-Palo Alto Netowrks-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vishal%20Lanjekar-2024-Ignite-TW-Palo%20Alto%20Netowrks-web.jpg" style="width: 300px; float: right;" /></a>在資安領域，隨著各種IT科技的快速進步，網路犯罪分子的攻擊速度也正在不斷提升，但到底有多快？有資安廠商綜合本身的觀察與其他資安公司的研究報告，預估在1年多後，主要的網路威脅活動能夠在60分鐘內發動，情況越來越嚴峻，大大考驗企業與組織應變能力與速度。</p> <p>事實上，這兩年以來，網路攻擊者出手速度已經相當快，在Palo Alto Networks這幾天舉行的臺灣年度用戶大會，該公司日本與亞太區策略及網路安全顧問Vishal Lanjekar也提醒大家這個趨勢。</p> <p>根據他們的調查，攻擊者一旦滲透至受害者的網路環境，平均9天之後會將資料取出（外洩），隨著AI和其他技術的不斷興起，到了2023年，這段期間已縮短至兩天，預估今年將有45％的事故會在1天之內被拿走資料，而在更近期的調查當中，他們發現攻擊者侵入受害者網路環境後的4小時內，就能運出好幾TB的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/icepeony-and-transparent-tribe-target.html">中國駭客IcePeony與巴基斯坦駭客Transparent Tribe同流合汙，使用雲端工具攻擊印度企業組織</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/icepeony-and-transparent-tribe-target.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/androxgh0st-botnet-integrate-mozi-iot-vulnerabilities/">竊資軟體Androxgh0st與殭屍網路Mozi狼狽為奸，加劇物聯網裝置威脅</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-veeam-rce-bug-now-used-in-frag-ransomware-attacks/">Veeam備份軟體漏洞再傳遭到利用，勒索軟體Frag將其用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/bengal-cat-lovers-in-australia-targeted-by-gootloader-malware/">惡意軟體GootLoader鎖定澳洲，針對愛貓人士下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rhadamanthys-stealer-rhadamanthys-07-mimics-copyright-notices-to-phish-global-targets/">竊資軟體Rhadamantys出現變種，駭客假借侵權名義散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165945"><strong style="font-size: 22px;">D-Link停止支援的老舊NAS設備存在重大漏洞，至少有6.1萬臺曝露在網際網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d-link-nas-60k.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/d-link-nas-60k.png" style="width: 300px; float: right;" /></a>研究人員Netsecfish於D-Link旗下部分型號的網路儲存設備（NAS）發現重大層級的CVE-2024-10914，此為命令注入漏洞，存在於NAS設備名為account_mgr.cgi的URI，發生在CGI指令碼cgi_user_add處理name參數的過程，未經身分驗證的攻擊者有機會利用偽造的HTTP GET請求，藉由漏洞注入任意的Shell命令，估計全球約有6.1萬臺設備曝險。</p> <p>這項漏洞影響DNS-320、DNS-320LW、DNS-325，以及DNS-340L等4款機種，根據漏洞資料庫VulDB的評估，此漏洞的4.0版CVSS風險評分為9.2（滿分10分）。</p> <p>針對該漏洞曝險的情況，Netsecfish透過物聯網搜尋引擎FOFA進行調查，結果從41,097個IP位址當中，找到61,147臺設備，其中英國有10,381臺最多，義大利、德國、俄羅斯居次，分別有5,835臺、4,877臺、3,936臺。</p> <p><a href="https://www.ithome.com.tw/news/165950"><strong style="font-size: 22px;">Palo Alto Networks針對防火牆用戶提出警告，指出其管理介面存在漏洞</strong></a></p> <p>11月8日資安業者Palo Alto Networks發布公告，指出他們得知有人聲稱能觸發一項遠端程式碼執行（RCE）漏洞，此弱點出現在防火牆作業系統PAN-OS的管理介面。不過，該公司並未交代這項漏洞的詳細資訊，僅表明正在積極監控可能遭到利用的情況。</p> <p>有別於多數資安漏洞公告內容，Palo Alto Networks僅呼籲IT人員遵循他們的最佳實務指引，正確配置管理介面的存取管道，僅開放從受信任的內部IP位址存取防火牆管理介面，過往資安廠商很少出現這樣的狀況。</p> <p>針對產品漏洞的資訊，資安廠商的慣例是列出漏洞成因與受影響的產品，但該公司目前只提到Prisma Access、雲端版次世代防火牆（NGFW）不受影響，並強調目前尚未察覺疑似漏洞利用活動的跡象。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165932"><strong>【11月8日】德國提出刑法修正草案，確立資安漏洞研究的合法地位</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165889"><strong>【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</strong></a></p> </div></div></div>
2024/11/11 17:57作者周峻佑https://www.ithome.com.tw/news/165955
只差正版一個字，惡意Python套件fabrice專門竊取AWS金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">資安業者Socket<a href="https://socket.dev/blog/malicious-python-package-typosquats-fabric-ssh-library" target="_blank">上周警告</a>，有一個惡意的Python套件fabrice企圖偽裝成正版的SSH自動化函式庫fabric，它們有同樣的功能描述，只不過，盜版的名字多了一個字母，而且它會竊取用戶的AWS金鑰。</p> <p dir="ltr">fabric是由Jeff Forcier（bitprophet）負責開發及維護，問世十多年來已有超過2億次的下載。至於fabrice則是在2021年現身，下載次數亦已超過3.7萬，且同時支援Linux及Windows作業系統。</p> <p dir="ltr">Socket指出，駭客相中開發人員對fabric的信任，於fabrice中存放了可以用來竊取憑證，建立後門，以及執行特定平臺腳本程式的攻擊指令。</p> <p dir="ltr">研究顯示，駭客的最終目的是竊取憑證，特別是AWS憑證，fabrice利用boto3函式庫來存取開發人員的AWS存取金鑰與秘密金鑰，再將相關資訊傳送到一個位於巴黎的VPN伺服器。開發人員的憑證一旦遭竊，駭客即可取得受害者的雲端資源。</p> <p dir="ltr">Socket已通知Python官方套件管理平臺Python Package Index（PyPI），fabrice亦已被下架。</p> </div></div></div>
2024/11/10 22:17作者陳曉莉https://www.ithome.com.tw/news/165937
馬自達車上娛樂系統軟體漏洞可允許駭客執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">趨勢科技ZDI部門研究人員<a href="https://www.zerodayinitiative.com/blog/2024/11/7/multiple-vulnerabilities-in-the-mazda-in-vehicle-infotainment-ivi-system" target="_blank">發現</a>，日本車廠馬自達（Mazda）有多項漏洞，可讓駭客執行程式碼，最嚴重者可影響車輛安全，受影響車款包括最受歡迎的Mazda 3。</p> <p dir="ltr">出問題的Mazda車上娛樂系統（Connect Connectivity Master Unit，CMU）系統用於馬自達多款車子，包括2014到2021年的Mazda 3。研究人員發現到的6項漏洞，多半源自處理輸入指令時「消毒」（sanitization）不足，讓接近裝置的攻擊者可以連上USB裝置，像是iPod或外接硬碟到CMU上展開攻擊。成功濫用這些漏洞可讓攻擊者以根權限執行任意程式，包括執行阻斷服務攻擊、勒索軟體、讓系統無法作用，甚至影響行車安全。</p> <p dir="ltr">值得注意的是，ZDI指出，這些漏洞都尚未修補。依據安全業界的慣例，資安業者應該都已通報汽車或軟、硬體業者。ZDI並未說明業者的態度或回應。</p> <p dir="ltr">這款CMU是由美國汽車零組件製造商偉世通（Visteon）生產，內部軟體原始開發商則是江森自控（Johnson Controls Inc, JCI）。漏洞出現在74.00.324A，但往前推到70.x版都可能受影響。 </p> <p dir="ltr">第一項漏洞為CVE-2024-8355，在裝置管理員（DeviceManager）軟體的iAP序列號SQL指令注入漏洞。當攻擊者插入蘋果裝置到CMU的SQL資料庫時，後者從裝置取出特定值，未經消毒就當成SQL聲明使用，並以root權限執行。這可導致資料庫被修改、洩露資訊，新增或執行任意檔。</p> <p dir="ltr">CVE-2024-8359、CVE-2024-8360和CVE-2024-8358，則是出現在軟體更新套件中的遠端程式碼執行（RCE）漏洞，允許攻擊者注入任意OS指令，而由裝置OS Shell執行而駭入系統。</p> <p dir="ltr">車載主機分成二個獨立系統，一是執行Linux的應用SoC，另一個是執行特定OS的VIP MCU。CVE-2024-8357出於執行Linux的SoC開機未對啟動程式碼（bootstrap code）執行驗證，且其後的OS開機也都沒任何驗證，導致可在Linux系統執行程式的攻擊者，還能修改根檔案系統、變更配置檔、修改啟動程式碼，結果包括建立長期滲透後門程式、安裝任意SSH金鑰，或是執行任意程式碼。</p> <p dir="ltr">CVE-2024-8356則是出在另一獨立部分：VIP MCU。執行某種OS的MCU有多種功能，包括連結車機和車輛其他部份的網路功能CAN/LIN（controller area network/local interconnected network）。這部份也是車子的安全邊界，使對應用SoC的攻擊不會擴及車子其他部份。CVE-2024-8356漏洞允許攻擊者修改字串，使得更新過程允許，即修改過的惡意映像檔（image）也能寫入到VIP MCU記憶體中。連帶也能讓攻擊者安裝惡意版韌體，從應用SoC得以擴及VIP MCU，進而直接存取車子的內部網路。</p> <p dir="ltr">研究人員指出，濫用這些指令注入漏洞很簡單。攻擊者只需在FAT32格式的USB大容量硬碟建立檔案，該檔案命名必須以.up結尾，之後就會被CMU軟體更新程式碼接受，並濫用3個指令漏洞。研究人員推測，若從映像檔安裝惡意VIP微控制器（microcontroller）軟體，即可存取車內網路，直接影響車子運作和行車安全。</p> </div></div></div>
2024/11/10 21:57作者林妍溱https://www.ithome.com.tw/news/165935
