iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 23篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 135 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

提供1,920顆CPU與32T記憶體，AWS推二代巨量記憶體執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_u7i-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對需要配置較多記憶體容量的應用系統建置與執行需求，全球三大公有雲業者都提供記憶體最佳化的運算服務，單就這類型的虛擬機器／執行個體而言，記憶體容量最大可配置到何種程度，以便因應超大型記憶體內資料庫系統的工作負載？</p> <p>以微軟Azure為例，<a href="https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/memory-optimized/mdsv3-very-high-memory-series">Mv3系列</a>提供1,792顆vCPU與30,400 GiB記憶體的虛擬機器，<a href="https://techcommunity.microsoft.com/blog/sapapplications/m-series-announcements-%E2%80%93-ga-of-mv3-high-memory-and-details-on-mv3-very-high-memo/4235719">在去年9月正式推出</a>，採用英特爾第四代Xeon Scalable處理器（Xeon Platinum 8490H）；若是<a href="https://cloud.google.com/compute/docs/memory-optimized-machines">Google Cloud，X4系列</a>提供1,920顆vCPU與32,768 GiB記憶體的虛擬機器，是在<a href="https://cloud.google.com/blog/products/compute/compute-engine-c3-bare-metal-and-x4-machine-types-now-ga">去年8月</a>正式推出，採用英特爾第四代Xeon Scalable處理器（Xeon Platinum 8490H）；對於AWS而言，EC2的U7i系列提供896顆vCPU與32,768 GiB記憶體的虛擬機器，在<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases/">去年5月正式推出</a>，同年12月增設U7inh組態（u7inh-32tb.480xlarge），提供1,920顆vCPU與32,768 GiB記憶體的裸機系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-protfolio-2024-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-protfolio-2024-12-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-protfolio-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-protfolio-2024-12.jpg" style="width: 600px;" /></a></p> <p>回顧過去，AWS先前針對大型記憶體內資料庫系統提供的雲端執行個體，最早是2016年5月發表的<a href="https://press.aboutamazon.com/2016/5/amazon-web-services-announces-availability-of-x1-instances-for-amazon-ec2">EC2 X1系列</a>，搭配Haswell架構的Xeon E7 8880 v3處理器，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2016/05/now-available-x1-instances-the-largest-amazon-ec2-memory-optimized-instance-with-2-tb-of-memory/">記憶體容量提供1,952 GiB</a>，隔年推出配備3,904 GiB記憶體的執行個體選擇；接著是2018年9月發表的<a href="https://press.aboutamazon.com/2018/9/aws-announces-new-amazon-ec2-high-memory-instances-for-large-in-memory-databases">EC2 U1系列</a>，搭配Skylake架構的Xeon Scalable處理器Xeon Platinum 8176M，<a href="https://www.businesswire.com/news/home/20180927005961/en/AWS-Announces-New-Amazon-EC2-High-Memory-Instances-for-Large-In-Memory-Databases">執行個體可配備12 TB記憶體</a>，隔年10月U1<a href="https://aws.amazon.com/tw/about-aws/whats-new/2019/10/now-available-amazon-ec2-high-memory-instances-purpose-built-run-large-in-memory-databases/">執行個體可配備24 TB記憶體</a>，搭配Cascade Lake架構的Xeon Scalable處理器Xeon Platinum 8280L。</p> <p>接下來，則是2023年11月底發表的EC2 U7i系列，可支援多種大型記憶體內資料庫系統，像是SAP HANA、Oracle、SQL Server的部署，AWS此時宣布開放U7i系列的預覽測試，提供記憶體容量分別為16 TiB、24 TiB、32 TiB的執行個體，也就是u7in-16tb.224xlarge、u7in-24tb.224xlarge、u7in-32tb.224xlarge，而且正在發展12 TiB的執行個體u7i-12tb.224xlarge，這些虛擬機器都採用英特爾第四代Xeon Scalable處理器（代號Sapphire Rapids）的專屬訂製款式，每一臺均搭配896顆vCPU。</p> <p>關於效能表現的增長，<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases-preview/">根據AWS當時的預告</a>，比起第一代記憶體最佳化執行個體U-1系列，U7i系列處理器運算效能可提升25％，記憶體效能提升20％，存取雲端區塊儲存服務的網路頻寬大多都提升至2.5倍（25 Gbps vs. 100 Gbps，u7i-12tb.224xlarge的EBS頻寬為60 Gbps）。</p> <p>隔年5月AWS宣告U7i系列正式上線，提供4個執行個體組態，比起U1系列，運算效能提升幅度上修為35％，記憶體效能提升幅度改為15％，<a href="https://aws.amazon.com/about-aws/whats-new/2024/05/amazon-ec2-high-memory-u7i-instances/?nc1=h_ls">性價比增加45％</a>，EBS存取頻寬的增長大多與先前預告一致，執行個體重新啟動速度則為U1系列的2.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/U7i-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/U7i-2024-12.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-2.jpg" style="width: 600px;" /></a></p> <p>而在網路規格的部分，去年11月預告U7i系列提供100 Gbps的頻寬，等到5月正式上線之後，u7in-16tb.224xlarge、u7in-24tb.224xlarge、u7in-32tb.224xlarge的網路頻寬，均提高至200 Gbps，u7i-12tb.224xlarge維持100 Gbps。關於網路配接卡，<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases/">U7i系列全都支援ENA Express</a>，可支援每個流向配置25 Gbps頻寬，若以執行個體之間的存取而言，P99.9存取延遲指標（呈現極端或特殊狀況性能）的表現可因此改善85％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-6.jpg" style="width: 600px;" /></a></p> <p>在此同時，AWS EC2 U7i系列也獲得SAP認證，可用來執行SAP旗下多種商用軟體，像是：SAP Business Suite on HANA（SoH）、SAP Business Suite 4 SAP HANA（S/4 HANA）、SAP Business Warehouse on HANA （BW/4HANA），作為正式的生產環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-7.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，AWS這項雲端服務上線時，也標榜他們是第一家<a href="https://aws.amazon.com/about-aws/whats-new/2024/05/amazon-ec2-high-memory-u7i-instances/?nc1=h_ls">基於8路運算架構</a>，而能提供巨量DDR5記憶體執行個體組態的雲端業者。</p> <p>到了12月，AWS接連宣布U7i系列增設更多執行個體組態，而且在這個月之內陸續通過SAP硬體驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Certified and Supported SAP HANA Hardware-6TB-32TB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Certified%20and%20Supported%20SAP%20HANA%20Hardware-6TB-32TB.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-5.jpg" style="width: 298px;" /></a></p> <p>首先是在12月9日，AWS開始正式提供記憶體容量為6 TiB與8 TiB的U7i執行個體：u7i-6tb.112xlarge、u7i-8tb.112xlarge，vCPU數量均為448個；一週之後，AWS開始正式提供記憶體容量為32 TiB的U7inh執行個體：U7inh-32tb.480xlarge，vCPU數量增加至1,920個，EBS儲存頻寬也躍升1.6倍、來到160 Gbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U7inh-2024-12.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-4.jpg" style="width: 600px;" /></a></p> <p>令人意外的是，AWS特別表明此處採用其他廠商的16路伺服器：HPE Compute Scale-up Server 3200，並且將其建置在AWS Nitro System當中，以便與其他EC2執行個體完全整合、提供一致的管理方式，而且U7inh-32tb.480xlarge仍是虛擬機器，並非裸機。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EC2%20Memory%20Optimized-Nitro.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro-2024-12.jpg" style="width: 298px;" /></a></p> <p>不過，AWS為何刻意採用HPE Compute Scale-up Server 3200建置U7inh？他們並未詳細說明這麼做的考量，只提到兩件事：首先，這是他們與HPE合作建置而成的雲端運算服務，以及可執行最大型的記憶體內資料庫工作負載，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-high-memory-u7inh-instance-on-hpe-server-for-large-in-memory-databases/">或將原本執行在HPE硬體系統的工作負載遷移到AWS使用</a>。對比於Google Cloud在2024年8月正式推出的X4，雖然他們僅提供3種組態，但當時已能提供1,920顆vCPU與32,768 GiB記憶體的裸機系統，可惜並未透露所用的硬體設備來源。</p> <p>就產品特色而言，HPE Compute Scale-up Server 3200有何能耐是AWS可能必須仰仗的？基本上，這是專門針對大型關鍵應用系統建置需求的產品，於2023年底正式推出，本身是可透過多臺模組化機箱擴充執行規模的機架式伺服器系統。</p> <p>在處理器方面，企業可搭配8至60顆核心的英特爾第四代Xeon Scalable，並且支援多種安裝數量的組態：4顆（單臺5U機箱）、8顆（2臺5U機箱）、12顆（3臺5U機箱）、16顆（4臺5U機箱）；記憶體方面，企業可在此搭配單支容量為32 GiB至128 GiB的DDR5-4800。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/oly1yO5pKNc?si=LxTa4P8fk_-ULqKC" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>單就每顆處理器而言，這套系統的設置是各自對應16個記憶體插槽，因此，整臺伺服器最大能提供32 TB容量的共享記憶體（16顆處理器x 16個記憶體插槽 x 128 GiB記憶體 = 32,768 GiB），符合AWS EC2 U7inh-32tb.480xlarge的32,768 GiB記憶體配置。。</p> <p>而在伺服器的處理器的配置上，由於HPE Compute Scale-up Server 3200最高可搭配60顆核心、120個執行緒的Intel Xeon-Platinum 8490H，若採用16路運算配置，整臺伺服器系統可提供960顆核心、1,920個執行緒，而能對應到AWS EC2 U7inh-32tb.480xlarge的1,920顆vCPU配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 3200-1-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%203200-1-2023.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 3200-2-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%203200-2-2023.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 U7i系列</strong></span><br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，美國西部（奧勒岡）區域，u7i-6tb.112xlarge每小時62.79美元（448顆vCPU、6TiB記憶體）<br /> ●採用處理器：英特爾第四代Xeon Scalable系列 <br /> ●提供服務規模選擇與最大組態：<br /> u7inh-32tb.480xlarge，1,920顆虛擬處理器、32TiB記憶體、網路頻寬為200 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，EBS存取頻寬為160 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/14 14:44作者李宗翰https://www.ithome.com.tw/review/166917
Ivanti旗下SSL VPN系統Connect Secure存在零時差漏洞，臺灣曝險數量全球第三