【資安日報】11月8日，德國提出刑法修正草案，確立資安漏洞研究的合法地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在調查資安漏洞的過程，很有可能面臨系統維護業者、軟體開發業者的關切，認為研究人員在從事駭客行為而採取法律行動，對此，近期有國家特別針對研究人員調整相關法律，而引起注目。</p> <p>德國聯邦司法部本週提出新的刑法修正草案，就是針對此事而來，而透過修法保護資安研究人員的做法已有先例，2022年，美國修訂《電腦詐欺及濫用法案（CFAA）》，豁免研究人員遭到起訴的風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165905"><strong style="font-size: 22px;">區塊鏈技術進入軟體供應鏈攻擊，以太坊智慧合約成新媒介</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/jest-fet-mock-npm-packages.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jest-fet-mock-npm-packages.png" style="width: 300px; float: right;" /></a></p> <p>軟體供應鏈攻擊已在近年成為不可忽視的威脅，Checkmarx資安研究團隊最近發現了一種新手法，過程中運用區塊鏈技術。該攻擊使用以太坊（Ethereum）區塊鏈智慧合約作為指揮與控制（C2）伺服器的中介，透過NPM套件傳播跨平臺惡意軟體。這種新手段，不僅提升了攻擊的隱蔽性，也使攻擊架構更難被阻斷，成為軟體供應鏈的新威脅。</p> <p>該攻擊行動透過NPM生態系中的仿冒套件jest-fet-mock啟動，該套件偽裝成為合法的JavaScript測試工具。攻擊者利用名稱誤植（Typosquatting）技術，在NPM中發布仿冒套件，而該套件在安裝過程會執行預安裝腳本以自動載入惡意程式碼，並進行下一步攻擊程序。</p> <p>值得留意的是，該攻擊不僅針對Windows平臺，同時也影響Linux與macOS開發環境。由於開發人員通常擁有更高的系統權限，開發套件也會整合至CI/CD工作管線，因此會對開發環境和建置系統帶來更高的安全性風險。</p> <p><a href="https://www.ithome.com.tw/news/165929"><strong style="font-size: 22px;">竊資軟體Strela Stealer鎖定歐洲而來，利用WebDAV隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/strelastealer-23.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/strelastealer-23.png" style="width: 300px; float: right;" /></a>惡意軟體濫用WebDAV共用資料夾來隱匿行蹤的做法，今年已有數起，例如：4月出現的惡意軟體IcedID變種Latrodectus，攻擊者從網頁應用程式開發平臺Firebase下載JavaScript檔案，並於受害電腦執行，就會從WebDAV共享資料夾啟動MSI安裝檔，而能啟動該惡意軟體，如今類似的手法再度出現。</p> <p>資安業者Cyble發現最新一波竊資軟體Strela Stealer攻擊行動，駭客鎖定中歐及歐洲西南部地區，假借發票通知的名義寄送釣魚郵件。這些信件挾帶ZIP附件檔案，該壓縮檔內含經重度混淆處理的JavaScript檔案，駭客在其中埋藏了經Base64處理的PowerShell命令，一旦執行，就會從WebDAV伺服器啟動惡意酬載，從而竊取電子郵件配置的相關資訊，以及詳細的系統資訊，使得攻擊者能對受害電腦進行下個階段的惡意行為。</p> <p>為何攻擊者直接從WebDAV伺服器執行Strela Stealer？主要目的就是想避免在受害電腦留下惡意的DLL檔案，想要躲過資安系統的偵測。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/china-aligned-mirrorface-hackers-target.html">中國駭客MirrorFace以世界博覽會為誘餌，攻擊歐洲外交官</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-use-new-macos-malware-against-crypto-firms/">北韓駭客針對加密貨幣業者而來，散布macOS惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-critical-palo-alto-networks-bug-exploited-in-attacks/">Palo Alto Networks修補的遷移工具漏洞已出現攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nokia-says-hackers-leaked-third-party-app-source-code/">Nokia坦承原始碼遭到外洩</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165916"><strong style="font-size: 22px;">HPE Aruba Networking修補Wi-Fi基地臺系統軟體漏洞，其中兩個嚴重程度達9分以上</strong></a></p> <p>11月5日HPE Aruba Networking發布資安公告，修補旗下無線基地臺一系列的漏洞，並指出其中的CVE-2024-42509、CVE-2024-47460為重大層級特別危險。</p> <p>這兩個漏洞皆涉及基地臺管理協定（PAPI）存取的命令列介面（CLI）服務，一旦成功利用，攻擊者可在未經身分驗證的情況下，發動命令注入攻擊，CVSS風險評為9.8、9.0，影響執行Instant AOS-8及AOS-10的無線基地臺，至於Mobility Conductor、Mobility Controllers、SD-WAN閘道設備則不受影響。</p> <p>從公告的內容來看，漏洞的發生原因、造成的影響，HPE都採用一模一樣的敘述，但兩者的評分卻有所落差。發生這種現象的原因，也許可以從漏洞的危險程度評估看出瑞倪，CVE-2024-42509遭濫用的複雜度較低（AC:L），導致此漏洞的風險評分高於CVE-2024-47460。</p> <p><a href="https://www.ithome.com.tw/news/165926"><strong style="font-size: 22px;">Windows版Veritas網路備份工具存在漏洞，攻擊者可用來提升權限</strong></a></p> <p>本週Veritas發布資安公告，指出Windows版網路備份系統NetBackup存在高風險權限提升漏洞（尚未取得CVE編號），影響用戶端、Primary Server、Media Server等元件，具有這個漏洞的產品版本涵蓋10.0至10.4.0.1版，該公司指出，不再受到支援的舊版也可能曝險。</p> <p>該公司指出，這項漏洞涉及不受控制的搜尋路徑元素，一旦攻擊者取得安裝NetBackup的磁碟根目錄寫入權限，就有機會藉由漏洞部署惡意DLL程式庫，一旦使用者執行NetBackup命令，就會載入此DLL，並執行攻擊者的程式碼，此漏洞的CVSS風險評為7.8分。至於如何在適當時機讓使用者執行NetBackup命令，以觸發攻擊？Veritas指出，可利用社交工程手法達到目的。</p> <p><a href="https://www.ithome.com.tw/news/165928"><strong style="font-size: 22px;">ABB智慧建築能源管理系統存在重大漏洞，恐讓攻擊者接管、遠端執行程式碼</strong></a></p> <p>10月底資安業者VulnCheck發布工控系統資安警告，主角是ABB智慧建築能源管理系統Cylon Aspect的漏洞CVE-2023-0636、CVE-2024-6209，根據他們的調查，全球有265套系統可透過網際網路存取，但有214個尚未修補，由於近期已有公開的概念性驗證程式碼（PoC），很有可能接下來就會有人將其用於實際攻擊。</p> <p>其中，命令注入漏洞CVE-2023-0636最令人擔心！攻擊者有機會在未經身分驗證的情況下，遠端利用漏洞執行程式碼，而且，ABB起初評為高風險層級，CVSS風險值為7.2，但後來美國國家漏洞資料庫（NVD）評為9.8分。為何前後評分出現如此懸殊的差距？原因在於當時ABB認為，攻擊者想要利用漏洞，前提是必須通過身分驗證，但相關研究後續指出並非如此，問題在於身分驗證流程並未完全強制執行，而讓攻擊者有機可乘。</p> <p>另一個漏洞CVE-2024-6209，問題也不小，因為這是未經授權的檔案洩露弱點，攻擊者能藉此取得使用者的明文帳密資料，並用於命令注入或是遠端執行程式碼，4.0版CVSS風險評為9.4。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165931"><strong style="font-size: 22px;">德國打算修改刑法內容，針對發現資安弱點的研究人員提供司法保障</strong></a></p> <p>11月4日德國聯邦司法部提出新的刑法修正草案，打算為願意協助供應商找到資安漏洞的研究人員提供法律層面的保障。聯邦司法部長Marco Buschmann表示，透過新的法律，消除資安研究人員承擔刑事責任的風險。</p> <p>新的草案主要是調整《刑法（StGB）》第202a條的內容，當資安研究人員、資安業者，或是白帽駭客在偵測及防堵漏洞的過程中，只要不被認定為「未經授權（unauthorized）」，就有機會免除法律責任。</p> <p>這項草案正尋求各州及相關機構的意見，並在12月13日前回覆，再由聯邦議會進行最終審議。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/11074/8304379">緯創小金雞全景軟體10月底由興櫃轉為上櫃</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165902"><strong>【11月7日】惡意程式框架Winos 4.0鎖定中國遊戲玩家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165889"><strong>【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165859"><strong>【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</strong></a></p> </div></div></div>
2024/11/8 18:18作者周峻佑https://www.ithome.com.tw/news/165932
區塊鏈技術進入軟體供應鏈攻擊，以太坊智慧合約成新媒介
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈攻擊已在近年成為不可忽視的威脅，Checkmarx資安研究團隊最近<a href="https://checkmarx.com/uncategorized/supply-chain-attack-using-ethereum-smart-contracts-to-distribute-multi-platform-malware/">發現</a>了一種新類型，將區塊鏈技術用於軟體供應鏈的新形態攻擊方法。該攻擊使用以太坊（Ethereum）區塊鏈智慧合約作為指揮與控制（C2）伺服器的中介，透過NPM套件傳播跨平臺惡意軟體。這種使用區塊鏈的攻擊手段，不僅提升了攻擊的隱蔽性，也使攻擊架構更難被阻斷，成為軟體供應鏈的新威脅。</p> <p>該攻擊行動透過NPM生態系中的仿冒套件jest-fet-mock啟動，該套件偽裝成為合法的JavaScript測試工具。攻擊者利用Typosquatting技術僅修改fetch單字拼法，在NPM中發布仿冒套件，而該套件在安裝過程會執行預安裝腳本以自動載入惡意程式碼，並進行下一步攻擊程序。</p> <p>不僅針對Windows平臺，該攻擊同時也影響Linux與macOS開發環境。研究人員指出，這種跨平臺攻擊策略可對各種作業系統的開發基礎設施產生影響，而且因為開發人員通常擁有更高的系統權限，開發套件也會整合至CI/CD工作管線，因此對開發環境和建置系統帶來高安全性風險。</p> <p>而之所以這個攻擊值得注意，其最大的特點在於智慧合約的使用方式，攻擊者在Ethereum上部署了一個智慧合約，儲存指揮與控制伺服器的地址，並透過公開交易查詢的形式，讓受感染的系統自動獲取最新的指揮與控制伺服器地址。</p> <p>這樣的設計存在兩大優勢，第一是利用區塊鏈的不可更改特性，使攻擊架構更加穩定難以移除，第二則是透過更新智慧合約的方式，攻擊者便能夠更換伺服器地址，使攻擊能夠持續進行，並且繞過傳統的防護措施。</p> <p>研究團隊認為這種攻擊方式，突破了傳統軟體供應鏈的框架。過去攻擊者通常直接將指揮與控制伺服器的地址嵌入到惡意軟體中，而只要伺服器遭到封鎖攻擊便會終止，但是透過智慧合約的分散式架構，攻擊者可即時更新攻擊指令，惡意軟體就可持續發揮作用，難以輕易移除。</p> <p>其他資安公司<a href="https://blog.phylum.io/supply-chain-security-typosquat-campaign-targeting-puppeteer-users/">Phylum</a>與<a href="https://socket.dev/blog/massive-npm-malware-campaign-leverages-ethereum-smart-contracts">Socket</a>也發現連結至同一個攻擊行動的其他NPM套件。Checkmarx研究人員判斷這是一個持續進行中的攻擊活動。要防止受到這類型的軟體供應鏈攻擊，研究人員建議開發者在引入外部套件時，應該仔細確認真實性與來源，並謹慎評估安全風險。</p> </div></div></div>
2024/11/8 08:44作者李建興https://www.ithome.com.tw/news/165905