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月8日<a href="https://www.ivanti.com/blog/security-update-ivanti-connect-secure-policy-secure-and-neurons-for-zta-gateways">資安業者Ivanti發布資安公告</a>，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282、CVE-2025-0283，CVSS風險分別為9.0、7.0，一旦遭到利用，攻擊者就有機會遠端執行任意程式碼，或是在本機提升權限。</p> <p>值得留意的是，當時該公司透露，他們已經掌握有部分Connect Secure系統遭到CVE-2025-0282攻擊的情況，不過，Policy Secure及Neurons for ZTA閘道用戶並未傳出類似事故。Ivanti已為Connect Secure用戶發布22.7R2.5版修補上述漏洞，但另外兩款產品的部分，該公司預計在1月21日才會提供相關更新。</p> <p>對此，美國網路安全暨基礎設施安全局（CISA）也<a href="https://www.cisa.gov/news-events/alerts/2025/01/08/ivanti-releases-security-updates-connect-secure-policy-secure-and-zta-gateways">將CVE-2025-0282納入已遭利用的漏洞（KEV）列表</a>，並要求聯邦機構必須於15日前完成修補。</p> <p>針對這起事故，<a href="https://cloud.google.com/blog/topics/threat-intelligence/ivanti-connect-secure-vpn-zero-day">協助調查的資安業者Mandiant指出</a>，他們確認CVE-2025-0282在12月中旬就有人當做零時差漏洞用於實際攻擊，其中一組人馬的身分是與UNC5221有關的中國駭客組織UNC5337，他們於受害系統部署一系列的惡意程式，其中包含了惡意程式部署工具Spawnant、隧道工具Spawnmole、SSH後門程式Spawnsnail。</p> <p>此外，研究人員發現過往未曾公布的惡意程式Dryhook、Phasejam，但無法確認背後的攻擊者身分。究竟有多少駭客鎖定這項漏洞下手，他們也尚未取得足夠的資料而不能確定。</p> <p>一旦駭客找到存在漏洞的Connect Secure，便會停用SELinux、防止系統事件記錄發送，然後重新掛載磁碟取得讀寫權限、寫入指令碼並執行、植入Web Shell，最終下達sed命令移除特定的事件記錄資料，然後再重新啟用SELinux並重新掛載磁碟。</p> <p>值得一提的是，研究人員特別提及後門程式Phasejam會竄改Connect Secure的元件，在特定CGI檔案植入Web Shell，並竄改指定檔案封鎖正常的系統更新管道。但在此同時，攻擊者也提供假的系統更新了愚弄管理員，使得相關作案工具及後門程式能持續留在受害系統。</p> <p>究竟有多少Connect Secure曝險？根據Shadowserver基金會的掃描，<a href="https://x.com/Shadowserver/status/1877635751984111870">他們在9日看到約有2048臺伺服器存在漏洞</a>，其中最多的是美國、法國、西班牙、英國，值得留意的是，臺灣有84臺，曝險數量全球排名第五。</p> <p>該基金會後續再度掃描，12日指出<a href="https://x.com/Shadowserver/status/1878792657889341829">尚未修補的伺服器數量已大幅減少</a>，剩下約800臺未修補漏洞。但值得留意的是，<a href="https://dashboard.shadowserver.org/statistics/combined/tree/?day=2025-01-12&source=exchange&source=exchange6&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-0282%2B&geo=all&data_set=count&scale=log">此時臺灣仍有79臺尚未修補</a>，數量為全球第三，僅次於美國和西班牙的192、113臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" style="width: 580px;" /></a></p> </div></div></div>
2025/1/14 12:02作者周峻佑https://www.ithome.com.tw/news/166944
研究人員開源效能比美o1 Preview的推理AI模型，訓練成本僅450美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國柏克萊大學研究人員上周<a href="https://novasky-ai.github.io/posts/sky-t1/" target="_blank">開源</a>他們自建的推理（reasoning）AI模型，訓練成本只要450美元。</p> <p>柏克萊大學（UC of Berkeley）Sky Computing實驗室下的NovaSky團隊，上周發表了Sky-T1-32B-Preview推理模型，宣稱在常見的理解及程式標竿測試效能，和OpenAI的o1-preview相當。</p> <p>研究團隊的動機在於，推理模型如OpenAI o1或<a href="https://www.ithome.com.tw/news/166597" target="_blank">Gemini 2.0 Flash Thinking Mode</a>能內部產生很長的思維鏈（chain of thought），擅長解決複雜問題。但是這些模型技術細節及模型權重不對外開放，難為學術及開源社群使用。現有Still-2、Journey開源推理模型較側重數學領域，研究團隊因此希望能開發出涵蓋更廣領域的開源推理模型。</p> <p>研究團隊是以QwQ-32B-Preview模型生成訓練資料。經過拒絕採樣（rejection sampling），最後的訓練資料集為約17,000筆資料，包括APPs和TACO資料庫的5,000行程式、NuminaMATH資料集下的AIME、MATH及Olympiads子資料集，以及約1,000筆STILL-2生成的科學和解題資料，以求涵蓋各領域。</p> <p>新模型是以QwQ- 32B-Instruct作為基礎模型微調。在8顆H100的平臺上使用DeepSpeed Zero-3 offload優化技術，並以Llama-Factory花了19小時訓練完成。</p> <p>完成的Sky-T1-32B-Preview模型在數學和編碼基準測試中，效能表現與OpenAI的o1-preview相當。而且所有測試項目結果也優於基礎的Qwen-2.5-32B-Instruct。</p> <p class="rtecenter"><a href="http://novasky-ai.github.io/posts/sky-t1/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0114-Sky-T1-32B-Preview-Evaluation.png" style="width: 600px;" /></a></p> <p>若不計算硬體，這個模型訓練成本不到450美元，研究人員說，這顯示低成本訓練方法也能有效複製高階推理能力。Sky-T1-32B-Preview模型程式碼、權重等資源已經開源於<a href="https://github.com/NovaSky-AI/SkyThought" target="_blank">GitHub</a>上。</p> </div></div></div>
2025/1/14 12:48作者林妍溱https://www.ithome.com.tw/news/166945
拜登政府祭AI出口管制法規，Nvidia等業界批評自廢武功
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部工業和安全局（Bureau of Industry and Security，BIS）昨（13）日<a href="https://public-inspection.federalregister.gov/2025-00636.pdf" target="_blank">發布</a>《人工智慧擴散出口管制框架》（The Export Control Framework for AI Diffusion）暫行最終規則（Interim final rule，IFR），限制美國進階AI技術及GPU出口，以防範流向敵國。但此規則引發美國資訊業界，包括Nvidia、甲骨文等業者的批評，指該規則可能效果不彰，且將削弱美國在AI的領導地位，反而助長中國實力。</p> <p>商務部的管制框架針對運算IC（晶片）及最進階AI模型權重的出口或境內移轉建立全球許可制，這些技術的出口、境內轉移，美國政府都要根據目的地敏感性、運算效能數量、AI模型效能，以及安全要求加以審查。首先，該框架劃定了20個出口盟國，美國企業可以自由出口。這20個盟國包含主要西方盟國、以及臺灣、南韓、日本。</p> <p>非盟國就面臨一些限制。和美國有密切往來的140多個國家，包括以色列、新加坡、巴西、印度、印尼、馬來西亞和墨西哥，將受到出口上限的限制，必須申請許可才能獲得先進的AI技術，且完全禁止向美國對手出口。</p> <p>供應鏈活動可被豁免，因此晶片可以移動到需要封裝或測試的地方。大學、醫療、研究機構採購晶片在一定總處理效能（TPP）以下不需授權，也不計入國家採購晶片限額。</p> <p>另外，企業要在全球建立資料中心，美國和某些夥伴國家/地區的公司只需要美國商務部工業和安全局的單一授權。而擁有資料中心營運商欲建立國家資料中心，則必須向BIS申請取得授權。二種資料中心營運商授權分別名為UVEU（Universal Verified End-User）及 NVEU（National Verified End-User）授權。</p> <p>最後，進階模型的模型權重禁止轉移到「不受信任的參與者」，但該規則不適用於開源模型。</p> <p>商務部給企業一年的時間遵守這些規則，本規則開放120天的評論，商務部長Gina Raimondo表示，這將給下一任（即川普）政府收集意見的機會。</p> <p><span style="color:#B22222;"><strong>反對意見</strong></span></p> <p>科技業者對此規則表達了強烈反對意見。Nvidia<a href="https://blogs.nvidia.com/blog/ai-policy/" target="_blank">批評</a>世界各地的公司、初創公司和大學都在利用主流AI來推動醫療、農業、製造、教育和眾多領域的發展。AI以美國技術為基礎，在全球推動了國內外產業成長。在任期的最後幾天，拜登政府現在試圖通過其前所未有的「誤導性」AI擴散規則限制對主流運算應用程式的存取，可能破壞全球創新和經濟增長，且削弱美國的領導地位。</p> <p>甲骨文則<a href="https://www.oracle.com/news/announcement/blog/export-control-diffusion-confusion-2025-01-05/" target="_blank">指出</a>，商務部的規則草案過於複雜且過於廣泛，以國家安全的名義監管人工智慧和 GPU。甲骨文批評IFR無視GPU及其嵌入系統都是由美國雲端供應商部署及密切監控，所謂不受限制濫用GPU，及轉移或集合使用的擔憂毫無根據，IFR企圖監管全球幾乎所有的商業雲端運算，是前所未見，他們相信該規則可導致美國流失高達80%的AI晶片市占率，拱手交給中國。</p> <p>資訊科技及創新基金會（Information Technology & Innovation Foundation）也<a href="https://itif.org/publications/2025/01/07/export-controls-on-ai-chips-bidens-overreach-risks-us-leadership-in-tech/" target="_blank">指出</a>監控國家出口的運算總量，既不切實際、也無法公平。他們還指出，IFR忽略了，即使中國無法取得最高階GPU進行AI運算，也能用更多一般GPU來達到同樣效能。他們認為為AI運算建立全球化的國家上限系統，與對藥品進行價格管制一樣糟糕，也阻礙下一任政府對核心挑戰以及應對的評估。</p> </div></div></div>
2025/1/14 10:59作者林妍溱https://www.ithome.com.tw/news/166943
開發者該懂的商用英語
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gong_cheng_shi_ying_yu_shi_yong_shou_ze_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">EZ叢書館</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員最困難的工作之一是估算開發進度。開發人員通常會被專案經理或客戶要求估算整體開發進度。以下是一篇英文電子郵件範例，假設情境是要求估算開發進度和相關回覆。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>請求估算開發進度的信件</strong></span></span></p> <p><span style="color:#000000;"><em> Request for </em></span><strong><span style="color:#008000;"><em>Development Timeline Estimation</em></span></strong><span style="color:#000000;"><em><strong> </strong>for [Feature/Project Name] </em></span></p> <p><em> 請求估算[功能/專案名稱]<span style="color:#008000;"><strong>開發進度</strong> </span></em></p> <p><em><strong><span style="color:#008000;">Dear </span></strong>Justin,</em></p> <p><em><strong><span style="color:#008000;">致</span></strong> 賈斯丁，</em></p> <p><em>I hope this email finds you well. We are currently in the planning phase for [feature/project name] and<strong> <span style="color:#008000;">would appreciate it if </span></strong>you could provide an estimated timeline for its development.</em></p> <p><em>希望您能順利收到這封電子郵件。我們目前正處於[功能/專案名稱]的規劃階段，如果您能提供開發的預估時程表，我們<strong><span style="color:#008000;">將萬分感激</span></strong>。</em></p> <p><em>Could you please review the project scope and <strong><span style="color:#008000;">deliverables</span></strong> and give us an estimate on <strong><span style="color:#008000;">how long it will take</span></strong> to complete?</em></p> <p><em>您是否能評估專案範圍和<strong><span style="color:#008000;">可交付成果</span></strong>，並估計完成<strong><span style="color:#008000;">所需時間</span></strong>？</em></p> <p><em>Thank you for your time. We<strong> </strong><span style="color:#008000;"><strong>look forward </strong>to</span> your response.</em></p> <p><em>感謝您抽出時間。我們<strong><span style="color:#008000;">期待</span></strong>您的回覆。</em></p> <p><em>Best regards,</em></p> <p><em>John Smith</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>請求估算開發進度的回覆信件</strong></span></span></p> <p><em><strong><span style="color:#008000;"> Re</span>: </strong>Request for <strong><span style="color:#008000;">Development Timeline Estimation</span></strong> for [Feature/ Project Name] </em></p> <p><em><strong> <span style="color:#008000;">回覆</span>：</strong>請求<strong><span style="color:#008000;">估算</span></strong> [功能/專案名稱] <strong><span style="color:#008000;">開發進度 </span></strong></em></p> <p><em>Dear Steven,</em></p> <p><em>致史帝芬，</em></p> <p><em>Thank you for<span style="color:#008000;"> </span><strong><span style="color:#008000;">reaching out.</span> </strong>After a<strong><span style="color:#008000;"> thorough</span></strong> review of the project scope and deliverables, our estimate for the development of [feature/project name]<strong> <span style="color:#008000;">is as follows</span></strong>.</em></p> <p><em>感謝您的<strong><span style="color:#008000;">聯絡</span>。</strong>經過<strong><span style="color:#008000;">充分</span></strong>評估專案範圍和可交付成果後，我們對 [功能/專案名稱] 的開發估算<strong><span style="color:#008000;">如下</span></strong>。</em></p> <p><em>Key Points:</em></p> <p><em>要點：</em></p> <p><em>• Estimated Timeframe: <strong><span style="color:#008000;">approximately</span> </strong>6-8 weeks</em></p> <p><em>預計時程：<strong><span style="color:#008000;">大約</span></strong>6-8週</em></p> <p><em>• Scope: [brief description of the<strong><span style="color:#008000;"> project scope</span></strong>]</em></p> <p><em>範圍：[<strong><span style="color:#008000;">專案範圍</span></strong>的簡要描述]</em></p> <p><em>• Deliverables: [list of <strong><span style="color:#008000;">deliverables</span> </strong>to be provided]</em></p> <p><em>可交付成果：[提供<strong><span style="color:#008000;">可交付成果</span></strong>的清單]</em></p> <p><em>Please Note:</em></p> <p><em>請注意：</em></p> <p><em>• This is a <strong><span style="color:#008000;">preliminary</span></strong> estimate.</em></p> <p><em>這是<strong><span style="color:#008000;">初步的</span></strong>估算。</em></p> <p><em><strong>• <span style="color:#008000;">Subject to </span></strong>change based on<span style="color:#008000;"> f</span><strong><span style="color:#008000;">urther</span> </strong>discussions and clarification of requirements.</em></p> <p><em>根據<strong><span style="color:#008000;">進一步</span></strong>的討論和明確的需求，<strong><span style="color:#008000;">可能</span></strong>有所變動。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>會議請求和日程確認的信件</strong></span></span></p> <p>無論規模或預算如何，明確訂定專案需求是一項艱鉅的任務。因此，一旦有需要明確訂定的需求，就要召集相關人員開會。以下是會議請求電子郵件範例，用於明定專案需求。</p> <p><em> Request for <strong><span style="color:#008000;">Meeting to Discuss</span> </strong>Requirements for [Feature/Project Name] </em></p> <p><em><strong><span style="color:#008000;"> 討論</span></strong>[功能/專案名稱]需求的<strong><span style="color:#008000;">會議</span></strong>請求 </em></p> <p><em>Dear Steven,</em></p> <p><em>I hope you’re having a good day. As we are in the planning phase of the [feature/project name], I believe<strong><span style="color:#008000;"> it's crucial</span> </strong>for us to have a clear understanding of the requirements.</em></p> <p><em>希望你今天過得愉快。由於我們正處於[功能/專案名稱]的規劃階段，我認為清楚了解需求對我們<strong><span style="color:#008000;">至關重要</span></strong>。</em></p> <p><em>So, I would like to propose <strong><span style="color:#008000;">a meeting to discuss</span> </strong>the following:</em></p> <p><em>因此，我提議召開一次<strong><span style="color:#008000;">會議</span></strong>，<strong><span style="color:#008000;">討論</span></strong>以下問題：</em></p> <p><em>•<strong> <span style="color:#008000;">Detailed </span></strong>requirements for features</em></p> <p><em>功能<strong><span style="color:#008000;">詳細</span></strong>需求</em></p> <p><em>• <strong><span style="color:#008000;">Expected</span> </strong>deliverables</em></p> <p><em><strong><span style="color:#008000;">預期</span></strong>交付成果</em></p> <p><em>•<span style="color:#008000;"> <strong>Potential </strong></span>challenges and solutions</em></p> <p><em><strong><span style="color:#008000;">潛在的</span></strong>挑戰和解決方案</em></p> <p><em><strong><span style="color:#008000;">Would you be available</span></strong> for a meeting on [date] at [time]? If not, please suggest <strong><span style="color:#008000;">alternative</span> </strong>dates and times that work for you.</em></p> <p><em>[日期] [時間]<strong><span style="color:#008000;">您可以</span></strong>參加會議嗎？如果不行，請建議適合您的<strong><span style="color:#008000;">替代</span></strong>日期和時間。</em></p> <p><em><strong><span style="color:#008000;">Looking forward to </span></strong>your response.</em></p> <p><em><strong><span style="color:#008000;">期待</span></strong>您的回覆。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p>會議日程確定後，通常會在2～3天前發送電子郵件，確認是否能如期參加會議。以下是確認是否出席會議的英語電子郵件範例。</p> <p><em><span style="color:#008000;"><strong> Confirmation </strong></span>for Meeting on [Date] to Discuss [Feature/Project Name] </em></p> <p><em> <span style="color:#008000;"><strong>確認 </strong></span>[日期] <span style="color:#008000;"><strong>會議</strong></span>日程以討論 [功能/專案名稱] </em></p> <p><em>Dear Steven,</em></p> <p><em>I hope all is well with you. As we have a scheduled meeting <span style="color:#008000;"><strong>on [date] at [time] </strong></span>to discuss the requirements for [feature/ project name], I wanted to confirm if <span style="color:#008000;"><strong>we are still on track</strong></span> for this meeting.</em></p> <p><em>希望您一切都好。由於我們計劃<span style="color:#008000;"><strong>於 [日期] [時間] </strong></span>召開會議，討論[功能/項目名稱]的需求，我想確認我們<span style="color:#008000;"><strong>是否仍按計劃</strong></span>進行本次會議。</em></p> <p><em>Please let me know if the date and time<span style="color:#008000;"><strong> still work for you</strong></span> or if there are any changes needed.</em></p> <p><em>請告訴我該日期和時間<span style="color:#008000;"><strong>是否仍然適合您</strong></span>，或是否需要進行任何更改。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>[NOTE]估算開發時程的方法</strong></span></span></p> <p>估算開發時程的方法有三種，由上而下(top-down)、由下而上(down-top)、類比 (analogous)估算法和三點(tree-point)估算法等。如果了解以下與開發時程估算有關的用語和英語表達，可使溝通更加順暢。</p> <p><em><strong>• <span style="color:#008000;">Top-down estimating</span></strong><span style="color:#008000;"> </span>involves breaking down the work from <strong><span style="color:#008000;">the highest level of deliverables </span></strong>and expertise to estimate the duration and cost.</em></p> <p><span style="color:#008000;"><em><strong>由上而下估算法</strong></em></span>是從<em><strong><span style="color:#008000;">最高階段的可交付成果</span></strong></em>拆解工作，以專業知識估算任務工期和成本。</p> <p><em><strong>•<span style="color:#008000;"> Bottom-up estimating</span> </strong>starts with<strong> <span style="color:#008000;">the most detailed level of tasks</span></strong><span style="color:#008000;"> </span>and aggregates them to give an overall estimate.</em></p> <p><span style="color:#008000;"><em><strong>由下而上估算法</strong></em></span>是從<span style="color:#008000;"><em><strong>最細部的任務層級</strong></em></span>開始，再匯整之後進行總體估算。</p> <p><em><strong>• <span style="color:#008000;">Analogous estimating</span><span style="color:#000000;"> </span></strong><span style="color:#000000;">uses</span> data from past projects that are similar to the current project to estimate duration and cost.</em></p> <p><em><strong><span style="color:#008000;">類比估算法</span></strong></em>是參考與目前專案<em><strong><span style="color:#008000;">相似的以往專案</span></strong></em>，根據其資料來估算任務工期和成本。</p> <p><em><strong>• <span style="color:#008000;">Three-point estimating</span> </strong>uses optimistic, pessimistic, and most likely <span style="color:#008000;"><strong>scenarios </strong></span>to provide a range of estimates.</em></p> <p><em><strong><span style="color:#008000;">三點估計法</span></strong></em>使用樂觀、悲觀和最可能的<em><strong><span style="color:#008000;">情境</span></strong></em>來提供估算的範圍。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體工程師的英語使用守則》，EZ叢書館提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E5%B7%A5%E7%A8%8B%E5%B8%AB%E8%8B%B1%E8%AA%9E%E4%BD%BF%E7%94%A8%E5%AE%88%E5%89%87-600(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_EZ叢書館</span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">軟體工程師的英語使用守則（English for Developers）</span></strong></span></p> <p>崔煕哲／著；謝宜倫／譯</p> <p>EZ叢書館出版</p> <p>定價：420元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E8%8B%B1%E8%AA%9E%E4%BD%BF%E7%94%A8%E5%AE%88%E5%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%B4%94%E7%86%99%E5%93%B2.png" style="width: 150px;" /></p> <p><a href="https://yozm.wishket.com/magazine/@wisizkai/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_崔熙哲</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>崔熙哲</strong></p> <p>崔熙哲是一名軟體開發人員，現正經營Gomcine IT等多個部落格。自2010年起，於LG CNS擔任軟體工程師，參與LG電子物流系統建置、智慧電視作業系統開發以及LG化學行動專案等業務。他於2017年移居美國，成為一名軟體開發自由工作者，目前為拓展人工智慧和機器學習領域的經歷，正在美國麻薩諸塞州立大學攻讀電腦工程碩士學位。</p> </div></div></div>
2025/1/14 10:13未署名https://www.ithome.com.tw/article/166942
甲骨文拒絕撤銷JavaScript商標，Deno準備開打官司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deno向美國專利商標局<a href="https://www.ithome.com.tw/news/166238">提出請願</a>，要求撤銷甲骨文（Oracle）對JavaScript商標的所有權，理由是該名稱已成為全球通用技術名稱，且甲骨文多年未有效使用商標。然而，<a href="https://x.com/deno_land/status/1876728474666217739">甲骨文拒絕自願撤回商標</a>，並將提交正式答辯，案件進入法律程序。雙方的法律攻防預計圍繞在商標的通用化、詐欺行為及未使用狀態上，整體訴訟流程可能持續至2026年，訴訟結果可能會對JavaScript名稱的使用產生重大影響，進一步影響全球技術社群。</p> <p>美國專利商標局（USPTO）於2024年11月收到Deno提交的請願，要求取消甲骨文對JavaScript商標的所有權。Deno指出，JavaScript該名稱已成為全球技術社群的通用語言名稱，商標應回歸公共領域，避免法律限制影響技術社群的發展。</p> <p>Deno同時指控甲骨文在2019年商標續展過程中提交虛假證據，使用與Node.js相關的內容作為商業使用的證明，但Node.js與甲骨文完全無關。此外，Deno認為甲骨文多年未實際使用該商標，違反了美國法律對商標使用的最低要求。</p> <p>甲骨文近期回應，明確拒絕撤回商標，並計畫於2025年2月3日前提交正式答辯書。Deno創辦人Ryan Dahl表示，訴訟的核心將聚焦在商標通用化（Genericide）、詐欺與未使用三大主張。訴訟程序將於2025年3月5日進入證據揭露階段（Discovery），雙方交換證據並進行調查，該階段預計持續至9月。</p> <p>Deno的行動獲得技術社群廣泛支持，包括JavaScript主要創造者Brendan Eich在內，已有超過1.4萬名開發者簽署公開信，呼籲甲骨文放棄商標權。一旦訴訟成功，JavaScript名稱將成為開放資產，允許技術活動、標準名稱和商業應用中自由使用該名稱，不再受限於商標規範。</p> </div></div></div>