【資安日報】11月7日，惡意程式框架Winos 4.0鎖定中國遊戲玩家而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意程式朝向模組化設計的現象，可說是越來越普遍，因為攻擊者藉此能夠彈性搭配不同的外掛模組，從事各式活動，本週資安業者Fortinet揭露的Winos 4.0，就是典型的例子。</p> <p>研究人員特別提到，Winos 4.0已從一般的後門程式發展成惡意程式框架，功能與滲透測試工具Cobalt Strike、Silver相當，攻擊者能藉此控制受害電腦並執行多種惡意行為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165897"><strong style="font-size: 22px;">中國遊戲玩家遭到鎖定，駭客利用惡意框架Winos 4.0從事攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-winos-attack-chain.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-winos-attack-chain.jpeg" style="width: 300px; float: right;" /></a></p> <p>今年6月資安業者趨勢科技揭露駭客組織Void Arachne的攻擊行動，他們鎖定簡體中文用戶，聲稱提供中國常見的應用程式，以及人工智慧工具，意圖在受害電腦部署惡意程式Winos 4.0，如今攻擊手法出現變化。</p> <p>資安業者Fortinet指出，他們看到最新一波的Winos 4.0攻擊行動，攻擊者聲稱提供遊戲安裝程式與最佳化工具，一旦使用者執行安裝，電腦就會從特定的網域搜尋BMP圖檔，並使用XOR演算法解碼，取得名為you.dll的程式庫檔案，進行一連串的攻擊行動。</p> <p>針對這項惡意程式的發展，研究人員指出Winos 4.0已從原本趨勢科技找到的後門程式，發展成能夠搭配多種外掛的惡意程式框架，功能已與滲透測試工具Cobalt Strike、Silver相當，能被用於控制受害電腦並具備多種功能。</p> <p><a href="https://www.ithome.com.tw/news/165901"><strong style="font-size: 22px;">駭客鎖定Windows電腦散播惡意捷徑檔，若不慎點選，會執行內含後門的虛擬機器</strong></a></p> <p>利用虛擬機器（VM）從事攻擊行動的事故，約莫5至10年前曾出現數起，當時駭客使用搭配舊版視窗作業系統（如Windows XP）的VM，意圖繞過受害電腦的資安防護機制，進行惡意活動，如今類似的攻擊行動再度出現。</p> <p>資安業者Securonix揭露名為Cron#Trap的資安事故，他們在調查利用惡意捷徑檔案（LNK）的攻擊行動當中，發現該檔案一旦執行，就會載入並啟動以QEMU打造的Linux環境，而且，這些VM已經事先設置了後門程式，啟動後會自動與C2進行連線。</p> <p>研究人員指出，由於在開發環境或是研究經常會使用QEMU，攻擊者運用這樣的做法，能夠在受害電腦維持隱形的狀態，並進行後續的惡意活動，且難以被防毒軟體察覺。研究人員提到，這是他們首度看到有攻擊者將QEMU用於挖礦以外的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-steelfox-malware-hijacks-windows-pcs-using-vulnerable-driver/">惡意軟體SteelFox利用自帶驅動程式手法竊取信用卡資料、挖掘加密貨幣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/veildrive-attack-exploits-microsoft.html">攻擊行動VEILDrive濫用微軟旗下服務，意圖發動網釣攻擊、散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-keylogger-targeting-u-s-organizations-linked-to-north-korean-apt-group-andariel/">北韓駭客Andariel使用鍵盤側錄工具攻擊美國企業組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lameduck-a-threat-actor-mixing-politics-and-profit-with-over-35000-ddos-attacks/">駭客組織Anonymous Sudan近2年發動逾3.5萬次DDoS攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165899"><strong style="font-size: 22px;">思科修補工控無線URWB路由器風險達到10分的重大漏洞</strong></a></p> <p>11月6日思科發布資安公告，指出旗下工業級無線路由器Ultra-Reliable Wireless Backhaul（URWB）搭配的軟體系統當中，網頁管理介面存在重大層級漏洞CVE-2024-20418，攻擊者可在未經授權的情況下，遠端使用root權限，在作業系統底層執行命令注入攻擊，CVSS風險達到10分（滿分10分）。</p> <p>這項漏洞影響執行URWB作業模式的部分機種，包含：Catalyst IW9165D Heavy Duty Access Points、Catalyst IW9165E Rugged Access Points and Wireless Clients，以及Catalyst IW9167E Heavy Duty Access Points。</p> <p>對此，該公司已發布軟體更新，並強調這項漏洞沒有其他緩解措施能夠因應，呼籲IT人員應儘速採取行動。截至目前為止，該公司尚未察覺此漏洞遭到惡意利用的情況。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/servicenow-patches-critical-sandbox-escape-vulnerability-cve-2024-8923/">ServiceNow修補重大層級的沙箱逃逸漏洞</a></strong><strong style="font-size: 20px;"><a href="https://securityonline.info/servicenow-patches-critical-sandbox-escape-vulnerability-cve-2024-8923/">CVE-2024-8923</a></strong></p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165900"><strong style="font-size: 22px;">CrowdStrike買下SaaS安全控管業者Adaptive Shield</strong></a></p> <p>今年造成全球數百萬Windows電腦當機的主要EDR資安廠商CrowdStrike，周三（11月6日）宣布同意買下專精SaaS安全領域的以色列資安業者Adaptive Shield，CrowdStrike宣稱，在買下Adaptive Shield之後，他們成為唯一能為整個現代雲端生態體系統，提供全面性端對端保護，來協助客戶對抗身分驗證相關攻擊的資安業者。</p> <p>CrowdStrike認為，買下Adaptive Shield將讓該公司得以提供從本地端、雲端到SaaS一致的端對端保護，在整個雲端生態體系中防範與身分驗證相關的攻擊行動。</p> <p>雙方並未公布交易金額，僅說預計於CrowdStrike的第四財季完成。CrowdStrike的2025財年第四季指的是今年11月至明年1月，而外傳該交易價值3億美元。</p> <p><a href="https://www.ithome.com.tw/news/165866"><strong style="font-size: 22px;">Google Cloud明年將強制執行多因素身分驗證</strong></a></p> <p>Google周二（11月5日）宣布，明年起將強制Google Cloud用戶採用多因素身分驗證（MFA）。根據該公司統計，目前仍有30%用戶尚未部署。有鑑於網路釣魚及被竊憑證依然是駭客的首要攻擊媒介，使得Google決定強制用戶全面採用。</p> <p>此政策將分階段展開，第一階段屬於推廣鼓勵時期，即日起Google Cloud用戶就會在控制臺中看到有關MFA的資訊與各種資源，協助用戶規畫與測試MFA的部署；明年初進入第二階段，將要求以密碼登入的所有Google Cloud用戶採用MFA，包括Google Cloud主控臺、Firebase主控臺、gCloud等，若要繼續使用便必須註冊MFA。</p> <p>第三階段則是鎖定採用聯合身分驗證的用戶，預計於明年底實施。屆時使用者在造訪Google Cloud之前，必須向主要的身分提供者啟用MFA，或者是直接於Google帳戶中新增MFA。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165889"><strong>【11月6日】國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165859"><strong>【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165840"><strong>【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</strong></a></p> </div></div></div>
2024/11/7 17:34作者周峻佑https://www.ithome.com.tw/news/165902
駭客利用內含後門的Linux虛擬機器，對Windows電腦發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用虛擬機器（VM）從事攻擊行動的事故，約莫5至10年前曾出現數起，當時駭客使用搭配舊版視窗作業系統（如Windows XP）的VM，意圖突破受害電腦的資安防護機制，進行惡意活動，如今類似的攻擊行動再度出現。</p> <p>資安業者Securonix揭露<a href="https://www.securonix.com/blog/crontrap-emulated-linux-environments-as-the-latest-tactic-in-malware-staging/">名為Cron#Trap的資安事故</a>，他們在調查利用惡意捷徑檔案（LNK）的攻擊行動當中，發現該檔案一旦執行，就會載入並啟動以QEMU打造的Linux環境，而且，這些VM已經事先設置了後門程式，啟動後會自動與C2進行連線。</p> <p>研究人員指出，由於在開發環境或是研究經常會使用QEMU，攻擊者運用這樣的做法，能夠在受害電腦維持隱形的狀態，並進行後續的惡意活動，且難以被防毒軟體察覺。研究人員提到，這是他們首度看到有攻擊者將QEMU用於挖礦以外的攻擊行動。</p> <p>針對攻擊者與受害範圍，研究人員表示尚無法確定，根據遙測資料，大多數攻擊來自美國及歐洲，再加上駭客慣用的語言，以及C2伺服器位於美國，他們推測主要目標很有可能是北美。</p> <p>針對這波攻擊行動，研究人員無法確定攻擊來源，不過他們認為整個攻擊流程的開始源於釣魚郵件，內容包含下載ZIP壓縮檔的連結。駭客假冒金融機構OneAmerica的名義，聲稱要進行調查。值得一提的是，這個ZIP檔案大小竟高達285 MB，可能會引起部分使用者懷疑。</p> <p>究竟該壓縮檔的內容是什麼？當中包含了LNK檔案及名為data的資料夾，而該資料夾實際上就是QEMU程式的安裝目錄。由於data資料夾裡面的內容全部都被設為隱藏，一般使用者可能會以為裡面空無一物，而點選LNK檔案觸發攻擊鏈。</p> <p>一旦LNK檔案執行，就會啟動PowerShell下載其他需要的元件，然後執行批次檔start.bat進行組態設定，並啟動在QEMU執行以Tiny Core Linux為基礎打造的VM，他們將其稱為PivotBox。</p> <p>特別的是，該批次檔還會下載、顯示內部伺服器錯誤的PNG圖檔，藉此讓收信人降低戒心。</p> <p>而這個VM預載的工具當中，關鍵是名為Chisel的網路隧道建構與運作工具，攻擊者透過事先安排的組態設定，透過Web Socket與C2建立通訊。</p> <p>值得留意的是，濫用QEMU的情況已非首例。今年3月，<a href="https://www.ithome.com.tw/news/161709#qemu">資安業者卡巴斯基揭露另一起網路攻擊事故</a>，當中駭客使用QEMU設置虛擬網路介面，並使用Kali Linux打造只占用1 MB記憶體的VM來建置隱密的隧道。</p> </div></div></div>
2024/11/7 17:17作者周峻佑https://www.ithome.com.tw/news/165901
【資安日報】11月6日，國際警方破獲2.2萬個用於網釣及勒索軟體攻擊的惡意IP位址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>各國執法機關共同合作，破壞特定的勒索軟體、竊資軟體運作，近期有所斬獲，繼上個月荷蘭國家警察在跨國執法行動Operation Magnus當中，<a href="https://www.ithome.com.tw/news/165776">成功破獲竊資軟體RedLine及Meta的網路基礎設施</a>，本週國際刑警組織（Interpol）宣布，他們與全球95個國家執法單位聯手，經過5個月的時間，總共查獲約3萬個疑似用於網路犯罪的IP位址，並成功封鎖超過2.2萬個。</p> <p>特別的是，他們提及香港、蒙古、澳門的執法單位參與這次行動的情況，並公布成果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165879"><strong style="font-size: 22px;">駭客改造公開工具EDRsandblast發動自帶驅動程式攻擊，企圖繞過EDR代理程式防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-353688-137213-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-353688-137213-1.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避端點電腦的防毒軟體及EDR系統偵測，攻擊者打造能繞過這些端點防護系統的工具可說是越來越常見，而在最近一起攻擊行動裡，駭客測試新型態的端點防護繞過工具引起研究人員注意。</p> <p>資安業者Palo Alto Networks揭露發生在客戶的資安事故，攻擊者向初始入侵掮客（IAB）購買能透過遠端管理軟體Atera存取的管道，而能成功進行目標企業的網路環境，在攻擊行動裡，對方試圖運用惡意系統，將該廠牌的Cortex XDR代理程式部署到虛擬環境。研究人員認為，駭客此舉是藉由自帶驅動程式（BYOVD）手法，測試新的端點防護繞過工具。</p> <p>這起攻擊行動的發現，在於該公司旗下的威脅情報團隊Unit 42接獲客戶遭到勒索通報，結果發現，其中2個環境型態不明的用戶端環境受到相關攻擊。攻擊者在這些端點電腦安裝了舊版的Cortex XDR代理程式，研究人員在對方不知情的狀態下成功存取這些端點，並找到一系列的作案工具，循線於駭客論壇找到專門兜售相關工具的訊息。</p> <p><a href="https://www.ithome.com.tw/news/165878"><strong style="font-size: 22px;">惡意軟體Pygmy Goat鎖定Sophos防火牆而來，意圖入侵政府機關網路環境</strong></a></p> <p>駭客開發Linux惡意程式的情況，最近兩年越來越頻繁，其中又以針對VMware虛擬化平臺而來的勒索軟體較為常見，但如今，有人運用這方面的技術、鎖定特定廠牌的防火牆系統打造惡意軟體。</p> <p>英國國家網路安全中心（NCSC）近日揭露名為Pygmy Goat的後門程式，他們在Sophos XG防火牆設備找到這支惡意軟體，此為32位元x86的ELF共用物件檔案，攻擊者設置LD_PRELOAD環境變數，從而透過SSH daemon（sshd）二進位檔案載入。</p> <p>雖然NCSC並未透露使用Pygmy Goat從事攻擊行動的人士身分，但提及該惡意程式與另一支名為Castletap具備類似的戰術、手段、流程（TTP），經過資安業者Mandiant分析，使用Castletap的攻擊者身分很有可能就是中國駭客，這樣的情況，很難不讓人聯想Pygmy Goat也與中國駭客有關。</p> <p><a href="https://www.ithome.com.tw/news/165885"><strong style="font-size: 22px;">新加坡電信疑似遭到中國駭客Volt Typhoon入侵</strong></a></p> <p>今年8月美國電信業者Lumen指出，中國駭客組織Volt Typhoon利用Versa Director零時差漏洞CVE-2024-39717，入侵網路服務供應商（ISP）、託管服務供應商（MSP），如今傳出電信業者遭到此駭客組織攻擊的消息。</p> <p>根據彭博社、路透社的報導，2名知情人士聲稱新加坡電信（SingTel）遭到入侵，調查人員認為，攻擊者的身分就是Volt Typhoon。</p> <p>對此，新加坡電信的發言人向這兩家新聞網站說明，他們在6月偵測到惡意軟體，隨後便進行相關處理，尚未出現資料外洩的情況，服務也並未受到影響，該公司已向相關單位通報此事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/11/new-android-banking-malware-toxicpanda.html">安卓金融木馬ToxicPanda攻擊歐洲、香港、秘魯，感染逾1,500臺裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/apt36-refines-tools-attacks-indian-targets">巴基斯坦駭客組織Transparent Tribe散布木馬程式ElizaRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/lastpass-warns-of-fake-support-centers-trying-to-steal-customer-data/">密碼管理解決方案業者LastPass提出警告，有冒牌客服企圖竊取用戶資料</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165888"><strong style="font-size: 22px;">Google修補安卓兩個零時差漏洞</strong></a></p> <p>11月4日Google發布本月份安卓作業系統的例行更新，當中總共修補51個漏洞，值得留意的是，其中有2個漏洞CVE-2024-43047、CVE-2024-43093，疑似已出現有限的、目標式的漏洞利用情形。</p> <p>其中，CVE-2024-43047最早是高通在10月公布，影響數位訊號處理器（Digital Signal Processor，DSP）服務，為記憶體釋放後再進行濫用（Use After Free，UAF）的弱點，CVSS風險評為7.8。</p> <p>另一個漏洞CVE-2024-43093涉及權限提升，影響12至15版安卓作業系統，但特別的是，該漏洞不僅出在作業系統框架，也存在於Google Play系統更新模組當中的Documents UI元件。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/okta-fixes-auth-bypass-bug-three-month-lull">Okta修補身分驗證漏洞，使用者名稱超過52個字元就有可能觸發</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165875"><strong style="font-size: 22px;">國際警方破獲逾2.2萬個用於網路犯罪的惡意IP位址，逮捕41名嫌犯</strong></a></p> <p>國際刑警組織（Interpol）周二（11月5日）公布Synergia II執法行動（Operation Synergia II）的成果，指出已查獲了超過2.2萬個與網路威脅相關的惡意IP位址，並逮捕41名嫌犯。</p> <p>Synergia II主要鎖定網路釣魚、資訊竊取及勒索軟體等惡意活動，結合了全球95個國家的執法機構，並與Group-IB、趨勢科技、卡巴斯基與Team Cymru等資安業者合作，藉由資安業者在追蹤非法網路活動上的專業，來識別全球的惡意伺服器。</p> <p>該行動的期間為今年4月1日至8月31日，Interpol與資安研究人員在這期間，總計發現了3萬個可疑的IP位址，關閉了其中的2.2萬個裝置，確認了逾100名嫌犯的身分，逮捕了當中的41名。其中，香港有1,037個伺服器被關閉，蒙古有一臺伺服器被查扣，澳門也有291臺伺服器被關閉，也涉及馬達加斯加及愛沙尼亞。</p> <p><a href="https://www.ithome.com.tw/news/165869"><strong style="font-size: 22px;">2024金融科技防詐新態勢，聯合學習機制成最新亮點</strong></a></p> <p>鑑於臺灣的詐騙亂象頻傳，在因應網路犯罪的科技防詐上，不只是政府機關、網路服務業、電信業要採取行動，金融業的防範措施也至關重要。近年來，金融業正聚焦AI技術的深化運用，做到更有效的偵測及預防詐騙與洗錢，特別的是，今年科技防詐發展的重要焦點，就是金融監督管理委員會（金管會）為了促進多家金融業運用聯合學習及資料隱私強化技術，推動這方面的聯合自主實證，以發展防範詐騙及金融犯罪的模型，並期許日後能夠真正落地推廣。在11月初舉行的臺北金融科技展上，金管會舉辦了科技防詐主題式的推廣活動成果發表會，當中也就呼應了運用聯合學習來提升防詐能力的應用態勢。</p> <p>這是因為，現場展示3項實證新技術阻詐的最新進展，都與聯合學習（或稱聯邦學習，Federated Learning）有關，儼然成為提升防詐能力的新關鍵，讓各家金融機構在不共享原始數據的情況下，可以共同訓練模型，確保資料安全，並提升及早偵測異常狀況的能力。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.404media.co/suspected-snowflake-hacker-arrested-in-canada/">Snowflake資安事故嫌犯傳出在加拿大遭到逮捕</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165859"><strong>【11月5日】臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165840"><strong>【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165820"><strong>【11月1日】中國駭客鎖定各家廠牌的網路設備下手，挖掘零時差漏洞並用於攻擊行動</strong></a></p> </div></div></div>
2024/11/6 17:57作者周峻佑https://www.ithome.com.tw/news/165889
惡意軟體Pygmy Goat鎖定Sophos防火牆而來，意圖入侵政府機關網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客開發Linux惡意程式的情況，最近兩年越來越頻繁，其中又以針對VMware虛擬化平臺而來的勒索軟體較為常見，但如今，有人運用這方面的技術、鎖定特定廠牌的防火牆系統打造惡意軟體。</p> <p>英國國家網路安全中心（NCSC）<a href="http://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/pygmy-goat/ncsc-mar-pygmy-goat.pdf">近日揭露名為Pygmy Goat的後門程式</a>，他們在Sophos XG防火牆設備找到這支惡意軟體，此為32位元x86的ELF共用物件檔案，攻擊者設置LD_PRELOAD環境變數，從而透過SSH daemon（sshd）二進位檔案載入。</p> <p>巧合的是，10月底Sophos才發布名為<a href="https://www.ithome.com.tw/news/165810">Pacific Rim的調查報告</a>，指出該公司針對中國駭客近5年專門對邊界網路裝置發動攻擊進行追蹤，其中一種被鎖定的裝置就是該廠牌的防火牆。這樣的情況，不禁讓人聯想到中國駭客。</p> <p>雖然NCSC並未透露使用Pygmy Goat從事攻擊行動的人士身分，但提及該惡意程式與另一支名為Castletap具備類似的戰術、手段、流程（TTP），<a href="https://cloud.google.com/blog/topics/threat-intelligence/fortinet-malware-ecosystem">經過資安業者Mandiant分析</a>，使用Castletap的攻擊者身分很有可能就是中國駭客，這樣的情況，很難不讓人聯想Pygmy Goat也與中國駭客有關。</p> <p>針對這個惡意程式的特性，NCSC指出，Pygmy Goat會產生使用ICMP協定的原生Socket，用來監控流入的封包，並在與C2連線的過程裡，使用AES加密的TCP封包，回傳IP位址及連接埠資訊。</p> <p>再者，此惡意程式濫用LD_PRELOAD掛鉤Socket的特定功能，偷看特定SSH連接埠的流入流量，並重覆使用這種連線機制與C2通訊。另一方面，這支惡意程式還嵌入署名為FortiGate, Fortinet Ltd發布的CA憑證，想要冒充FortiGate防火牆而趁機到其他臺FortiGate當中執行，建立與C2之間的TLS連線。</p> <p>一旦上述連線建立成功，攻擊者就能透過C2建立遠端Shell、啟動封包截取、產生cron工作排程，或是設置SOCKS反向代理伺服器，而能傳送流量到防火牆後方的其他設備。</p> </div></div></div>
2024/11/6 15:57作者周峻佑https://www.ithome.com.tw/news/165878
Meta證實Llama模型已被應用於美國國家安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周一（11/4）<a href="https://about.fb.com/news/2024/11/open-source-ai-america-global-security/" target="_blank">證實</a>，已與眾多業者合作，將Llama模型導入美國政府機構以執行各種應用，包括國防與國家安全。</p> <p>Llama的全名為Large Language Model Meta AI，是Meta在2023年2月發布的開源大型語言模型，迄今<a href="https://www.ithome.com.tw/news/164823" target="_blank">下載量</a>已近3.5億次，目前的最新版本為今年9月釋出的<a href="https://www.ithome.com.tw/news/165241" target="_blank">Llama 3.2</a>。</p> <p>Meta Llama與美國政府之間的橋樑包括Accenture Federal Services、AWS、Anduril、Booz Allen、Databricks、Deloitte、IBM、Leidos、Lockheed Martin、微軟、甲骨文、Palantir、Scale AI與Snowflake。</p> <p>其中，甲骨文利用Llama來合成飛機維護文件，以讓技術人員能夠更快且準確地診斷問題，使重要的飛機更快恢復運作；Scale AI 則微調了Llama以支援特定的國家安全團隊任務，例如行動規畫，或是找出對手的漏洞等；國防及航太製造商Lockheed Martin則直接將Llama整合到旗下的AI Factory，以加速程式碼生成、資料分析及強化業務流程。</p> <p>至於微軟Azure與AWS則在自己用來處理敏感資料的雲端平臺上，代管各種Llama模型，以支援政府需求；IBM也在watsonx解決方案中支援Llama，以讓各個國家安全機構能夠在自我管理的資料中心及雲端中使用Llama。</p> <p>Meta解釋，由於大型語言模型能夠處理大量資料、推論並產生可用的見解，得以支援美國國家安全的許多方面，例如簡化複雜的後勤與規畫，追蹤恐怖主義的融資，或是強化網路防禦；而且開源系統對於協助美國建立全球技術最先進的軍隊，以及與盟友制定新技術的全球標準至關重要，它能加速國防研究與高階運算，辨識安全漏洞，以及改善不同系統之間的通訊。</p> <p>Meta創辦人暨執行長祖克柏（Mark Zuckerberg）<a href="https://www.ithome.com.tw/news/164093" target="_blank">曾疾呼</a>開源才是AI的未來，Meta也相信美國的開源模型將超越中國與其它地方的模型，隨著開源模型變得更強大，被更廣泛地使用，或許會出現AI模型的全球開源標準，如同Linux或Android一般，而此一標準將替全球AI發展奠定基礎，並被融入技術、基礎設施、製造、金融及電子商務中。</p> </div></div></div>
2024/11/6 14:30作者陳曉莉https://www.ithome.com.tw/news/165874