2025/1/14 08:08作者李建興https://www.ithome.com.tw/news/166932
Git 2.48加速版本控制與建置效能，引入Meson支援跨平臺開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Git在2025年初推出了<a href="https://github.blog/open-source/git/highlights-from-git-2-48/">2.48版本</a>，這是今年的首次更新，涵蓋多項提升效能並改善內部結構的功能強化，提供開發者更穩定的版本控制工具。該版本的重要更新包括改進SHA-1校驗碼的計算方式，並解決長期存在的記憶體洩漏問題，以及進一步改進range-diff的功能支援，提供更高效與精確的版本控制功能。</p> <p>Git的SHA-1校驗碼計算方式是其維持資料完整性的重要基礎，Git的資料封包結構包含了所有被打包物件的內容，並在封包結尾附加了一個SHA-1校驗碼，可用於驗證整個封包的完整性，確保資料在傳輸過程沒有毀損。</p> <p>新版本Git中，針對資料封包尾部的校驗碼計算進行了性能強化。由於尾部校驗碼的主要功能是驗證資料完整性，而非防禦安全性攻擊，因此這項改進能夠在不犧牲安全性的情況下，顯著縮短運算時間。測試顯示，此改進在處理大型儲存庫，如Linux核心程式碼的複製過程，效能提升可達10%至13%，對於需要頻繁操作大型專案的開發者特別有幫助。</p> <p>本次更新的另一重點在於解決記憶體的洩漏問題。雖然官方指出，記憶體洩漏對Git這類短時間執行的命令列工具影響有限，但其存在的確是阻礙了將內部邏輯模組化為可呼叫的函式庫。因此從Git 2.34版本開始，開發團隊花費大量努力消除記憶體洩漏，最終在2.48版本中完成工作。此更新讓Git測試環境能在啟用記憶體檢測的情況下完整通過測試，並簡化了測試基礎設施，也替未來的架構轉型奠定了基礎。</p> <p>在功能強化方面，Git 2.48將--remerge-diff與range-diff兩大指令整合。range-diff功能在2.19版本加入，主要用於比較兩組提交紀錄的差異，包括提交順序、提交訊息及內容變更。而2.36 版本則是推出remerge-diff，能讓開發者在檢視重整提交的變更時，能同時深入分析合併提交中衝突的細節及其解決方式。Git藉由將兩功能合併，進一步提升版本變更分析的精確性與實用性。</p> <p>Git 2.48也添加了Meson作為編譯系統替代選項，Meson是一種較GNU Make更為現代化的建置選項。Git一直以來都是採用GNU Make作為主要建置工具，但隨著專案規模的擴大，其Makefile已變得過於龐大且複雜，Meson的加入將有助於改善此情況。Meson提供更簡單的建置流程，並支援跨平臺與IDE整合。目前，Git同時提供Meson與GNU Make，保留對CMake和Autoconf的支援，確保不同開發者群體的需求能被滿足。</p> </div></div></div>
2025/1/14 08:13作者李建興https://www.ithome.com.tw/news/166935
Linux基金會啟動Chromium支援計畫，推動瀏覽器生態系創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-launch-of-supporters-of-chromium-based-browsers">宣布</a>啟動一項名為支持Chromium瀏覽器生態系的新倡議，目的是要透過資金支援和協作平臺，促進Chromium相關開放開發專案，確保技術創新與生態系的持續發展。該倡議以建立一個中立平臺為核心，吸引業界、學術界及開源社群參與，共同解決當前開放開發中的挑戰。</p> <p>Chromium專案是Google在2008年時推出，作為Chrome瀏覽器的核心基礎，並以開放原始碼的方式釋出。Chromium是一個高擴展性的程式碼庫，其影響力已超越瀏覽器領域，廣泛應用於其他技術開發中，例如LG的智慧家電、Electron應用程式框架，以及SpaceX太空艙的控制軟體。<a href="https://blog.chromium.org/2025/01/announcing-supporters-of-chromium-based.html">Google提到</a>，他們在2024年對Chromium專案做出了超過10萬次提交，占整體貢獻的94%，同時每年投入數百萬美元維護其基礎設施，包括數千臺測試伺服器，以支撐龐大的測試與開發需求。</p> <p>Linux基金會執行長Jim Zemlin指出，這項計畫的推出是基於對開源社群的持續承諾，希望能透過協作和資源共享，進一步推動開源技術的普及與進步。Chromium生態系在現代瀏覽器技術中占據重要地位，涵蓋了多家主流瀏覽器的核心技術，因此，這項倡議被認為有助於整體網頁技術發展。</p> <p>該專案將由Linux基金會負責執行，但現有的Chromium專案治理結構不會因此改變。專案將採用透明、包容的開放治理模式，並成立技術諮詢委員會（TAC）來指導專案發展，確保滿足廣泛開源社群的需求。Google、Meta、微軟和Opera等瀏覽器公司已經表態支持此倡議，並將積極參與相關合作，共同推動生態系統內的技術創新。</p> </div></div></div>
2025/1/14 08:18作者李建興https://www.ithome.com.tw/news/166941
【資安日報】1月13日，研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織RedDelta（也被稱為Earth Preta、Mustang Panda、TA416）的攻擊行動最近幾年不斷傳出，這些駭客往往跟隨中國政府的外交策略發動攻擊，1月剛出爐最新的資安廠商調查結果，再度印證這樣的活動方針。</p> <p>值得留意的是，這些駭客兩年前因中國政府聲援俄羅斯攻擊歐洲各國，但自2023年下半，他們將目標轉向臺灣、蒙古，以及其他東南亞國家。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166933"><strong style="font-size: 22px;">中國駭客RedDelta鎖定臺灣、蒙古、東南亞散布惡意程式PlugX</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedDelta-UOFWXPwLaa.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedDelta-UOFWXPwLaa.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Recorded Future指出，被稱為RedDelta、Earth Preta、Mustang Panda、TA416的中國駭客組織，從2023年7月至2024年12月，鎖定臺灣、蒙古、緬甸、越南、柬埔寨下手，散布特製的PlugX後門程式。</p> <p>這些駭客運用的誘餌涉及各種時事，例如2023年底曾宣布參選總統的鴻海創辦人郭台銘、越南的國定假日、蒙古洪水防治，以及東南亞國家協會（ASEAN）的會議邀請等。研究人員指出，蒙古國防部、越南共產黨疑似分別於去年8月、11月遭駭。</p> <p>根據此次調查結果，研究人員認為RedDelta近兩年的攻擊目標有了重大調整，因為2022年這群駭客主要鎖定歐洲從事相關攻擊。他們認為，攻擊目標的轉移與中國政府的戰略變化有關。</p> <p><a href="https://www.ithome.com.tw/news/166929"><strong style="font-size: 22px;">以AI打造的勒索軟體FunkSec向受害者進行雙重勒索，聲稱已有85個企業組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QZW5JB4KMR-image16.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/QZW5JB4KMR-image16.png" style="width: 300px; float: right;" /></a>人工智慧當紅，駭客也將其用於網路犯罪，其中最常見的是產生幾可亂真的釣魚信內容，或是用於製作假訊息網站，甚至也有人用於軟體開發的部分，使得攻擊者所需的門檻大幅降低，如今有缺乏相關技術的駭客運用AI打造勒索軟體。</p> <p>資安業者Check Point揭露名為FunkSec的勒索軟體，該惡意程式大約從去年底開始出沒，駭客12月底聲稱已有85個企業或組織遇害。這波攻擊行動所用的技術並不高，研究人員研判當中運用的工具，應該是運用AI輔助開發而成。</p> <p>研究人員根據攻擊者發布的內容與工具，研判裡面運用AI幫忙生成，例如，在攻擊者公開的指令碼當中，研究人員看到裡面的註解用了相對完美的英文，在其他媒體卻用非常基本的英文，這些註解很可能是由大型語言模型（LLM）代理產生的。</p> <p><a href="https://www.ithome.com.tw/news/166928"><strong style="font-size: 22px;">LDAPNightmware概念驗證程式碼遭人複製而冒用，在GitHub散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LDAPNightmare-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LDAPNightmare-fig1.png" style="width: 300px; float: right;" /></a>本月初資安業者SafeBreach針對微軟12月修補的CVE-2024-49113公布細節及概念驗證（PoC）程式碼，此漏洞為高風險層級，涉及LDAP服務，攻擊者有機會導致Windows伺服器服務中斷，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」，如今有人假借這項漏洞的名義發動攻擊。</p> <p>資安業者趨勢科技提出警告，他們發現有人在GitHub假借提供LDAPNightmare的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。根據該公司的調查，這些惡意儲存庫多半是SafeBreach儲存庫的分叉（fork），攻擊者將原本的Python檔案更換為以UPX打包的執行檔案poc.exe，意圖引誘研究人員下載。</p> <p>對此，趨勢科技提醒資安研究人員，若要研究概念驗證程式碼，應該要從情報最原始揭露的來源取得相關資料，而非透過分叉的儲存庫。</p> <p><a href="https://www.ithome.com.tw/news/166915"><strong style="font-size: 22px;">NPM套件假冒以太坊工具，暗藏Quasar RAT木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9ef4fd4dd5a97f2e660aa7be4fc8a07f.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9ef4fd4dd5a97f2e660aa7be4fc8a07f.jpg" style="width: 300px; float: right;" /></a>資安平臺Socket研究人員發現一個偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，實際上暗藏了遠端存取木馬Quasar RAT。Quasar RAT是一個功能強大的遠端控制工具，一旦入侵成功，攻擊者便可遠端操控受感染的電腦，竊取機密資料、監控使用者行為，甚至完全掌控受害者的系統，對開發者造成資料外洩和經濟損失。</p> <p>Socket研究人員發現NPM平臺上名為ethereumvulncontracthandler的套件，表面上宣稱能協助開發者找出智慧合約中的潛在漏洞，不過在開發者不慎安裝此套件之後，惡意程式碼便會在開發者的電腦上執行，進而植入Quasar RAT。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=230633&SPOKE_DATE=20250112&COMPANY_ID=8289"><strong style="font-size: 22px;">泰藝電子發布資安重大訊息，揭露部分資訊系統遭到攻擊</strong></a></p> <p>1月12日石英頻率控制元件製造商泰藝電子於股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭到網路攻擊，該公司察覺此事後全面啟動相關防禦機制，以及復原作業，並委請外部資安業者技術專家共同處理。</p> <p>對於這起事故可能會帶來的損失或是影響，泰藝表示根據他們初步的評估，對於公司營運尚無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phishing-texts-trick-apple-imessage-users-into-disabling-protection/">蘋果手機用戶當心！有人藉由網釣手法突破iMessage防護措施</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/macos-vulnerability-cve-2024-54527-unveiled-tcc-bypass-poc-exploit-code-released/">研究人員揭露能繞過macOS安全機制TCC的漏洞細節</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/paypal-phishing-scam-exploits-ms365-genuine-emails/">駭客鎖定PayPal用戶從事網釣攻擊，利用M365網域繞過資安防護措施</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gitlab-tackles-critical-security-flaws-in-latest-patch-release/">GitLab發布更新，修補多項資安漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-54006-cve-2024-54007-command-injection-flaws-in-hpe-aruba-devices-poc-publicly-available/">HPE修補Aruba裝置的命令注入漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166913"><strong>【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166890"><strong>【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166875"><strong>【1月8日】駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料</strong></a></p> </div></div></div>
2025/1/13 16:57作者周峻佑https://www.ithome.com.tw/news/166934
以AI打造的勒索軟體FunkSec向受害者進行雙重勒索，聲稱已有85個企業組織受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧當紅，駭客也將其用於網路犯罪，其中最常見的是產生幾可亂真的釣魚信內容，或是用於製作假訊息網站，甚至也有人用於軟體開發的部分，使得攻擊者所需的門檻大幅降低，如今有缺乏相關技術的駭客運用AI打造勒索軟體。</p> <p>資安業者Check Point揭露<a href="https://research.checkpoint.com/2025/funksec-alleged-top-ransomware-group-powered-by-ai/">名為FunkSec的勒索軟體</a>，該惡意程式大約從去年底開始出沒，駭客12月底聲稱已有85個企業或組織遇害。這波攻擊行動所用的技術並不高，研究人員研判當中運用的工具，應該是運用AI輔助開發而成。</p> <p>研究人員根據攻擊者發布的內容與工具，研判裡面運用AI幫忙生成，例如，在攻擊者公開的指令碼當中，研究人員看到裡面的註解用了相對完美的英文，在其他媒體卻用非常基本的英文，這些註解很可能是由大型語言模型（LLM）代理產生的。在與該組織贖金軟體連結的Rust原始碼中，也可以看到類似的模式，顯示它可能是在AI的協助下開發的。另一方面，這些駭客在公開的訊息當中，特別提及他們的勒索軟體開發與AI代理有關，很有可能駭客向AI代理提供了勒索軟體的原始碼，然後在網站上提供輸出的內容。</p> <p>值得留意的是，這些歹徒索討的贖金並不高，有時候僅不到1萬美元，他們也以低價手段把竊得資料出售，這樣的情況也在網路犯罪圈引起關注。</p> <p>上述的受害者以美國、印度最多，分別占21%、16%，其次是義大利、巴西、以色列，分別有5%、5%、4%。</p> <p>這些駭客以租用服務（RaaS）將FunkSec提供買家運用，並在近期發布的1.5版檔中，標榜大部分的防毒軟體無法偵測此勒索軟體，在VirusTotal平臺僅有3個防毒引擎將其視為有害。但研究人員發現，開發者很有可能來自阿爾及利亞，而且會在駭客論壇詢問相當基礎的問題，這代表這些駭客並未具備相關的技能。研究人員發現，這些人為了壯大聲勢，他們有許多公布的竊得資料，實際上源自於其他犯罪組織的攻擊行動。</p> </div></div></div>
2025/1/13 15:19作者周峻佑https://www.ithome.com.tw/news/166929