【資安日報】11月5日，臉書粉專管理員、廣告管理員請提高警覺！竊資軟體鎖定臺灣用戶攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對臉書企業帳號的管理員，以及管理廣告的用戶而來的情況，每隔一兩個月就出現相關攻擊行動，但最近出現專門鎖定臺灣用戶而來的攻擊。</p> <p>究竟攻擊者身分為何？目前仍不得而知，但從駭客使用了中國用語的情況，容易讓人聯想是來自中國或是華人。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165853"><strong style="font-size: 22px;">臺灣企業臉書粉專管理員遭鎖定，駭客企圖散布竊資軟體LummaC2、Rhadamanthys</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-1e38571c-c1b4-4051-8bf7-876e192dd672.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-1e38571c-c1b4-4051-8bf7-876e192dd672.jpeg" style="width: 300px; float: right;" /></a></p> <p>鎖定臉書企業粉絲專頁或是廣告管理員的攻擊行動已出現數起，但過往這種類型的事故多半發生在國外，如今有研究人員揭露專門鎖定臺灣用戶而來的攻擊行動。</p> <p>思科旗下的威脅情報團隊Talos指出，他們發現自今年7月開始，有人針對臺灣的臉書企業用戶及廣告帳號，發動相關攻擊，攻擊者以侵犯版權為由，假冒企業的法律部門，寄送帶有偽裝成PDF檔案附件的釣魚信，意圖引誘使用者下載及執行惡意程式。</p> <p>在這波攻擊行動裡，對方濫用Google的Appspot[.]com網域名稱，以及短網址服務、雲端檔案共享服務Dropbox，藉此迴避網路資安系統的偵測，而能成功將竊資軟體LummaC2（Lumma Stealer）、Rhadamanthys，傳送到受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/165854"><strong style="font-size: 22px;">施耐德電機傳出Jira伺服器資料外洩，駭客聲稱竊得40 GB資料</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，施耐德電機傳出資料外洩事故，該公司坦承有遭到入侵的情況並著手調查。</p> <p>11月3日名為Greppy的X使用者宣稱，他們「不小心」偷了施耐德電機的資料，且也引起該公司注意，服務被關閉，施耐德電機雖然重新啟動以因應這個狀況，沒去找出元凶，而且還用關機的方式企圖阻擋攻擊，但歹徒已拿走更多資料。</p> <p>這篇嘲弄該公司資料保護不力的貼文，引起Bleeping Computer注意而聯繫Greppy，對方透露，他們使用外流的帳密資料入侵施耐德電機的Jira伺服器，並在成功得到存取權限後，利用MiniOrange REST API截取40萬筆使用者資料，其中包含該公司員工及客戶的7.5萬個電子郵件信箱。</p> <p><a href="https://www.ithome.com.tw/news/165858"><strong style="font-size: 22px;">駭客聲稱從Nokia合作廠商竊得原始碼，該公司著手調查此事</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/noki-forum-post.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/noki-forum-post.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Nokia傳出資料外洩的情況，有人聲稱從第三方承包商竊取相關資料，對此Nokia表示他們已掌握此事，並著手調查。</p> <p>惡名昭彰的初始入侵管道掮客IntelBroker聲稱，他們在成功破壞Nokia第三方供應商的伺服器後，竊得該公司大量的原始碼，並表示這些原始碼的用途，是協助該供應商開發內部工具。</p> <p>針對上述駭客聲稱的情況，Nokia表示他們的確接獲通報，有未經授權攻擊者存取特定的第三方供應商資料，且當中部分疑為Nokia所有，同時，Nokia也表明嚴肅看待並著手調查此事，截至目前為止，該公司系統或是資料尚未出現受到影響的跡象。</p> <p><a href="https://www.ithome.com.tw/news/165851"><strong style="font-size: 22px;">電子簽名服務DocuSign的API驚傳遭到濫用，駭客寄送大量假發票引誘企業上當</strong></a></p> <p>鎖定應用程式與API安全性的資安業者Wallarm警告，駭客正在濫用DocuSign的Envelopes API大量寄送假發票，企業稍有不慎就可能淪為受害者。</p> <p>駭客先建立付費的DocuSign帳戶，接著模仿合法公司的發票範本，再大量寄出，一旦受害者簽署了該文件，駭客就能利用該簽名檔來請款。危險的是，由於發票是直接自DocuSign平臺發送的，所以並不會被企業的郵件過濾機制攔截。</p> <p>Wallarm表示，相關的攻擊風險不僅限於DocuSign，也涉及其他電子簽名服務，建議組織應該要驗證寄件人的憑證，多重審核與財務有關的請求，即時教育訓練，以及監控異常情況等。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174209&SPOKE_DATE=20241104&COMPANY_ID=2206"><strong style="font-size: 22px;">三陽工業證實部分資訊系統遭受網路攻擊</strong></a></p> <p>11月4日傍晚三陽工業於股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭到駭客攻擊的情況，當時他們察覺隨即啟動相關防禦機制，並著手復原，目前已經完成相關作業。</p> <p>而對於這起資安事故可能會造成的影響，該公司表示，根據他們的初步評估，對於營運尚無重大影響。針對後續改善及未來因應措施，他們將持續提升網路及資訊基礎架構安全，並強化防護機制及持續密切監控。此外，他們也提及會對密碼管控進行加強。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/canada-prc-backed-threat-actors">加拿大證實中國駭客在近5年於政府機關搜括機敏資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-trojan-miyarat-unleashed-by-bitter-group/">駭客組織APT-Q-37鎖定南亞散布木馬程式MiyaRat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/gou-phishing-kit-hits-uk-us-japan-australia-sectors/">網釣工具包「修狗」鎖定歐美、澳洲、日本而來</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9632-18-year-old-bug-in-x-org-server-leaves-systems-vulnerable-to-attack/">存在於X.org長達18年的高風險漏洞，恐導致Linux、Unix電腦遭到挾持</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/165788">跟上國際腳步，臺灣Passkey應用實例出爐</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165840"><strong>【11月4日】安卓語音網釣惡意軟體FakeCall出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165820"><strong>【11月1日】中國駭客鎖定各家廠牌的網路設備下手，挖掘零時差漏洞並用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165777"><strong>【10月30日】竊資軟體RedLine遭到執法單位查封</strong></a></p> </div></div></div>
2024/11/5 17:44作者周峻佑https://www.ithome.com.tw/news/165859
【資安日報】10月25日，Fortinet零時差漏洞4個月前就遭駭客組織UNC5820利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到矚目的漏洞，應該就屬網路設備管理平臺FortiManager零時差漏洞CVE-2024-47575（也被稱做FortiJump），在Fortinet對外發布資安公告之後，有資安業者證實已有企業遭遇相關攻擊。</p> <p>資安業者Mandiant指出，他們看到駭客組織UNC5820在今年6月就開始利用這項漏洞，但對於攻擊者的身分，以及運用漏洞的目的，迄今仍無法掌握。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165689"><strong style="font-size: 22px;">針對Fortinet本週揭露的網路設備管理平臺零時差漏洞，研究人員指出6月就已遭到利用</strong></a></p> <p>資安業者Fortinet週三（10月23日）發布公告，揭露網路設備管理平臺FortiManager重大漏洞CVE-2024-47575（也被稱做FortiJump），並警告已有實際利用的情況，有資安業者Mandiant在公告後隔天揭露，他們在4個月前就掌握到駭客攻擊行動。</p> <p>他們發現名為UNC5820的駭客組織，於6月27日就開始嘗試利用上述漏洞攻擊FortiManager，從而將受到管理的FortiGate防火牆組態資料流出。這些詳細資料包含使用者名稱及經過雜湊處理的密碼，攻擊者有機會進一步對FortiManager下手，並對受到管理的其他Fortinet裝置進行橫向移動，進而對企業環境發動進一步攻擊。</p> <p>不過，根據研究人員取得的情報，他們尚未發現駭客利用漏洞進行橫向移動的跡象，而且也沒有後續活動，對於攻擊者的意圖或是地理位置，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/165669"><strong style="font-size: 22px;">北韓駭客Lazarus假借DeFi遊戲為誘餌，利用Chrome零時差漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_APT_for_SAS_11.png" style="width: 300px; float: right;" /></a>5月15日Google發布Chrome 125更新（125.0.6422.60、61），修補零時差漏洞CVE-2024-4947，通報此弱點的資安業者卡巴斯基表示，當時他們看到北韓駭客組織Lazarus假借提供電玩遊戲的名義，並利用這項漏洞企圖控制受害者的電腦。</p> <p>這起攻擊行動之所以曝光，起初是在5月13日，該廠牌防毒軟體在俄羅斯個人用戶的電腦，偵測到後門程式Manuscrypt感染的情況，由於使用該惡意程式的Lazarus鮮少針對個人用戶下手，這樣的情況引起研究人員的注意，進一步調查發現，detankzone[.]com網站利用瀏覽器弱點發動攻擊。</p> <p>研究人員進一步指出，攻擊者架設的網站以TypeScript及React打造而成，他們將漏洞利用程式碼埋在名為index.tsx的檔案，但值得留意的是，這些程式碼不光利用CVE-2024-4947，還運用另一個近期才揭露的V8沙箱弱點。</p> <p><a href="https://www.ithome.com.tw/news/165679"><strong style="font-size: 22px;">北韓IT人員到歐美企業遠距任職引發危機，可能導致商業機密遭竊、勒索</strong></a></p> <p>最近2到3年美國政府多次提出警告，要企業防範北韓駭客假借謀取遠距辦公職務的名義，取得企業內部網路環境的存取權限，從事間諜活動並偷取機密資料的情況，今年美國更是二度查緝協助這些「IT人員」犯案的筆電農場（Laptop Farm），自資安意識教育訓練業者KnowBe4公布他們不慎雇用北韓駭客差點資料外流的事故，有資安業者針對這種威脅態勢進行調查，並指出近期相關攻擊已出現顯著變化。</p> <p>資安業者Secureworks指出，他們針對專門從事這類攻擊的駭客組織Nickel Tapestry（也被稱做Famous Chollima、UNC5267）進行追蹤，結果發現這些駭客在得手企業內部資料後，開始會向雇主進行勒索，要求付錢換取不將資料外流。研究人員指出，這樣的手法過往未曾出現。</p> <p>在其中一起事故裡，受害企業因該員工表現不佳終止僱傭關係，不久就收到一系列電子郵件，其中一封挾帶聲稱竊得內部機密資料的ZIP檔案，另一封則是要求受害企業支付數十萬美元的加密貨幣贖金，後來駭客從另一個電子郵件信箱寄信，以Google Drive共享檔案來表明，他們握有更多內部資料，藉此施壓。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-rust-based-embargo-ransomware-threatens-us-companies-with-advanced-attack-techniques/">以Rust打造的Embargo勒索軟體鎖定美國企業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/misconfigured-un-database-gender-violence-victims-data/">聯合國資料庫配置不當，曝露228 GB性暴力受害者資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/cisa-warns-of-active-exploitation-of.html">美國警告SharePoint漏洞CVE-2024-38094出現實際攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165693"><strong style="font-size: 22px;">思科針對網路防火牆產品線的多個軟體平臺發布更新，總共修補51個弱點</strong></a></p> <p>10月23日思科針對旗下防火牆系統Adaptive Security Appliance（ASA）、Firepower Threat Defense（FTD），以及集中控管軟體Firewall Management Center（FMC）發布一系列資安公告，揭露51項漏洞，並發布更新軟體修補。</p> <p>根據CVSS風險評分，這次有3項被列為重大層級的漏洞CVE-2024-20329、CVE-2024-20412、CVE-2024-20424最為危險，資安風險評為9.9至9.3分。</p> <p>除了上述的重大層級漏洞，另一個中度風險的漏洞CVE-2024-20481也值得留意，因為，該公司產品安全事件回應團隊（PSIRT）已經發現有人利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nvidia-patches-high-severity-flaws-in-windows-linux-graphics-drivers/">針對顯示晶片驅動程式，Nvidia修補8項高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-patches-multi-vulnerabilities-in-latest-stable-release/">Google發布Chrome 130更新，修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165690"><strong style="font-size: 22px;">為強化Apple Intelligence雲端運算安全，蘋果祭出抓漏獎勵</strong></a></p> <p>蘋果於本周四（10月24日）公開邀請所有安全及隱私研究人員，或者是任何有興趣的人存取Private Cloud Compute（PCC），並提供抓漏獎勵，最高可獲得100萬美元的獎金。為了實現此一宣布，蘋果提供了PCC的安全指南，PCC的虛擬研究環境（Virtual Research Environment，VRE），以及PCC的某些關鍵原始碼。</p> <p>什麼是PCC？這是蘋果AI服務Apple Intelligence的一環，使用者可於Mac、iPhone及iPad上直接執行AI任務，更複雜的任務將會移至PCC執行。值得一提的是，這是蘋果第一次將裝置的安全及隱私能力擴展至雲端，以確保發送到PCC的個人資料無法被使用者之外的任何人存取，包括蘋果在內。蘋果號程PCC是雲端大規模AI運算史上最先進的安全架構。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165683"><strong>【10月24日】FortiManager零時差漏洞已被用於實際攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> </div></div></div>
2024/10/25 16:38作者周峻佑https://www.ithome.com.tw/news/165697
Container快報第160期：CNCF成員來臺揭露K8s三大發展，多家臺灣金融和服務業分享第一手K8s實戰經驗，D…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2024/9/21～10/25 精選容器新聞：</strong></span></h3> <p><strong><span style="color:#FF0000;">#K8s Summit #第一手K8s實戰 #雲原生永續</span><br /> 多家金融、高科技和服務業分享第一手K8s實戰和踩雷經驗，雲原生永續議題也在臺發酵</strong></p> <p>iThome主辦的K8s Summit，十月底一連兩天在臺北舉行，超過8百人報名，第一天主題演講由凱基證券亞太區資訊長黃榮林開場，分享凱基證券正在進行的核心轉型歷程，這項轉型計畫稱為天空計畫，要用K8s和微服務架構來重新打造證券核心，取代原本用了40年，以大型專有系統如AS400，使用COBOL、RPG等老舊程式語言開發的證券核心系統。</p> <p>參與了最新K8s碳排追蹤專案Kepler的IBM東京實驗室的科學家Marcelo Amaral也在第二天主題演講中分享最新的雲原生永續和K8s能耗追蹤技術，例如專案團隊正在強化eBPF探測技術的強化，也開始訓練VM能源模型，也持續重構和驗證專案程式品質。CNCF技術委員會成員Katie Gamanji和推廣大使太田航平則分享了K8s未來三大新進展，尤其強調WebAssembly對雲原生發展的重要性，可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU，提供了一個安全、輕便而且可以在任何地方執行的技術。</p> <p>更有金控、銀行、證券、支付、高科技製造業、廣告服務業、人力銀行、房仲業者分享自家K8s實戰經驗，從核心架構改造、架構搬遷、雲端費用控管、大規模部署、K8s維運和故障排除、安全和金鑰控管、災難復原，甚至如何用來打資料工作流程等。</p> <p><strong><span style="color:#FF0000;">#WebAssembly #eBPF</span><br /> CNCF成員來臺揭露K8s三大重要發展，包括WebAssembly、eBPF和IT永續新工具</strong></p> <p>CNCF技術委員會成員Katie Gamanji和推廣大使太田航平在K8s Summit研討會中分享了K8s未來三大新進展。第一項是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。WebAssembly是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。」</p> <p>第二個重要新發展是eBPF，這項技術於本只是用來過濾網路封包，但現在的應用越來越多元，太田航平指出，eBPF有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。<br /> 最後一項發展方向是永續性。「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。目前有兩項重要工具，Kepler專案可以用來追蹤K8s的能耗，另一個是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。例如可以設計系統使用「碳排密度」指標來調整規模，在配置檔中定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s-CNCF%E5%88%86%E4%BA%AB.JPG" /></p> <p><strong><span style="color: rgb(255, 0, 0);">#雲原生省錢 #K8s省錢 #SRE</span><br /> 阿物科技SRE分享雲端省錢術，揭露20%節費的關鍵策略</strong></p> <p>來自嘉義的臺灣行銷科技業者阿物科技，主力開發團隊在南臺灣總部，卻能服務全臺，甚至是日本到全球的上萬家企業，就是善用了公雲基礎架構，來提供各種行銷自動化的服務。</p> <p>不過，如何更有效管理上雲的費用卻是一大挑戰，阿物科技SRE經理謝明宏在幾今年K8s Summit上也分享了阿物科技能夠節省20%雲端費用的關鍵，就是靠雲端節費地圖（CLoud Cosy Optimization Map）。</p> <p>他在這張節費地圖中，盤點5種雲端成本的來源，像是雲算資源、穩路資源、儲存資源、軟體授權和訂閱費用等常見項目，也納入容易忽略的人為失誤的成本。並歸納出6大節費核心策略，從資源成本優化、儲存成本優化、網路成本優化到善用價格便宜的Spot VM（現貨虛擬機器），另外還包括了成本監控和擁抱FinOps/DevOps文化等六項。<br /> 謝明宏更分別針對雲原生環境與K8s環境，各自如何落實這六項節費核心策略，一一說明更多細節。</p> <p>例如，K8s可以透過Pod資源請求與限制的設置，以及調整Cluster Autoscaler來優化資源成本，或是進行Ingress流量優化和調整叢集設計，可以優化網路成本。在開發與測試環境或針對非核心服務善用Spot虛擬機器，甚至混用現貨虛擬機器和按需提供的虛擬機器，也有利於成本控管。而在雲原生環境的節費實作上，例如透過VM規模調整、自動化開關機、CUR/RI購買都能優化資源的成本，進行資料生命週期管理或優化資料庫也能改善儲存成本等。</p> <p>謝明宏也分享了阿物科技如何在不同情境中，運用雲端節費地圖中節費策略的實作案例，像是在電商網站站內搜尋使用Spot虛擬機器的經驗，或是導入IaC、GItOps來降低SRE團隊維運成本等。</p> <p>他建議企業要善用架構和工具來降低維運成本，也利用架構設計提高服務可用性，並藉助節費地圖來降低雲端成本，同時考量三者來兼顧高可用性又能節省成本。他更大方公開了雲端節費地圖的心智圖，供大家按圖參考，來設計符合自家企業雲原生環境和K8s維運的雲端節費地圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E7%AB%AF%E7%AF%80%E8%B2%BB%E5%9C%B0%E5%9C%96-big.png" /></p> <p><strong><span style="color:#0000FF;">#</span><span style="color:#FF0000;">AI訓練框架 #微服務 </span><br /> 瞄準AI模型訓練需求，GKE開始提供Nvidia微服務框架NIM</strong></p> <p>最近Google雲宣布，開是在GKE上提供Nvidia的AI框架NIM，這是一個可以用來訓練大型語言模型的微服務框架，以微服務架構的形式，提供了一整套的大型語言訓練元件，可以讓企業使用現成的元件，就可以自行打造出自己的訓練平臺，來簡化大型語言模型訓練的複雜度。像是臺大與產學合作打造的Porject TAME繁中LLM模型，就使用了NIM來建立訓練基礎架構。NIM框架也針對不少現有模型提供了最佳化版本，企業可以在GKE控制臺上直接使用NIM微服務來部署模型，例如幾個點擊就可以部署出LLama 3.1版700億參數的NIM最佳化版的模型。另外，也更容易用GKE來協調部署搭載Nvidia GPU的GKE叢集來執行NIM版模型。</p> <p><strong><span style="color:#FF0000;">#容器工具 #Linux容器管理</span><br /> AWS容器工具Finch終於支援Linux，可跨三大作業系統管理容器 </strong></p> <p>日前，AWS宣布自家容器工具Finch開始支援Linux。這款開源的命令列工具，可以供開發者在多個作業系統中建構並執行Linux容器，提供跨平臺一致的體驗，現在無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，這次改版還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。<br /> 新版最大重點是，可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，可以原生支援的容器技術包括Docker和containerd可直接使用Linux核心功能。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。<br /> 不過，這個做法與Finch在macOS和Windows上的運作方式不同，在這兩個作業系統中，則是使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p><strong>#H<span style="color:#FF0000;">elm Chart #GitOps</span><br /> 快速掃描Python和Java程式碼，StackGen能生成Helm Chart封裝檔加速部署</strong></p> <p>最近StackGen（前身是appCD釋出了自動生成部署檔，來強化對 Argo CD的整合支援，利用靜態分析技術，可以自動分析Python和Java程式碼的意圖，元件相依性，來剖析API介面、服務配置、網路配置或其他必要變數的設置，用AI自動生成Terraform部署程式碼，或是Helm Charts封裝檔。根據StrackGen宣稱，可以將軟體部署過程從數天，縮短到數分鐘。</p> <p><span style="color:#FF0000;"><strong>#基礎架構程式碼化 #Terraform</strong></span><br /> <strong>基礎架構自動化工具大更新，HashiCorp多項工具改版，要簡化大規模擴張的複雜度</strong></p> <p>IaC知名自動化軟體工具廠HashiCorp最近一口氣更新多項基礎設施生命周期管理產品，從Terraform、Packer、Nomad到Waypoint，要來簡化大規模基礎設施管理流程，尤其新功能聚焦減少使用者手動操作的繁瑣，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>例如，HCP Packer提供映像檔管理功能，新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，確保用戶使用的映像檔皆經過驗證且符合規範，這是大型企業管理開源基礎架構環境時常見的需求。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。<br /> 另外在Terraform基礎設施部署工具上，則增加了HCP Terraform Stacks，可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知的變化來避免部署中斷。