中國駭客RedDelta鎖定臺灣、蒙古、東南亞散布惡意程式PlugX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著臺海局勢變化，中國駭客對臺進行網路攻擊的情況日趨頻繁，有資安業者公布他們近兩年的追蹤結果，指出中國駭客隨政府的外交政策，將目標轉向了臺灣和蒙古。</p> <p><a href="https://www.recordedfuture.com/research/reddelta-chinese-state-sponsored-group-targets-mongolia-taiwan-southeast-asia">資安業者Recorded Future指出</a>，被稱為RedDelta、Earth Preta、<a href="https://attack.mitre.org/groups/G0129/">Mustang Panda、TA416的中國駭客組織</a>，從2023年7月至2024年12月，鎖定臺灣、蒙古、緬甸、越南、柬埔寨下手，散布特製的PlugX後門程式。</p> <p>這些駭客運用的誘餌涉及各種時事，例如2023年底曾宣布參選總統的鴻海創辦人郭台銘、越南的國定假日、蒙古洪水防治，以及東南亞國家協會（ASEAN）的會議邀請等。研究人員指出，蒙古國防部、越南共產黨先後於疑似於去年8月、11月遭駭。</p> <p>值得留意的是，從去年9月到12月，駭客擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>這波攻擊行動的手段，也在一年多的過程裡出現變化。從2023年下半，駭客疑似以釣魚手段散布Windows捷徑檔（LNK）做為觸發感染鏈的第一階段；到了2024年，駭客改用微軟管理主控臺組態檔案（MSC）進行；到了近期，這些歹徒則是利用釣魚連結來引誘使用者上當，從Azure下載HTML檔案來進行後續攻擊。</p> <p>為了隱匿攻擊流量，RedDelta濫用Cloudflare的CDN服務充當代理伺服器，來進行C2通訊。</p> <p>針對這樣的調查結果，研究人員認為這代表RedDelta近兩年的攻擊目標出現重大調整，因為這些駭客在2022年主要鎖定歐洲從事相關攻擊。他們認為，這項轉變源於中國政府的戰略變化。</p> </div></div></div>
2025/1/13 16:24作者周峻佑https://www.ithome.com.tw/news/166933
Nvidia發布6.3兆Token大型英文資料集Nemotron-CC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia發布了一套名為<a href="https://developer.nvidia.com/blog/announcing-nemotron-cc-a-trillion-token-english-language-dataset-for-llm-pretraining/">Nemotron-CC</a>的大型英文資料集，總計包含6.3兆個Token，其中1.9兆包含合成資料。Nemotron-CC的釋出使得學術界與企業界有能力再進一步推進大型語言模型的訓練成果，提升其準確性。</p> <p>大型語言模型被廣泛用於自然語言處理、機器翻譯、文本生成等領域，而強大的大型語言模型仰賴大量且高品質的訓練資料。現有的公開資料集往往在資料規模或品質上有所侷限，難以滿足當前模型訓練需求。</p> <p>以Meta發布的Llama系列模型為例，其訓練資料規模高達15兆個Token，如此龐大的資料需求對現有公開資料集是一大挑戰。而Nemotron-CC的出現，正是為了解決這個模型訓練資料瓶頸，其6.3兆的Token規模和經過驗證的資料品質，使其成為訓練大型語言模型的理想素材。</p> <p>Nemotron-CC資料集基於Common Crawl的網頁資料，再經過一系列嚴謹的資料處理流程，擷取出高品質子集Nemotron-CC-HQ。與目前領先的公開英文資料集DCLM相比，Nemotron-CC-HQ在MMLU（Massive Multitask Language Understanding）基準測試中，提升了MMLU分數5.6。</p> <p>DCLM（Deep Common Crawl Language Model）是基於Common Crawl英文資料建構的資料集，曾被視為同類中表現最佳的公開資料集，但是模型使用Nemotron-CC-HQ高品質子集訓練，準確性卻比DCLM訓練出來的模型更高。而進一步測試顯示，基於Nemotron-CC訓練的80億參數模型，在MMLU基準測試中分數提升5分，在ARC-Challenge基準測試中提升3.1分，並在十項不同任務的平均表現中提高0.5分，超越了基於Llama 3訓練資料集所開發的Llama 3.1 8B模型。</p> <p>Nvidia官方提到，Nemotron-CC開發過程採用了模型分類器、合成資料重述（Rephrasing）等技術，最大程度地確保資料品質和多樣性。同時，針對高品質資料則減少了傳統非學習啟發式過濾器來處理高品質的資料，進一步提升高品質Token數量並避免損害精確度。</p> <p>Nemotron-CC資料集目前已在Common Crawl網站開放下載，其完整的資料處理流程與合成資料產生方法，也即將在Nvidia/NeMo-Curator GitHub專案中公開，以促進人工智慧社群更深入地理解和運用Nemotron-CC資料集，共同推進大型語言模型的發展。</p> </div></div></div>
2025/1/13 16:03作者李建興https://www.ithome.com.tw/news/166931
LDAPNightmware概念驗證程式碼遭人複製而冒用，在GitHub散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初資安業者SafeBreach<a href="https://www.ithome.com.tw/news/166868">針對微軟12月修補的CVE-2024-49113公布細節</a>及概念驗證（PoC）程式碼，此漏洞為高風險層級，涉及LDAP服務，攻擊者有機會導致Windows伺服器服務中斷，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」，如今有人假借這項漏洞的名義發動攻擊。</p> <p>資安業者趨勢科技提出警告，<a href="https://www.trendmicro.com/en_us/research/25/a/information-stealer-masquerades-as-ldapnightmare-poc-exploit.html">他們發現有人在GitHub假借提供LDAPNightmare的概念驗證程式碼</a>，意圖對資安研究人員散布竊資軟體。根據該公司的調查，這些惡意儲存庫多半是SafeBreach儲存庫的分叉（fork），攻擊者將原本的Python檔案更換為以UPX打包的執行檔案poc.exe，意圖引誘研究人員下載。</p> <p>一旦使用者下載並執行，電腦就下載PowerShell指令碼，而該指令碼會建立工作排程，其功能是執行一段內容經過Base64編碼處理的指令碼。</p> <p>在工作排程執行並解開指令碼，電腦又會從文字檔案共用服務Pastebin下載另一個指令碼，收集受害電腦的IP位址、系統資訊、處理程式列表、特定資料夾檔案內容、網路卡，以及已安裝更新檔案等資訊，打包成ZIP檔傳送到FTP伺服器，以便攻擊者進一步運用。</p> <p>對此，趨勢科技提醒資安研究人員，若要研究概念驗證程式碼，應該要從情報最原始揭露的來源取得相關資料，而非透過分叉的儲存庫。這些來路不明的GitHub之所以會藏污納垢，就是攻擊者發現有些資安人員並未仔細檢查這類情報來源是否為第一手分享。</p> </div></div></div>
2025/1/13 12:54作者周峻佑https://www.ithome.com.tw/news/166928
新版Outlook 2月將強制安裝於Windows 10，事後移除可能、事前封鎖不可能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟計畫從1月底、2月開始，逐步對Windows 10 PC下載安裝新的Outlook取代原生的Mail和Calendar。使用者無法事前封鎖，只能之後移除。</p> <p>這是微軟淘汰Windows原生Mail等應用程式計畫的一部份。2023年8月起，<a href="https://www.ithome.com.tw/news/157913" target="_blank">微軟自動將</a>Mail、Calendar等原生程式轉換為Outlook for Windows。去年微軟正式啟動汰換，12月31日起已<a href="https://www.ithome.com.tw/news/165938" target="_blank">終止支援</a>舊式Mail、Calendar、Contacts App。現在微軟將強制將Outlook for Windows（或稱Outlook）部署到Windows 10用戶電腦。</p> <p>根據微軟公布的<a href="https://learn.microsoft.com/en-us/microsoft-365-apps/outlook/get-started/control-install#block-new-outlook-preinstall-on-windows" target="_blank">時程</a>，1月28日釋出的Windows 10選擇性更新會內含Outlook。之後Outlook將隨2月11日發布的Windows 10每月安全更新安裝到用戶電腦。</p> <p>至於Windows 11，23H2以後的版本都已內建Outlook。不論是Windows 10或11，目前都沒有方法可封鎖Outlook安裝。用戶必須要等安裝好以後再移除。</p> <p>管理員可以依循微軟提供方法從企業電腦移除其套件，並防止未來Windows PC更新重新安裝新Outlook。</p> <p>1. Windows PowerShell指令如下：</p> <pre> Remove-AppxProvisionedPackage -AllUsers -Online -PackageName (Get-AppxPackage Microsoft.OutlookForWindows).PackageFullName</pre><p>2.管理員也必須加上機碼值：</p> <pre> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\Orchestrator\UScheduler_Oobe\OutlookUpdate</pre><p>3. Windows 10 PC部分則多了第3步驟：加上REG_SZ registry setting，命名為BlockedOobeUpdaters給予 ["MS_Outlook"]值。</p> <p>至少目前為止，新的Outlook和舊的Outlook兩者可並用。不過終有一天新Outlook還是會完全取代舊版Outlook。</p> </div></div></div>
2025/1/13 11:36作者林妍溱https://www.ithome.com.tw/news/166924
OpenAI機器人部門招募硬體員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正式<a href="https://x.com/kalinowski007/status/1877809579154948223" target="_blank">公告</a>機器人部門徵人啟事，將尋找硬體工程師數名。</p> <p>之前曾擔任Meta AR眼鏡部門主管，去年11月才加入OpenAI的機器人（Robotics）部門主管Caitlin Kalinowski上周貼出首批硬體員工的招募公告，包含2名IC硬體資深工程師及一名技術計畫經理。<a href="https://www.ithome.com.tw/news/163260" target="_blank">去年</a>6月OpenAI首先招募的是軟體研究工程師，負責訓練、微調多模態LLM、解決機器學習技術問題，以便OpenAI和產業夥伴合作開發前線（frontline）機器人應用。</p> <p>OpenAI首批招募三名硬體開發員工。第一是感測電子電機工程師，負責設計機器人感測套件。第二是機器人機械設計工程師，需要具備機器人致動器、馬達和線路的設計經驗。第三則是技術專案經理，後者將負責建立訓練實驗室、並管理和推動整個產品專案等林林總總事務的「有趣角色」。</p> <p>Kalinowski補充<a href="https://x.com/kalinowski007/status/1877869441733575048" target="_blank">說明</a>，Robotics經驗包含自駕車、無人機、有輪子的機器人、人形機器人或軟機器人（soft robotics，矽膠機器人）。他描述，未來生產的機器人可送去危險前線地方（如災區或礦區）取代人類工作。</p> <p>11月CNBC<a href="https://www.cnbc.com/2024/11/04/jeff-bezos-and-openai-invest-in-robot-startup-physical-intelligence.html" target="_blank">報導</a>，人形機器人新創公司<a href="https://www.physicalintelligence.company/" target="_blank">Physical Intelligence</a>在最新募資中獲得4億美元投資，使公司市值來到了24億美元。最新一批金主包括了OpenAI和Jeff Bezos及數家投資銀行。這家新創公司成員來自Google DeepMind、Tesla和X，目標是開發出能結合通用人工智慧（AGI）的機器人，用戶可透過AI助理下指令代為執行任務。去年該公司<a href="https://www.youtube.com/watch?v=J-UTyb7lOEw&t=216s" target="_blank">展示</a>了機器人可洗衣、摺衣服、清理桌面或組裝包裝盒等工作。</p> </div></div></div>
2025/1/13 11:58作者林妍溱https://www.ithome.com.tw/news/166925
【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年第一星期資安新聞的主要焦點是，臺灣國家安全局於1月5日發布中共網駭手法分析報告，指出2024年國安情報團隊掌握我國政府及民間網駭案中，最嚴峻是以電信業者為主的資通訊領域，遭受攻擊是前一年度的6.5倍，其次是交通與國防供應鏈，遭受攻擊也比前一年度增長，顯示這些領域已是中共新興網駭重點。</p> <p>此外，日本警方於1月8日發布中國駭客MirrorFace（Earth Kasha）入侵警報，揭露該組織5年間對日本發動逾200起攻擊。事實上，趨勢科技兩個月前已警告該組織利用多家品牌SSL VPN設備漏洞入侵。不僅日本企業受害，臺灣與印度也遭波及。因此日本警方此次公布的攻擊手法與偵測措施，也可供我國企業組織參考。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，其遭遇事故類型涵蓋供應鏈攻擊、勒索軟體攻擊，以及DDoS攻擊事件。</p> <p>●易飛網在1月7日說明遭遇供應鏈攻擊及資料竊取，致有個資外洩。<br /> ●新海瓦斯1月9日揭露伺服器內部檔案遭受勒索軟體加密。<br /> ●悠泰科技、華航在1月7日與8日分別公布官網遭受網路DDoS攻擊。<br /> ●針對中華電信海底電纜遭貨輪破壞的事故，數位發展部表示中華電信當日已通報並啟動其他海纜備援，之後將配合海巡署、法務部、NCC與司法機關加強執法。<br /> ●資安業者Tenable傳出外掛程式更新出錯的意外事故，造成端點代理程式停擺。</p> <p>在資安威脅的攻擊技術態勢上，有1則重要消息，是關於雙點擊劫持（DoubleClickjacking）手法的揭露，研究人員提醒，多數網站已能透過「X-Frame-Options header」、「SameSite: Lax/Strict」來防範點擊劫持攻擊手法，但無法因應這種新的變種手法，研究人員闡釋攻擊原理，同時建議可藉由用戶端保護方式來緩解。</p> <p>還有不同資安業者公布其發現的最新攻擊手法，有3則同樣值得我們留意，包括：出現新型態的惡意JavaScript、Python、Ruby套件，顯示攻擊者正濫用oastify.com、oast.fun等新興應用程式安全測試OAST檢測服務；發現針對蘋果電腦用戶的新型竊資軟體Banshee，會冒用內建防毒XProtect的字串加密演算法來迴避偵測；俄羅斯網路犯罪論壇正兜售名為PhishWP的惡意WordPress外掛程式，可用於建立幾可亂真的付款網頁。</p> <p>在漏洞利用消息方面，以Ivanti的零時差漏洞利用情形最受關注，Google旗下資安公司Mandiant在漏洞公布隔日的1月10日，發布相關研究報告，研判中國駭客組織利用此漏洞進行網路間諜活動，並揭露其攻擊手法的特殊之處是假裝系統升級成功，包括：插入惡意程式碼攔截升級執行流程，製作假的升級進度條來迷惑管理員，並繞過系統完整性檢查，假裝成為升級後的版本。</p> <p>●Ivanti針對Ivanti Connect Secure等設備修補已遭利用零時差漏洞CVE-2025-0282，隔日Mandiant公布研究報告，指出該漏洞2024年12月中旬已遭利用。<br /> ●加拿大電信業者Mitel在前幾個月陸續修補MiCollab整合通訊平臺的漏洞CVE-2024-41713、CVE-2024-55550，如今被發現遭駭客鎖定利用於攻擊活動。<br /> ●Oracle於5年前修補WebLogic Server的漏洞CVE-2020-2883，當時已有資安業者指出遭駭客鎖定利用，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>至於資安防禦動向上，有兩則重要新聞，一是歷經18個月討論的美國物聯網裝置網路安全標章U.S. Cyber Trust Mark正式發布；通訊軟體Telegram宣布將推出業界首創的第三方驗證機制，採更主動式防護來打擊假消息與詐騙行為。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166833"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</span></strong></a></h3> <p>三個月前親俄駭客組織NoName057因不滿總統賴清德在接受媒體採訪的回答，中國政府若要維護領土主權性，應奪回清朝割讓俄羅斯的土地，<a href="https://www.ithome.com.tw/news/165042">對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊</a>，如今這些駭客再度盯上臺灣企業組織犯案。</p> <p>1月2日、3日有5家上市櫃公司證實遭遇DDoS攻擊，NoName057宣稱就是他們所為，並表明一共攻擊超過30個網站。</p> <h3><a href="https://www.ithome.com.tw/news/166852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月7日】資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作</span></strong></a></h3> <p>0719 CrowdStrike更新造成全球大當機的資安事故，對於許多人還記憶猶新，當時就是因為該公司派送的更新檔出現有問題的程式碼，導致用戶電腦在套用完成後，重開機就出現藍色當機（BSoD）畫面。</p> <p>而類似的事故在半年內出現於另一個廠牌的資安系統，稍微值得慶幸的是，這起事故只是造成他們的產品故障，並未波及用戶的個人電腦。</p> <p><a href="https://www.ithome.com.tw/news/166875"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月8日】駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料</span></strong></a></p> <p>本日的資安新聞當中，有兩則提及駭客攻擊出現新的手法，其中，與一般社會大眾較為相關的電商網站交易資料側錄攻擊，特別值得我們關注。</p> <p>有研究人員發現，駭客製作了WordPress外掛程式，並在網路犯罪論壇兜售，標榜攻擊者能即時取得受害者輸入的付款內容，甚至能藉此竊取線上刷卡流程所需的動態密碼（OTP）。</p> <h3><a href="https://www.ithome.com.tw/news/166890"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</span></strong></a></h3> <p>中國駭客組織行徑囂張，長年從事網路攻擊的情況，過往相關警告幾乎是美國發出，也有不少是由五眼聯盟發出，但最近日本也發布相關的公告，該國警方本週針對特定中國駭客組織的攻擊行動發布警告，突顯此項威脅範圍正在逐漸擴大。</p> <p>他們特別提及這些駭客已對於當地發動三波大規模攻擊，主要的目的就是為了國家安全及先進技術的機密資料，並公布駭客的作案手法，供當地企業組織防範相關攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/166913"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</span></strong></a></h3> <p>去年鎖定蘋果電腦的攻擊行動有顯著增加的現象，過往這些針對macOS作業系統而來的攻擊事故，駭客大多會試圖繞過內建的Gatekeeper、XProtect等防護機制，但如今出現更為隱密的手法，使得防毒軟體更難察覺有異。</p> <p>資安業者Check Point揭露竊資軟體Banshee的攻擊行動，就是這樣的例子。這次引起研究人員注意的地方，就是此惡意軟體盜用來自XProtect的演算法，而能左右防毒軟體的分析結果。</p> <p> </p> </div></div></div>