</p> <p>分散式負載調度工具Nomad新增加GPU支援，能夠靈活配置高效能運算資源，而應用部署執行管理工具Waypoin新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p><strong><span style="color:#FF0000;">#部署容器化應用 #DHH</span><br /> RoR之父打造的容器化Web應用部署工具Kamal大改版，2.0新版不只支援大量主機部署，也能快速將多套AP部署到一臺主機</strong></p> <p>專案管理平臺業者37signals在2023年大舉下雲，一年可以省下2百萬美元上雲費用的關鍵，正是RoR之父打造的一套大規模的容器化Web應用部署工具Kamal，主要利用Docker來部署和管理Web應用。Kamal在2024年初時推出1.3版，不只可以在裸機上部署Web應用，也可以用來部署雲端環境中的Web應用，這是一款可以通吃本地端和雲端的通用部署工具。</p> <p>這套讓37signals下雲的關鍵工具在10月釋出了Kamal 2新版，原本1.0版主要針對跨大量主機搭配外部負載平衡器來部署同一套應用，支援數百萬人等大規模的用戶。新推出的2.0版則有另一個大升級，可以將多個Web應用，快速部署到單一臺伺服器，來提高伺服器的AP密度，並且可以用Let’s Encrypt來實作自動HTTPS，還大幅簡化了部署管理最煩人的秘密管理。</p> <p>Kamal 2.0預設部署在Rails 8.0，但不只可用於Rails應用，也可以部署到任何語言或框架開發的Web應用。DHH強調，不需要用到像Kubernetes如此複雜的工具，用Kamal 2也能快速將容器化應用部署到雲端或地端的各種基礎架構環境，從便宜VPC，雲端虛擬機器叢集到本地端的硬體都可以使用，來降低部署和後續維運的複雜度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DHH%E5%88%86%E4%BA%AB.jpeg" /></p> <p><strong><span style="color:#FF0000;">#K8s資安 #映像檔工具</span><br /> 小心K8s映像檔製作工具發現重大漏洞，恐曝露虛擬機器root權限，官方先釋出緩解工具</strong></p> <p>最近Kubernetes資安回應團隊公布了一項映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。較為嚴重的是CVE-2024-9486漏洞，CVSS評分達到6.3分，這是當用Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。Kubernetes資安回應團隊呼籲用戶，應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> <p><strong>更多新聞：</strong></p> <ul> <li>Docker新價格方案將於11月中上路，Hub用量限制則於明年2月生效，企業得開始準備</li> <li>資安業者Group-IB提醒，新興勒索軟體Cicada3301鎖定多平臺攻擊，包括VMware ESXi環境。</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/10/25 13:09作者王宏仁https://www.ithome.com.tw/news/165691
GPUDirect Storage的部署與啟用條件需求
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1025-cover3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome整理製表，2024年10月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由GPUDirect Storage（GDS），可以讓GPU伺服器本機的NVMe SSD，或是外部第3方的檔案儲存系統，透過DMA或RDMA方式，繞過GPU主機CPU與系統記憶體，直接將資料傳送到GPU的記憶體，從而大幅提高儲存裝置與GPU之間的資料傳輸效率。但要啟用這套架構，必須有硬體與軟體方面的配合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 硬體需求</strong></span></span></p> <p>在GPU伺服器端，只有較新款的Data Center等級GPU平臺，與Quadro等桌上型等級GPU平臺，可以支援與運行GDS（詳見Nvidia網站公布的清單），若要透過GDS連結外部儲存設備，GPU伺服器還需要搭配支援RDMA架構的網路卡，如InfiniBand或RDMA乙太網路卡。</p> <p>至於儲存裝置端則分為兩種，一為區塊類型，另一為網路附加型儲存裝置。</p> <p>區塊類型儲存裝置分兩種，一為GPU伺服器本機儲存裝置，能透過PCIe連結GPU的NVMe SSD即可。二為外部儲存設備從遠端掛載的區塊儲存區（Volume），需支援NVMe-oF形式的外部儲存設備。</p> <p>對於網路附加型儲存裝置，基本上都是外部遠端掛載的檔案系統，檔案系統必須支援RMDA網路介面才能運行GDS。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>● 軟體需求</strong></span></span></p> <p>要在GPU伺服器端啟用GDS，首先，必須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這兩個軟體元件，前者用於為InfiniBand與RDMA乙太網路卡建立跨遠端的RDMA存取，後者用於為儲存裝置提供對於GPU記憶體的DMA直接存取。</p> <p>其次，是必須安裝內含GDS軟體元件的CUDA 11.4版以後軟體套件。</p> <p>在儲存裝置端，GDS對儲存裝置的存取，是在GDS的CuFile API控制下，透過nvidia-fs.ko驅動程式，經由Linux的虛擬檔案系統（Virtual Filesystem，VFS）介面的中介，在檔案系統層級上進行。</p> <p>所以對於GPU伺服器連接的區塊型儲存裝置，包括本機的NVMe SSD，或是遠端掛載的外部儲存裝置邏輯儲存區（如EBOF儲存櫃），必須格式化為EXT4或XFS檔案系統的形式，再掛載到GPU伺服器使用。</p> <p>對於檔案系統型儲存裝置，第3方檔案系統若要支援GDS，必須能支援RDMA遠端存取，通常採取2種實作方式，一為透過修改的NFS協定（例如NFS over RDMA），另一為透過OFED（OpenFabrics Enterprise Distribution）介面，藉此將檔案系統空間掛載給GPU伺服器使用，採取前者作法的平臺，例如Dell PowerScale 9.2版以後版本，後者則有DDN的EXAScaler 5.2以後版本，Weka的WekaFS 3.13以後版本等。</p> <p>這些GDS相容檔案儲存平臺，多是第3方廠商專屬儲存設備的檔案系統，因而只能跟著這些廠商的儲存產品硬體一同提供。不過，也有部分平臺例外，可以單獨提供檔案系統軟體套件，供用戶自行建置儲存系統，如BeeGFS與Weka FS，都提供這種建置模式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1025-cover(3)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2024年10月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>GDS使用的儲存裝置分為2大類型、一共3種形式：</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第1大類是區塊型儲存裝置，包括GPU伺服器本機的NVMe SSD，以及外部儲存設備透過NVMe-oF掛載的Volume儲存區，這一類儲存裝置將被格式化為EXT4或XFS檔案系統形式後，經由Linux的VFS介面連結nvidia-fs.ko軟體元件，藉此讓儲存裝置能以DMA引擎存取GPU的記憶體。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>第2大類是檔案型儲存裝置，相容GDS的第3方檔案系統，可透過nvidia-fs.ko軟體元件，以DMA方式存取GPU記憶體。</strong></span></span></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);"> </span></span><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 102);">相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/165672" target="_blank"><span style="background-color: rgb(255, 0, 102);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1205-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=Y3cA8B0K" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpudirect-storage">GPUDirect Storage</a></div><div class="field-item even"><a href="/tags/gds">GDS</a></div><div class="field-item odd"><a href="/tags/ai%E5%84%B2%E5%AD%98%E7%94%9F%E6%85%8B%E5%9C%88">AI儲存生態圈</a></div></div></div>
2024/10/25 06:00作者張明德https://www.ithome.com.tw/tech/165668
【資安日報】10月24日，FortiManager零時差漏洞已被用於實際攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週研究人員揭露多起漏洞利用攻擊的資安事故，例如：Fortinet網路設備管理系統漏洞CVE-2024-47575、三星行動裝置處理器漏洞CVE-2024-44068、macOS作業系統漏洞CVE-2024-44133。</p> <p>其中，又以CVE-2024-47575相當值得留意，原因是這項漏洞在Fortinet尚未公開之前，已有研究人員提出警告，並有企業傳出遭受攻擊的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165625"><strong style="font-size: 22px;">勒索軟體Cicada3301鎖定VMware虛擬化平臺、NAS設備而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cicada3301-profile-min-1.png" style="width: 300px; float: right;" /></a>一般而言，勒索軟體的攻擊目標多半是Windows電腦，到了前幾年，陸續有駭客組織針對VMware虛擬化平臺ESXi開發Linux版勒索軟體，然而最近出現的新勒索軟體，更進一步做到可橫跨多個平臺運作，而引起研究人員的注意。</p> <p>資安業者Group-IB揭露從今年6月開始出沒的新興勒索軟體Cicada3301，3個月內已有30家企業組織遭受攻擊。特別的是，駭客以Rust打造勒索軟體，不只能在Windows、Linux電腦，以及VMware ESXi運作，罕見的是，網路儲存設備（NAS）、PowerPC架構的電腦，也無法倖免於難。</p> <p>此外，該勒索軟體還能終止虛擬化平臺的運作，不僅能用於前述的VMware ESXi，還能對微軟Hyper-V出手，將虛擬機器（VM）關機。</p> <p><a href="https://www.ithome.com.tw/news/165656"><strong style="font-size: 22px;">多款熱門行動程式直接將AWS與Azure帳密資料寫入程式碼</strong></a></p> <p>資安業者賽門鐵克警告，有多個熱門的Android及iOS行動程式直接在程式中寫入未加密的AWS或Azure憑證，將允許駭客破壞應用程式的後端基礎設施、竊取用戶資料，或是中斷服務。</p> <p>根據調查，有6款程式直接於程式碼庫中嵌入了未加密的AWS憑證，包括Google Play上的拼貼程式The Pic Stitch: Collage Maker，下載次數超過500萬；其他3款則是位於App Store上，包括連鎖甜點店的官方程式Crumbl，下載次數超過390萬；填寫問卷賺現金的調查應用程式Eureka: Earn money for surveys，有超過40萬次的下載；超過35萬下載量的影片編輯程式Videoshop - Video Editor Videoshop；超過24萬次下載的紙牌遊戲Solitaire Clash: Win Real Cash；以及超過23.5萬次下載量的填問卷賺現金的調查程式Zap Surveys - Earn Easy Money。</p> <p>另有6款程式嵌入的是微軟Azure憑證，包括Google Play上的叫車程式Meru Cabs，下載超過500萬次；一個針對印度市場的黃頁程式Sulekha Business，下載超過50萬次；以及可以用來緩解耳鳴的ReSound Tinnitus Relief；下載超過50萬次；超過10萬次下載的看病程式Saludsa；下載超過10萬次的車輛檢查程式Chola Ms Break In，以及另一個用來緩解耳鳴的Beltone Tinnitus Calmer，亦有逾10萬次下載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/notlockbit-ransomware-can-target-macos-devices/">勒索軟體NotLockBit鎖定macOS電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/ransomware-gangs-use-lockbits-fame-to.html">有人冒用LockBit名號發動勒索軟體攻擊，將竊得資料外傳AWS S3儲存桶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/new-grandoreiro-banking-malware.html">金融木馬Grandoreiro變種鎖定墨西哥而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165661"><strong style="font-size: 22px;">Fortinet網路設備管理平臺API漏洞出現零時差攻擊</strong></a></p> <p>10月23日資安業者Fortinet發布資安公告，指出旗下的網路設備管理平臺FortiManager存在重大漏洞CVE-2024-47575，本地建置及雲端版本皆受到影響，而且，他們已掌握用於實際攻擊行動的情況，呼籲用戶儘速套用相關更新。</p> <p>這項漏洞存在於名為fgfmd的系統元件，起因是重要功能缺乏身分驗證，導致攻擊者有機會在未經身分驗證的情況下，藉由發送偽造請求，遠端執行任意程式碼或命令，CVSS風險評分達到9.8。該漏洞影響本地建置6.2.0至7.6.0版、雲端版6.4至7.4.4版的FortiManager，該公司推出新版程式修補。</p> <p>附帶一提的是，他們也提及，部分網路分析設備FortiAnalyzer提供的相關功能模組（FortiManager on FortiAnalyzer），也同樣存在這項弱點而曝險。</p> <p><a href="https://www.ithome.com.tw/news/165660"><strong style="font-size: 22px;">三星修補已遭濫用的Exynos行動裝置處理器漏洞</strong></a></p> <p>10月7日三星發布韌體更新，修補出現在三星手機與穿戴裝置搭配的Exynos處理器的高風險漏洞CVE-2024-44068，此漏洞涉及記憶體釋放後再行利用（Use After Free），攻擊者有機會藉此提升權限，搭載Exynos 9820、9825、980、990、850、W920等處理器的裝置受到影響，CVSS風險評為8.1分。</p> <p>本漏洞是由Google威脅分析小組Clement Lecigene，以及裝置與服務安全研究小組研究人員Xingyu Jin於7月發現，並向三星通報已遭到利用的情況。他們發現攻擊者將其用來進行提升權限，並確認相關攻擊鏈能在Galaxy S10手機發動。</p> <p><a href="https://www.ithome.com.tw/news/165640"><strong style="font-size: 22px;">蘋果修補macOS的HM Surf漏洞，目前已有嘗試利用的跡象</strong></a></p> <p>今年9月蘋果發布電腦作業系統大改版macOS Sequoia 15，當中修補中度風險漏洞CVE-2024-44133，這項漏洞影響由行動裝置管理平臺（MDM）控管的裝置，應用程式有可能藉由漏洞繞過特定的隱私權組態，CVSS風險評為5.5分，通報此事的微軟近日公布相關細節，並指出他們偵測到疑似漏洞利用的情況。</p> <p>微軟威脅情報中心指出，這項漏洞有機會讓攻擊者繞過macOS的Transparency, Consent, and Control（TCC）保護機制，進行在未經授權的情況下，存取受到保護的使用者資料。研究人員將這項漏洞稱為HM Surf，並指出該漏洞涉及移除Safari瀏覽器程式資料夾的TCC防護，以及更動特定資料夾的組態檔案，使得攻擊者有機會存取使用者資料，包含瀏覽過的網頁、裝置的視訊鏡頭、麥克風、地理位置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-windows-flaw-cve-2024-30090-poc-exploit-published-posing-system-privilege-threat/">針對微軟6月修補的一系列核心層級漏洞，資安業者Devcore警告可被用來提升權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/">微軟7月修補的遠端登錄檔漏洞WinReg，若不處理攻擊者可發動NTLM中繼攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165636"><strong style="font-size: 22px;">Sophos宣布以8.59億美元買下資安廠商Secureworks</strong></a></p> <p>英國防毒廠商Sophos於10月21日宣布，以8.59億美元現金收購美國資安業者Secureworks。Secureworks為網路安全服務供應商，提供安全監控、威脅偵測及SoC服務，該公司於2011年被Dell併購，2016年Dell將之分拆上市，並成為這家資安公司的最大股東。今年8月媒體報導，Dell有意出售Secureworks，直到本週才確定由Sophos接手。</p> <p>Sophos表示，Secureworks的Taegis平臺和Sophos代管服務與安全產品可相輔相成，提供進階延伸偵測回應（XDR）及代管偵測回應（MDR）解決方案。他們計畫整合二家公司產品，使Sophos新增身分威脅偵測與回應（identity threat detection and response，ITDR）、次世代安全資訊與事件管理（SIEM）、操作科技（OT）及進階弱點風險排序等，提供滿足大、中、小型企業的產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165652"><strong>【10月23日】中國駭客組織IcePeony對亞洲國家網頁伺服器發動SQL注入攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165631"><strong>【10月22日】資安業者ESET以色列合作夥伴驚傳遭駭，駭客冒名從事網釣攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165602"><strong>【10月21日】Internet Archive再傳遭駭</strong></a></p> </div></div></div>
2024/10/24 18:42作者周峻佑https://www.ithome.com.tw/news/165683
CNCF技術委員會成員來臺揭露K8s未來三大進展，包括WebAssembly、eBPF和IT永續新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩位蘋果工程師Katie Gamanji和太田航平(Kohei Ota)，在今年Kubernetes Summit研討會第二天的主題演講中，回顧了K8s十年發展，並揭露了接下來三大發展方向。Katie Gamanji是CNCF技術監督委員會成員，她主導設立了雲原生證照KCNA認證制度和相關課程，而太田航平則是CNCF推廣大使，去年參與創立了日本雲原生社群，是日本開源社群的活躍者。</p> <p>Katie Gamanji指出，K8s是傑出的容器調度框架，關鍵是透過宣告式配置和各種自動化機制，提供了很好的移植性和適應力，今年是K8s誕生十周年，超過8萬8千人參與貢獻，橫跨8千家氣頁，超過4,200萬次上傳。十年來發展出了很完整的雲原生技術版圖（Cloud Native LandScape）。</p> <p>目前CNCF擁有190個開源專案，分布在三個不同成熟度的等級，127個處於創意解方嘗試階段的沙盒專案，37個開始有企業貢獻和採用的孵化專案，以及27個達到穩定和成熟，甚至成為業界標準的畢業專案。另外，還有些專案發展不如預期，會落入歸檔的專案，目前有9個。</p> <p>太田航平指出，因為跨不同作業系統和雲端供應商，推動了CRI（容器Runtime介面）和CNI（容器網路介面）這兩類專案的蓬勃發展，可以針對特定雲端業者量身克制，提供更多彈性，也支援更多樣化的容器執行環境。隨著大規模應用和有態工作流程的需求，帶動了CSI（容器儲存介面）和服務網格技術的興起，可用於管理超級複雜的網路流量。</p> <p>為了滿足多租戶架構，讓每個用戶可以有自己專屬的叢集，太田航平表示，K8s的叢集API成了關鍵標準化機制，可以將叢集的身分驗證功能，和底層的基礎設施脫離。透過叢集API，不論是本地端、公有雲或邊緣環境，都可以提供一致的K8s叢集建立和管理方式，也能建立一套涵蓋叢集生命周期的標準化管理方式。</p> <h3><span style="color:#FF0000;"><strong>未來K8s三大發展：WebAssembly、eBPF和永續性</strong></span></h3> <p>K8s的下一波發展，太田航平指出有三大重要機制，第一項就是WebAssembly。為何這項技術對雲原生的發展，非常重要？太田航平解釋，WebAssembly可以提供一個獨立的環境，不受限於任何開發語言、作業系統和CPU。換句話說，WebAssembly等於是提供了一個可以通吃任何開發環境、作業系統，甚至是CPU架構的執行程式。WebAssembly也是一個二進位檔案，可以用不同的開發語言編譯成這種格式的檔案，再部署到瀏覽器或非瀏覽器的環境中執行。「WebAssembly提供了一個安全、輕便而且可以在任何地方執行的環境。</p> <p>太田航平舉例說明如何用K8s開發者熟悉的GO語言、行動開發者慣用的Swift，甚至網頁開發者會用的Ruby語言，來編譯成WebAssembly的wasm格式檔，都可以很容易完成。也很容易用Docker來打包出一個可以執行WebAssembly二進位檔的容器映像檔。</p> <h3><strong><span style="color:#FF0000;">eBPF應用越來越廣，從網路處理，擴大到資安監控和可觀察性</span></strong></h3> <p>除了WebAssembly之外，第二個重要新發展是eBPF，這項技術原本只是一項用來過濾網路封包的技術，但現在的應用越來越多元，不只是網路處理，也擴大應用到資安監控和可觀察性工具上。</p> <p>太田航平指出，eBPF的威力是，在同一套一致的安全模式下，提供了低負載的過濾機制以及核心等級的程式化能力，主要透過JIT即時編譯技術和執行前驗證機制來實現。由於eBPF的程式碼具有Linux核心等級的執行能力，因此採取許多預先驗證機制，也採取了一些預防runtime時期出現意外行為的機制，例如限制可用的系統呼叫。另外，還會隨時監控資料型別和存取模式，來避免程式碼非法存取記憶體。</p> <p>目前，eBPF主要有三大應用場景，資安監控，網路路由和過濾，以及可觀察性中的矩陣數據搜集，都各有不少知名的開源專案。這三類應用都是雲原生環境運作需要的核心能力。例如像New Relic的Pixie可觀察性工具，就是用eBPF技術來取得K8s運作的矩陣數據。</p> <p>為了確保安全，eBPF二進位檔會先載入到用戶空間，經過各種執行前驗證檢查後，才會把檔案放入到核心空間，再用JIT編譯器完成編譯後，才允許連結到系統呼叫。<br /> 最後一項K8s的新發展方向是永續性。</p> <h3><span style="color:#FF0000;"><strong>技術部門若不行動，未來技術碳排不減反而會大增</strong></span></h3> <p>Katie Gamanji指出，根據調查，全球碳排放量有1.4%來自技術部門，如果將資料中心和資訊基礎架構改用再生能源來運作，可以減少80%的碳排，但是，目前技術部門的行動力不夠，導致技術部門未來十年產生碳排量，不但不會減少，反而預估還會增加了10%。</p> <p>「如何讓技術部門可以觀察，紀錄和評估他們自己的碳排放，在雲原生環境中，需要新的工具來解決這個課題。」Katie Gamanji指出。這正是K8s接下來在永續性的發展方向。目前K8s有兩項重要的永續工具，第一個Kepler專案，可以用來追蹤K8s的能耗，另一個工具則是碳察覺KEDA工具，可以依據碳排量數據變化來調度的自動擴充機制。</p> <p>Kepler利用了eBPF技術來探測K8s叢集在系統層級的能耗數據，再匯出到Prometheus中彙整，可以用Gafana來視覺化，這項專案是由IBM和紅帽在2022年發起，2023年捐給CNCF基金會，目前處於沙盒階段，意味著還是一項新興的創意嘗試解決專案，還沒有足夠多的企業案例，也很需要嘗試者來貢獻意見。Kepler可以追蹤到不同命名空間，甚至是每一個容器，每一天的碳排數據變化。若用命名空間來區分不同的應用，就可以找出碳排量特別高的應用系統。</p> <h3><strong><span style="color:#FF0000;">不只追蹤碳排數據，還可依碳排密度自動調度K8s叢集</span></strong></h3> <p>有了追蹤碳排數據的工具後，如何運用到K8s叢集的調度上，另一個關鍵工具就是具備碳察覺自動擴充操作器Carbon Aware KEDA Operator。KEDA（Kubernetes Event-driven Autoscaling）專案是一項K8s的自動擴充、縮小叢集規模工具，可以用事件驅動來觸發。碳察覺KEDA操作器則是可以讓KEDA工具，可以依據叢集外部的事件，來調整應用程式的規模，達到碳排放量調整的效果。</p> <p>例如可以設計系統使用「碳排密度」指標來調整規模，碳排放量密度是一個新興的綠色IT指標，以每千瓦小時排放多少二氧化碳量來計算。可以在配置檔中，透過KEDA Scaler CRD或自定義資源設定，來定義不同碳排密度事件的層級，當密度高時，自動降低應用系統的副本數量，來達到減少碳排的效果。</p> <p>Katie Gamanji表示，參與CNCF專案有很多種形式，不一定要貢獻程式碼，也可以參與白皮書制定，或加入工作小組。例如有不少中小企業參與了形形色色各種議題的技術諮詢小組，雲原生生態圈是一個隨著更多參與和互動，而不斷改變的環境，需要一個健康的社群來支持，社群也需要永續的發展。</p> </div></div></div>
2024/10/24 18:28作者王宏仁https://www.ithome.com.tw/news/165682