2025/1/12 00:30作者羅正漢https://www.ithome.com.tw/news/166911
假冒以太坊工具！NPM套件暗藏Quasar RAT木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安平臺Socket研究人員<a href="https://socket.dev/blog/quasar-rat-disguised-as-an-npm-package">發現</a>一個偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，實際上暗藏了遠端存取木馬Quasar RAT。Quasar RAT是一個功能強大的遠端控制工具，一旦入侵成功，攻擊者便可遠端操控受感染的電腦，竊取機密資料、監控使用者行為，甚至完全掌控受害者的系統，對開發者造成資料外洩和經濟損失。</p> <p>Socket研究人員發現NPM平臺上名為ethereumvulncontracthandler的套件，表面上宣稱能協助開發者找出智慧合約中的潛在漏洞，不過在開發者不慎安裝此套件之後，惡意程式碼便會在開發者的電腦上執行，進而植入Quasar RAT。</p> <p>Quasar RAT遠端存取木馬已在網路和APT攻擊中被使用接近十年，其功能不僅限於遠端控制，還包括鍵盤側錄、螢幕截圖、憑證竊取和檔案竊取等。對個別開發者和大型組織而言，Quasar RAT的入侵可能造成嚴重後果。尤其是以太坊開發者，更有可能因此暴露與巨額資產相關的私鑰和憑證，而且當開發系統遭到Quasar RAT入侵，還可能成為企業遭受攻擊的入口。</p> <p>資安研究人員指出，ethereumvulncontracthandler套件運用了多層次的混淆技術來隱藏惡意程式碼，增加偵測的難度。這個惡意套件不僅會從遠端伺服器下載並執行額外的惡意腳本，還會修改Windows系統的登錄檔，以確保在電腦重新啟動後仍然可以持續運作。Quasar RAT在成功植入後，攻擊者便會透過特定的命令與控制（C2）伺服器與受感染的電腦進行通訊，執行各種惡意行為。</p> <p>資安研究人員提醒，開發者在專案使用任何第三方套件時，都應保持警覺，仔細檢查套件的來源和可信度，尤其是聲稱具有進階功能或來自相對陌生作者的程式碼。另外，監控網路流量並調查異常的檔案修改，也能及早偵測到系統中的惡意行為。</p> </div></div></div>
2025/1/10 17:03作者李建興https://www.ithome.com.tw/news/166915
1U提供384核心，Dell推出支援AMD EPYC 9005的伺服器改款
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r6725_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年10月AMD推出代號為Turin的<a href="https://www.ithome.com.tw/news/165430">第五代EPYC處理器9005系列伺服器運算平臺</a>，由於同樣採用SP5插槽，因此大部分伺服器廠商第一時間都以既有產品支援這批處理器，但EPYC 9004系列的熱設計功耗（TDP）最高為360瓦，最多可提供128顆運算核心，新發表的EPYC 9005系列部分款式最高達500瓦，最多可提供192顆運算核心。</p> <p>然而，根據當時部分伺服器廠商揭露的產品規格來看，並無法搭配這些熱設計功耗更高、運算核心更多的處理器款式，例如，HPE的ProLiant Gen11的DL325、DL345、<a href="https://www.ithome.com.tw/review/165707">DL365</a>、DL385，最高可搭配TDP為390瓦與400瓦的EPYC 9005系列款式，以單顆處理器而言，最高能提供160核心。有些伺服器廠商雖然在產品規格資訊當中，表明處理器可支援TDP為500瓦的EPYC 9005系列款式，卻在當中註記：若要在氣冷的1U2路伺服器使用TDP超過290瓦的EPYC 9005系列款式，或2U2路伺服器使用400瓦的EPYC 9005系列款式，他們的產品僅支援特定狀況的使用，詳情需向他們洽詢，例如Supermicro的H14世代伺服器。</p> <p>另一家伺服器廠商Dell的態度顯得比較謹慎，他們同樣在10月宣布支援AMD EPYC 9005系列處理器，但相隔1個月之後，才正式推出採用這款運算平臺的新款標準機架伺服器：R6715、R7715、R6725、R7725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-12-Dell DTF CZ-AMD Turin Servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-Dell%20DTF%20CZ-AMD%20Turin%20Servers.jpg" style="width: 600px;" /></a></p> <p>由於這批機型的名稱，與Dell既有支援EPYC 9004系列處理器的伺服器機型相似，因此，Dell目前在他們的網站特別為新品全名額外添加了New字樣，若以1U2路機型為例，它叫做New PowerEdge R6725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell New AMD server-2way.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20New%20AMD%20server-2way.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell New AMD server-1way-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20New%20AMD%20server-1way-web.jpg" style="width: 600px;" /></a></p> <p>關於Dell新款伺服器搭配的AMD處理器，就單路架構的1U機型R6715、2U機型R7715而言，Dell在11月揭露的規格表（Specification Sheet），載明它們可搭配單顆處理器最多160顆核心的EPYC 9005系列款式（AMD目前提供EPYC 9845，TDP為400瓦）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R6715-2024-11-spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R6715-2024-11-spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R7715-2024-11-spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R7715-2024-11-spec.png" style="width: 298px;" /></a></p> <p>至於雙路架構的1U機型R6725、2U機型R7725，Dell標明它們支援單顆處理器最多192顆核心的EPYC 9005系列款式（AMD目前提供EPYC 9965，TDP為500瓦）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/R6725-2024-11-spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R6725-2024-11-spec.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R7725-2024-11-spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/R7725-2024-11-spec.png" style="width: 298px;" /></a></p> <p>若細部檢視Dell去年11月針對上述新機型公布的技術指南文件，我們可以看到與Specification Sheet文件提到的處理器規格並不相同，而且搭配的散熱座類型也有差異。</p> <p>就雙路伺服器機型而言，新R6725目前搭配的AMD EPYC 9005處理器，最高可支援96核心、熱設計功耗400瓦的款式，兩顆處理器都採用T型散熱座（T-type HSK）；新R7725搭配的AMD EPYC 9005處理器，最高可支援192核心、熱設計功耗500瓦的款式，若搭配熱設計功耗400瓦以下的處理器，採用標準散熱座，若搭配用熱設計功耗400至500瓦的處理器，採用T翼型散熱座（T-wing HSK）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge R6725 and R6625.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20R6725%20and%20R6625.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/dell-r6725-8x2-5-universal-chassis-internal-CPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-r6725-8x2-5-universal-chassis-internal-CPU.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge R7725 and R7625.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20R7725%20and%20R7625.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/dell-per7725-40xe3s-chassis-air-shroud-internal-CPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per7725-40xe3s-chassis-air-shroud-internal-CPU.jpg" style="width: 298px;" /></a></p> <p>以單路伺服器機型而言，新R6715與新R7715目前搭配的AMD EPYC 9005處理器，最高可支援64核心、熱設計功耗400瓦的款式，分別採用C型散熱座（C-type HSK）、2U延伸型散熱座。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge R6715 and R6615.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20R6715%20and%20R6615.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/dell-per6715-8x25-chassis-internal-CPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per6715-8x25-chassis-internal-CPU.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge R7715 and R7615.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20R7715%20and%20R7615.png" style="width: 297px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/dell-per7715-24xsas-sata-chassis-internal-CPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-per7715-24xsas-sata-chassis-internal-CPU.jpg" style="width: 298px;" /></a></p> <p>關於Dell本次AMD平臺伺服器改款，除了處理器的相關配置不同，去年10月Dell也透露效能、能源使用效率等特色。</p> <p>像是雙路機型，以R7725為例，搭配AMD EPYC 9005處理器而獲得的運算核心數量（最多192核心），比起R7625搭配AMD EPYC 9004處理器（最多128核心）增加50％，每顆核心效能提升37％，相較於搭配AMD EPYC 9004處理器的R7625，整臺效能增加66％，而且，R7725可用於整併7臺已使用5年的英特爾平臺伺服器R740XD（搭配英特爾第二代Xeon Scalable處理器），原因是AMD新一代處理器耗電量少了65％。</p> <p>在2024年10月，<a href="https://infohub.delltechnologies.com/en-us/t/direct-from-development-tech-notes-10/">Dell也揭露這款機型的多種效能測試數據</a>，包含：SPEC Accel、V-Ray、VMmark 4.0、SPECjbb 2015。</p> <p>另一款R6725，則拿下SAP標準應用程式效能測試新的世界紀錄，可支撐20.1萬個使用者，也成為目前AMD平臺伺服器SAP效能排行榜的第一名（在2024年12月初，Fujitsu Primergy RX2450 M2也進榜，成為此平臺的第二名）。R6725也進行多種效能測試，像是：VMmark 4.0、SPECjbb 2015。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SD-Benchmarks-AMD-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SD-Benchmarks-AMD-2025-01.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SAP-SD-R6725-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP-SD-R6725-1.jpg" style="width: 298px;" /></a></p> <p>至於單路機型，以R6715為例，整臺伺服器能容納的儲存裝置數量（22臺E3.S固態硬碟），比起R6615（16臺E3.S固態硬碟），可提升37％。Dell也揭露這款機型的多種效能測試數據，像是：TPCx-AI、SPECvirt、SPECstorage</p> <p><a href="https://s4.itho.me/sites/default/files/images/R6715-2024-11-spec-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R6715-2024-11-spec-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/R6725-2024-11-spec-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/R6725-2024-11-spec-2.jpg" style="width: 298px;" /></a><br /> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Dell New PowerEdge R6725</strong></span><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆AMD第5代EPYC 9005系列<br /> ●記憶體：24個DDR5-6000插槽，最大可安裝至3 TB<br /> ●硬碟容量：4種硬碟槽選擇，可容納4臺3.5吋硬碟、10臺2.5吋SAS或SATA硬碟、8臺2.5吋NVMe固態硬碟，8、16、20臺E3.S固態硬碟的硬碟槽，機箱背部可安裝2臺E3.S固態硬碟<br /> ●I/O介面：3個PCIe 5.0 x16，可安裝兩張全高或矮版介面卡、1張矮版或OCP 3.0介面卡<br /> ●電源供應器：1800/1400/1500/1100/800瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/11 14:49作者李宗翰https://www.ithome.com.tw/review/166897
WatchGuard收購MDR業者ActZero，看準MSP市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防火牆業者WatchGuard<a href="https://www.watchguard.com/wgrd-news/press-releases/watchguard-acquires-actzero" target="_blank">宣布</a>已收購ActZero，以補強代管偵測回應（managed detection and response，MDR）產品線，鎖定代管服務供應商（managed service provider，MSP）。</p> <p>代管偵測回應（MDR）方案能持續監控企業多種IT環境（如雲端、本地、端點、身份）以因應入侵活動及隱蔽的惡意軟體。ActZero以結合AI及安全專家提供MSP（managed services provider）安全監控服務中心（Security Operation Center，SoC）聞名。其機器學習可協助自動化分析，減少誤判及噪音（noise），而其開放架構也可整合多種端點安全技術，除了WatchGuard方案、代管Firebox防火牆外，也能整合Microsoft Defender等第三方服務。</p> <p>WatchGuard 2023年開始提供其MDR服務，以監控客戶端點及Microsoft 365活動服務的攻擊活動或事件控制、事後調查。透過這項收購，得以強化WatchGuard現有24x7 MDR服務。ActZero技術和團隊將成為WatchGuard MDR產品線的基礎，擴展WatchGuard統一安全平臺（Unified Security Platform）成為更完整、成熟的MDR方案，以便鎖定大型服務商如MSP，在其傳統安全監控中心（SoC）服務項目下整合MDR服務。</p> <p>雙方已在2024年12月完成收購協議。在合併後，ActZero的SoC、員工及流程未來也將主導WatchGuard MDR服務。</p> </div></div></div>
2025/1/10 17:20作者林妍溱https://www.ithome.com.tw/news/166916
海纜中斷事件學者呼籲政府應強化國內通訊網路及服務韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月初野柳東北方海域發生海纜損毀事件，近幾年接連發生海纜遭到船隻損壞事件，曾擔任NCC電信普及服務基金委員的成大電機系教授李忠憲認為，此次疑似造成海纜損毀的船隻，背後為中國藉人士設立的公司所有，為中國對臺灣的資訊封鎖演習，臺灣仰賴海纜對外通訊，如果對外海纜都遭到破壞，將導致國際通信癱瘓，也會連帶影響本地服務及企業的正常運作，呼籲政府應加強國內通訊網路及服務韌性。</p> <p>目前臺灣對外共有14條海纜，平時因災害或海上航行船隻意外損壞海纜，中華電信通過緊急調度其他海纜或使用微波通訊來支援訊務，減輕單一海纜損毀對基本通訊的影響，然而，兩岸關係緊張，面對中國的軍演封鎖威脅，如果遇到蓄意破壞海纜，導致臺灣所有對外國際海纜中斷，台灣有可能成為通訊孤島。</p> <p>對此，李忠憲認為，臺灣海纜造到中國船隻損毀，已是熱戰的前哨戰，灰色地帶的極限作戰已經開始，國際海纜負責臺灣對外9成以上的國際通訊，如果所有海纜都遭到破壞，將使國際通信幾乎癱瘓，屆時跨國交易、金融服務，以及Google、AWS雲端服務，半導體產業的晶片設計跨國合作也會受阻。</p> <p>儘管新興的衛星通訊技術如低軌衛星通訊，在緊急狀態下可支援對外通訊，但是李忠憲指出，低軌衛星通訊服務如Starlink雖然提供高速網路，但是單顆低軌衛星頻寬為數十Gbps，即使Strarlink完成全星座，僅能提供全球20Tbps頻寬，而現今一條主流海纜可提供數百Tbps的頻寬，衛星通訊頻寬可在緊急時提供應急，但難以取代海纜的大頻寬優勢。</p> <p>因此，他建議實體網路基礎建設上，應建立戰時路由及通信架構，對外國際通訊方面，建立多條連接其他國家如日本、菲律賓的海纜，以分散風險，並且這些海纜的建置應採用物理防護措施，例如深埋、多路徑設計。另外，建立衛星通訊備援，部署高頻寬的衛星通訊系統，例如引進Starlink，建立軍事、政府及民間的合作，並建立地面站，確保衛星通訊服務品質。</p> <p>但是，「如果(海纜)斷了以後，國內網路也不通，要怎麼辦？」，李忠憲表示，國內不少服務連到國外，甚至很多使用Google的DNS，如果無法連到DNS，這些服務將會受到影響，過去臺灣對外海纜中斷，按照經驗，通常維修需要花費較多時間，但實際上國內網路仍是連通的，應該要讓國內的Proxy或資料庫伺服器仍能夠正常運作。「如果沒有設想讓國內網路自己連通，那麼所有服務都會癱瘓」。</p> <p>李忠憲表示，政府應該帶頭作準備，當所有對外海纜都被切斷，應思考國內實體網路仍能連通時，如何讓其繼續發揮作用。</p> <p>例如可以建立Smart Proxy代理，讓單一路由被切斷時，自動切換路由，避免被阻斷。另外，在國內部署大量的內容快取伺服器、CDN，確保關鍵服務，例如政府網站、金融系統的資料能在本地存取。</p> <p>此外，參考俄烏戰爭，開發戰時專用App，包括可以離線模式運作、具有分散式通訊能力的App，利用藍牙網狀網路或Wi-Fi的傳訊技術，讓民眾在緊急狀態下仍能有限制或基本的通訊能力，李忠憲認為，民眾處在網路時代，已習慣使用在網路取得各種服務及資訊，當緊急狀態導致網路通訊中斷，對民眾的生活帶來巨大的衝擊，通過專用App讓民眾獲得有限的通訊，即使所獲得的資訊相當有限，對於安定民心相當重要。</p> <p>由於國內欠缺對大規模網路中斷的應變演練，他也建議政府應作網路韌性的演習，定期模擬大規模網路攻擊或通信中斷的情境，去評估系統的響應能力；此外，讓技術人員演練應對海纜被斷、網路阻斷，提高對緊急狀態下，通訊受阻受限制時的應變能力。</p> </div></div></div>
2025/1/10 17:21作者蘇文彬https://www.ithome.com.tw/news/166914
【資安日報】1月10日，macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年鎖定蘋果電腦的攻擊行動有顯著增加的現象，過往這些針對macOS作業系統而來的攻擊事故，駭客大多會試圖繞過內建的Gatekeeper、XProtect等防護機制，但如今出現更為隱密的手法，使得防毒軟體更難察覺有異。</p> <p>資安業者Check Point揭露竊資軟體Banshee的攻擊行動，就是這樣的例子。這次引起研究人員注意的地方，就是此惡意軟體盜用來自XProtect的演算法，而能左右防毒軟體的分析結果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166906"><strong style="font-size: 22px;">竊資軟體Banshee鎖定蘋果電腦而來，冒用內建防毒XProtect的演算法迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/banshee-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/banshee-3.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避偵測讓惡意程式能順利執行，駭客試圖繞過防毒軟體偵測的手段不時傳出，其中又以針對Windows作業系統的攻擊行動裡較為常見，但蘋果電腦的用戶也不能掉以輕心，因為有人已試圖突破相關防護機制，而能成功暗中從事攻擊行動。</p> <p>資安業者Check Point指出，他們自去年9月發現竊資軟體Banshee新版的活動，並指出駭客將其用於攻擊行動兩個月，非法使用macOS內建防毒引擎XProtect的字串加密演算法，而有可能導致大部分的防毒軟體將其視為無害而放行。有別於駭客過往是專門針對XProtect下手，導致這種防毒措施無法識別惡意軟體，甚至連第三方防毒也難以察覺異狀，這次駭客卻是疑為利用XProtect的相關機制來干擾防毒軟體偵測，使得威脅變得更難被發現。</p> <p>值得留意的是，研究人員察覺駭客的攻擊手法變化，竟是因為駭客論壇XSS流出該竊資軟體的初始版本原始碼，才導致這種竊資軟體的攻擊行動曝光。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=134501&SPOKE_DATE=20250109&COMPANY_ID=9926"><strong style="font-size: 22px;">天然氣業者新海傳出遭遇勒索軟體攻擊，伺服器內部檔案被加密</strong></a></p> <p></p> <p>1月9日天然氣業者新海發布重大訊息，表示伺服器的內部檔案遭到勒索軟體加密，他們已切斷此伺服器的網路連線因應。</p> <p>針對這起事故可能會帶來的影響，根據初步評估，新海表示不影響正常營運，並對於財務、業務，以及用戶安全無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.obsidiansecurity.com/blog/butcher-shop-phishing-campaign-targets-organizations/">網釣攻擊Butcher Shop鎖定法律、政府、營造業而來，企圖挾持M365帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-4-000-backdoors-hijacked-by-registering-expired-domains/">逾4千個後門利用過期網域從事攻擊行為，研究人員註冊阻斷惡意活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-crowdstrike-job-offer-emails-target-devs-with-crypto-miners/">駭客假借資安業者CrowdStrike名義徵才，企圖散布挖礦軟體</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166910"><strong style="font-size: 22px;">Palo Alto Networks修補防火牆移轉工具多項弱點</strong></a></p> <p>1月9日資安業者Palo Alto Networks發布資安公告，主角是他們提供的多廠牌防火牆組態移轉工具Expedition，存在5個漏洞，有可能導致攻擊者能讀取Expedition的資料庫內容，或是在受害系統建立、刪除檔案，由於曝險檔案涵蓋使用者名稱、明文密碼、防火牆配置，以及防火牆API金鑰等資訊，因此IT人員要特別留意。</p> <p>根據CVSS風險評分，最值得留意的是高度險層級的CVE-2025-0103，此為SQL注入漏洞，通過身分驗證的攻擊者能藉此存取Expedition資料庫內容，甚至有機會建立及讀取檔案，CVSS風險評為7.8。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-01/">Mozilla基金會發布Firefox 134，修補3項高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166814"><strong style="font-size: 22px;">為打擊詐騙行為，Telegram導入第三方驗證機制</strong></a></p> <p>加密通訊軟體Telegram近年來用戶數持續攀升，但隨著使用者基數擴大，部分不法分子開始利用該平臺進行詐騙活動。Telegram在2025年第一波更新中，宣布導入第三方驗證機制，目的是提升資訊可信度並進一步打擊詐騙行為。</p> <p>在Telegram本次更新中，亮點之一便是第三方驗證系統。過去Telegram僅提供官方認證藍勾勾標章，用以標示公眾人物或組織的官方帳號，但是單憑官方認證已不足以完全杜絕假消息與詐騙行為，因此Telegram開放與經其官方審核並認證的第三方服務機構合作，讓這些機構能夠對平臺上的用戶帳號與聊天室進行額外驗證。</p> <p>這項新機制允許獲得授權的第三方機構，根據自身的專業與查核機制，對特定帳號或群組進行審查，一旦通過驗證，該帳號或群組名稱前將會出現一個由該第三方機構提供的專屬標誌，使用者點擊該標誌後，即可查看更詳盡的驗證說明與資訊。Telegram強調，此第三方驗證與官方藍勾勾驗證完全獨立，以提供更多元的資訊可信度判斷依據。</p> <p><a href="https://www.ithome.com.tw/news/166832"><strong style="font-size: 22px;">PyPI隔離措施奏效，數月阻擋逾百惡意專案</strong></a></p> <p>針對日益嚴重的軟體供應鏈安全問題，Python套件索引PyPI從2024年8月開始實施專案隔離（Project Quarantine）措施，以加速應對潛在的惡意軟體威脅。截至目前，該措施已成功隔離約140個可疑專案，有效阻止惡意軟體的散播。PyPI管理團隊表示，未來將發展自動化隔離機制，進一步提升平臺安全性。</p> <p>過去PyPI管理員在處理惡意軟體報告時，主要的應對手段是直接從資料庫中刪除整個專案。雖然這個方法能夠有效解決問題，但卻具有不可逆性，也可能影響到依賴該專案的其他合法使用者。此外，從接獲通報到實際移除專案之間存在時間差，也讓其他使用者暴露在風險之中。</p> <p>專案隔離機制提供更彈性且即時的應對方案。當專案被標記為隔離後，便會從PyPI的Simple API中移除，開發者便無法透過pip正常安裝，而且專案擁有者也將無法修改專案內容。藉此阻斷惡意軟體的擴散途徑。更重要的是，這種隔離狀態可逆，一旦管理員審查確認專案無害後，即可解除隔離，恢復其正常狀態。</p> <p><a href="https://www.ithome.com.tw/news/166809"><strong style="font-size: 22px;">擴充套件Pie Adblock侵權uBlock Origin，PayPal Honey團隊再掀爭議</strong></a></p> <p>新興的廣告攔截擴充套件Pie Adblock遭指控竊取知名開源廣告攔截器uBlock Origin的程式碼與過濾清單，嚴重違反GPL授權協議，在Reddit和Hacker News論壇引發網友高度關注。</p> <p>新興廣告攔截擴充套件Pie Adblock遭控侵權知名開源廣告攔截器uBlock Origin，嚴重違反GPLv3授權協議。此事件在Reddit和Hacker News等論壇引發熱烈討論，不僅是程式碼與過濾清單的盜用，更涉及背後開發團隊與爭議不斷的PayPal Honey購物比價擴充套件間的關聯。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/identity-access-management-security/1password-acqiures-saas-access-management-trelica">密碼管理解決方案業者1Password買下SaaS存取管理供應商Trelica</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166890"><strong>【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166875"><strong>【1月8日】駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166852"><strong>【1月7日】資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作</strong></a></p> </div></div></div>
2025/1/10 16:00作者周峻佑https://www.ithome.com.tw/news/166913
零售IT雙周報第49期：時尚電商Nykaa如何利用AI來加速6,200間品牌的商品上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(1229~0111)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #商品特徵辨認 #商品描述生成</span></strong></span><br /> <strong>印度大型時尚零售業者Nykaa如何利用AI與GAI，來加速6,200個品牌的商品上架</strong></p> <p>Nykaa是一家年營收6億美元，販售來自6,200多個品牌印度時尚類零售商。規模持續擴張的過程中，發現上架新商品時，新增商品資訊的效率不足</p> <p>上架商品時，Nykaa會從上千家供應商接收產品圖片、描述和特徵，接著還要經過人工品質檢查，才會上架。這意味著容易出錯，且難以擴展到一定規模以上。尤其，在換季時，需要一口氣新增超大量商品，如果無法及時上架，還會錯失好寶貴的銷售周期。</p> <p>為了解決這個問題，IT團隊利用AI與生成式AI，來自動化商品資料更新作業。首先，是商品特徵辨認環節。供應商提供的商品多為高解析度的優質圖片，因此IT團隊決定，利用影像辨識模型，提取出圖案、適合場合、袖長、領口和顏色等屬性。這一階段中，AI提取出的特徵足夠豐富、完整。Nykaa IT團隊便更進一步，將這些特徵輸入給LLM，來自動化生成符合SEO考量的商品描述。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#設計平臺 #生成式AI #UI/UX</span></strong></span><br /> <strong>Ebay揭露從頭自建的設計平臺，從UI/UX設計到廣告素材製作都包辦</strong></p> <p><a href="https://innovation.ebayinc.com/tech/features/ebay-evo-the-evolution-of-ebays-brand-and-design-system/">C2C電商平臺巨頭eBay揭露自家新推出的全球設計與品牌行銷平臺eBay Evo</a>，提供給全球eBay設計和行銷人員，以及外部行銷夥伴共用。此平臺由eBay工程團隊自建，從eBay首頁、商品頁面等電商介面，到廣告、行銷素材、內外部簡報，都會用此平臺上的工具製作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epb.png" style="width: 600px;" /></p> <p>平臺整合各種常見設計工具、簡報製作工具及生成式AI工具。介面及工作流程，都是根據內部人員工作習慣及消費者商品發現行為來設計。為使內外部人員都能妥善使用此平臺功能，他們還打造了一整個教學網頁，收錄280頁文字說明，超過2,700份說明圖片及影片，以及各種教學用互動式工具。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電商購車 #數位簽章</span></strong></span><br /> <strong>Amazon正式開賣汽車，支援數位契約簽署及汽車換購等功能</strong></p> <p><a href="https://www.amazon.com/-/zh_TW/stores/page/ED0A59DF-111C-4506-8D5E-946F1F00ADF9?inventory=0&distance=75">近日Amazon旗下汽車垂直電商Amazon Auto正式開賣汽車。</a>消費者可以像在一般電商一樣，根據車型、配件、顏色等條件尋找汽車。或者，選定型號後，再於電商介面中選購配件及規格。結帳後，再到地方車行取貨。電商標價就已經含稅金與其他費用，免去買車討價還價的流程。Amazon Auto支援大金額金流處理及所需契約的數位簽署，也提供舊車換購新車的購買模式。未來，Amazon還打算增加租車服務，以及更多支付選項，如各式貸款方案等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzhy.png" style="width: 600px;" /></p> <p>目前，此電商只服務美國特定區域，且只有現代汽車上架。現代汽車也在Amazon Auto進行一系列電商策展活動，大力擁抱數位零售型態。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #DSP #數據共享</span></span></strong><br /> <strong>Albertsons和Doordash等零售商推出RMN數據串接功能，供企業在外部平臺應用數據</strong></p> <p>在CES，大型連鎖超市Albertsons及美國外送龍頭Doordash相繼宣布推出RMN數據串接功能。Albertsons與數據科技商TransUnion提供RMN數據分析及拋轉功能，企業可以匯入Albertsons RMN原始數據到自家系統中使用，或透過TransUnion的技術，來綜合分析包括Albertsons在內，不同零售商及行銷通路的數據。</p> <p>Doordash則是與大型DSP The Trade Desk串接，企業可以透過TTD對Doordash受眾投放廣告，並查看Doordash提供的行銷成效數據。或者，可以綜合更多來源的數據，支援對其他受眾投放廣告的決策。</p> <p>隨著RMN發展，更多零售商不只用自家數據於自家通路做廣告業務，更開始發展RMN 2.0、3.0，將數據和行銷通路開放給外部應用。此時IT的數據處理能力及法遵措施，就會扮演重要角色。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#視覺辨識 #門市管理 #存貨追蹤</span></span></strong><br /> <strong>巡邏機器人不夠！Simbe推出定點式貨架追蹤裝置，監控高價值及高周轉率商品的存貨情況</strong></p> <p>門市管理科技廠商Simbe推出定點式貨架庫存追蹤裝置，用貨架上鏡頭搭配電腦視覺技術，不間斷監控門市內高價值或高周轉率商品的存貨情況，如酒類、高價商品、熱食和食材等。這個新裝置可以搭配他們原本主力產品，庫存盤點巡邏機器人，來追蹤門市中不同區域的庫存。兩種庫存追蹤設備的數據，會傳送到後臺分析系統匯整。過往使用Simbe巡邏機器人的客戶包括家樂福和BJ's等大型零售商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tally-spot-Hero.png" style="width: 450px;" /></p> <p>考量到每一個貨架上都安裝追蹤裝置，難易度、成本及數據規模都會過高，過往有零售商選擇在巡邏機器人上搭載電腦視覺能力，來追蹤存貨情況。Simbe推出定點式貨架追蹤裝置來搭配巡邏機器人，則是一個折衷做法，嘗試平衡數據新鮮度與成本。</p> <p><font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#行動裝置 #行動電商 #購物季報告</b></span></font><br /> <strong>行動裝置成美國最大宗電商購物裝置，連續兩年貢獻美國購物季過半交易金額</strong></p> <p><a href="https://business.adobe.com/resources/holiday-shopping-report.html">Adobe 2024購物季</a>線上購物報告出爐，此報告分析了超過1兆次電商造訪次數，橫跨1億個商品SKU的交易。<a href="https://business.adobe.com/resources/holiday-shopping-report.html">調查顯示，2024年美國11、12月購物季，有54.5%電商交易金額來自行動裝置通路，貢獻1,315億美元</a>。在耶誕節，行動購物的交易金額更達到了65%貢獻占比。在美國，行動裝置貢獻的交易金額以每年約3至4%的幅度成長，2022年貢獻47.1%購物季交易金額，2023年正式超過其他通路，來到51.1%，成為最大宗購物通路。這意味著，經營行動版網站及電商App等行動購物通路，對零售商的重要性逐漸提升。</p> <p>不過，論行銷轉換率，桌面裝置普遍較行動裝置轉換率高出2至4%，前者普遍為4至7%，後者則在2至4%間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>1. <a href="https://blog.google/products/chrome/chrome-autofill/">Google調查顯示啟用自動填入結帳資料功能的電商，會減少75%結帳彈出率及35%結帳費時</a></p> <p>2. <a href="https://www.businesswire.com/news/home/20241216276090/en">高檔百貨Bloomingdale's導入商家資訊整合平臺，以在網站上提供全商家存貨查詢功能</a></p> <p>3. <a href="https://news.samsung.com/global/samsung-joins-forces-with-instacart-to-enhance-kitchen-experiences-through-hallmark-innovation">外送平臺Instacart進軍三星智慧冰箱上，可利用電腦視覺技術</a>掃描冰箱食材並自動下單。</p> <p>4. 校園商店成無接觸結帳科技重要戰場，<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-locations">Amazon</a>與<a href="https://www.businesswire.com/news/home/20250102663812/en/Sodexo-to-Launch-100-%E2%80%98Food-Hive%E2%80%99-Community-Oriented-Campus-Convenience-Stores-by-2026">Sodexo</a>爭相於美國數十間學校導入自家技術</p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：AWS、eBay、Amazon、Simbe</p> <p></p> </div></div></div>
2025/1/10 16:29作者郭又華https://www.ithome.com.tw/news/166909
日本最大金融集團MUFG旗下銀行運用生成式AI加速業務銷售流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，日本三菱日聯銀行（三菱UFJ銀行）在一場活動上揭露內部如何運用生成式AI提升向企業客戶銷售產品的效率，並且，透過一步步加強應用功能，三菱UFJ銀行的AI/ML團隊慢慢發展出一套GenAIOps流程。</p> <p>三菱UFJ銀行AI/ML團隊負責人堀金哲雄表示，內部從今年開始發展一個專門提供給全球市場業務部門使用的GenAI平臺，要用生成式AI，加速該業務部門人員整理和研究企業客戶資料，協助生成企業報表資料，或趨勢分析草稿等任務。</p> <p>三菱UFJ銀行全球市場業務，主要協助企業客戶分析金融風險，提供一套顧問服務。這個業務團隊超過2,000名人，服務範圍涵蓋全球100萬名企業客戶。堀金哲雄解釋，這項業務的銷售人員為了協助客戶制訂有效的風險控管措施，往往需要耗費大量時間分析數百、甚至上千頁文件，才能深入了解不同客戶應對的金融市場風險，「可能要花上數小時，甚至數十天的時間。」堀金哲雄也提到，這是一個高度依賴技能的作業流程，「需要多年的經驗才能制訂出合適的解決方案。」</p> <p>為了提高業務員閱讀速度，三菱UFJ銀行AI團隊第一步，先用GenAI快速從PDF和HTML檔案萃取出關鍵資訊。不過，堀金哲雄表示，直接將原始檔案匯入LLM會增加不少處理成本，「特別是HTML檔案中包含許多重要性不高的標籤資訊。」團隊開發了一套數據處理管道，能在檔案匯入 LLM 前自動移除低關聯性的標籤，成功提高萃取關鍵數據的能力。</p> <p>第二步，是要協助銷售人員能共享彼此的想法或邏輯，並生成趨勢分析草稿。在這個步驟中，AI團隊和業務銷售團隊合作撰寫提示詞，不僅如此，三菱UFJ銀行的AI團隊也打造了一個Chatbot，讓銷售人員隨時都能測試提示詞。「業務人員和開發者之間密切合作非常重要，GenAI不僅僅是技術人員的工具，它應該為每個人服務。」堀金哲雄強調，由於銷售人員非常繁忙，因此提供一個易用性高的工具，對於加速業務和技術人員協作提示工程十分重要。</p> <p>完成前兩項步驟後，這項應用已經能協助銷售人員統整資訊和生成草稿。但是，三菱UFJ銀行的AI團隊仍持續提升這項應用的能力。</p> <p>堀金哲雄表示，為了持續改進提示詞，三菱UFJ銀行的AI團隊主要蒐集兩種數據，一種是銷售人員和AI間的對話紀錄，另一種是實際提供給企業客戶的簡報，以及來自客戶的回饋。透過整合這些資料，三菱UFJ銀行的AI團隊持續比對AI生成結果和實際展示給客戶的結果，再根據觀察的結果來改進提示詞。這套反覆改進提示詞的過程，也被堀金哲雄稱為GenAIOps流程。</p> <p>堀金哲雄表示，目前團隊仍是採用人工的方式檢驗 AI 生成內容與期望成果的差距，「但我們的目標是盡可能實現自動化，以協助銷售人員減少更多時間。」目前，三菱UFJ銀行的AI團隊為全球資本市場業務開發的GenAI應用，能在10到20秒內回應銷售人員的提問，同時提供單一企業的趨勢分析和報表資訊。相比過往銷售人員需要數小時到數天準備單一企業客戶的資料，用來撰寫趨勢分析文件，如今，銷售人員平均只需要1至2分鐘，就能單一企業客戶的趨勢分析文件草稿。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D(8).png" style="width: 600px;" /></p> <blockquote><p>三菱UFJ銀行為全球資本市場業務銷售人員開發的GenAI平臺名為Marketing DX，使用者只需選擇公司名稱、分析類型以及一些前瞻性數據，平臺左側就會顯示 AI 的輸出結果。使用者也可輸入問題，AI能在 10 至 20 秒內給出答案。(圖片來源:AWS)</p> </blockquote> <p></p> </div></div></div>
2025/1/10 17:07作者李昀璇https://www.ithome.com.tw/news/166756
Withings推出可量測全身生理數值的穿衣鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國智慧健康裝置業者Withings本周在CES 2025上<a href="https://www.withings.com/us/en/landing/omnia" target="_blank">發表</a>可量測心電圖、心率及體重等全身生理數值，及活動量、睡眠狀態的穿衣鏡Omnia，計畫取得美國FDA許可。</p> <p>Withings之前曾推出過<a href="https://www.withings.com/eu/en/blood-pressure-monitors" target="_blank">智慧血壓計</a>、<a href="https://www.withings.com/eu/en/scales" target="_blank">體重/體脂計</a>、<a href="https://www.ithome.com.tw/news/128103" target="_blank">心電圖量測手錶</a>、可量測血壓、體溫及心電圖的<a href="https://www.ithome.com.tw/news/160736" target="_blank">聽診器</a>等智慧健康裝置。最新的Omnia則是一個等身長的穿衣鏡，但底部有體重計，定位為中央健康小站（central health hub）。</p> <p>Omnia的概念是透過集結Withings現有裝置，包括體重/體脂計、血壓計和睡眠分析功能，以及第三方產品及應用程式，提供全方位的量測。使用者一站上Omnia就能從鏡中看到這些數值，包括心率、心電圖、活動量、體脂、新陳代謝、營養狀態、睡眠狀態。廠商表示這產品很適合運動愛好者、慢性病以及病後回復的用戶自我健康管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-OMNIA-photo%20by%20Withings-600.jpg" style="width: 477px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Withings</span></span></p> <p>訂閱Withings+服務的用戶可將心電圖資訊以App提供給Withings後端，由專門團隊提供心臟健康檢查（Cardio Check-Up）。這項服務僅在法國、德國及美國提供，該公司表示計畫未來推向其他國家。</p> <p>今年稍晚，Withings還會為Omnia加入AI語音助理，可根據數據提供建議，或是為使用者預約遠距諮詢，由合作醫療團隊提供遠距看診。</p> <p>不過目前CES看到的還只是概念機，Withings並未提供確定推出時程，但表示部份功能如臨床評估及AI建議，今年內可部署在Withings App。</p> <p>這種智慧鏡要如何打入市場值得觀察。健身服飾品牌Lulumon 2020年買下智慧健康鏡業者Mirror，推出Studio Mirror，鎖定疫情間在家運動的消費者。但1,500美元及39美元訂閱月費價格不斐，加上疫情褪去後賣點消失，因而在2023年<a href="https://www.cnet.com/health/fitness/lululemon-to-stop-selling-studio-mirror-fitness-device-as-it-teams-up-with-peloton/" target="_blank">停售</a>。</p> </div></div></div>
2025/1/10 15:28作者林妍溱https://www.ithome.com.tw/news/166912
竊資軟體Banshee鎖定蘋果電腦而來，繞過內建防毒XProtect迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避偵測讓惡意程式能順利執行，駭客試圖繞過防毒軟體偵測的手段不時傳出，其中又以針對Windows作業系統的攻擊行動裡較為常見，但蘋果電腦的用戶也不能掉以輕心，因為有人已試圖突破相關防護機制，而能成功暗中從事攻擊行動。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2025/banshee-macos-stealer-that-stole-code-from-macos-xprotect/">他們自去年9月發現竊資軟體Banshee新版的活動</a>，並指出駭客將其用於攻擊行動兩個月，導入了一種來自macOS作業系統內建防毒XProtect的字串加密機制，而有可能導致大部分的防毒軟體將其視為無害而放行。<a href="https://www.ithome.com.tw/news/160906#xprotect">有別於駭客過往是專門針對XProtect下手</a>，導致這種防毒措施無法識別惡意軟體，甚至連第三方防毒也難以察覺異狀，這次駭客卻是疑為利用XProtect的相關機制來干擾防毒軟體偵測，使得威脅變得更難被發現。</p> <p>值得留意的是，研究人員察覺駭客的攻擊手法變化，竟是因為駭客論壇XSS流出該竊資軟體的初始版本原始碼，才導致這種竊資軟體的攻擊行動曝光。</p> <p>這款竊資軟體大約從去年7月開始活動，主要功能是竊取瀏覽器帳密資料、加密貨幣錢包，甚至是文件裡的機敏資訊。打造Banshee的開發團隊以租用的方式提供駭客運用，開價3千美元。</p> <p>但到了9月駭客使用了新版Banshee，研究人員指出，最特別的地方在於，開發者疑似從蘋果XProtect防毒引擎盜取一種字串加密演算法，並運用於Banshee上，而能躲過一般的靜態檢測機制。</p> <p>而對於攻擊者散布這款竊資軟體的管道，主要是透過釣魚網站及惡意GitHub儲存庫來進行，在部分使用GitHub的攻擊行動裡，駭客同時針對Windows及macOS用戶發動攻擊，若是Windows用戶上當，他們的電腦就有可能被植入Lumma Stealer。</p> <p>雖然因11月下旬程式碼外流，開發者終止提供服務，導致Banshee攻擊行動受到影響，但研究人員發現，駭客仍舊假借提供應用程式的名義，透過釣魚網站散布這款竊資軟體。</p> </div></div></div>
2025/1/10 14:15作者周峻佑https://www.ithome.com.tw/news/166906
善良的力量需要持續壯大
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球政經情勢持續動盪，2024年早已呈現多項重大變局，剛進入2025年開春的此刻，自是無法輕易擺脫這股不安氣氛。對於臺灣而言，內有國會政黨對立情勢益發僵持，多項引發重大爭議的法案在缺乏充分討論的狀況下，被國會具有多數席次的政黨強行通過，大罷免浪潮眼見成形，外有中國虎視眈眈，不僅有中共解放軍飛機、船艦持續在臺海周邊海、空域活動，中華電信國際海纜於野柳東北方海域海底發生斷纜事故，海巡署初步研判，疑為航經該海域之喀麥隆籍「SHUNXIN39」貨輪造成，也引發國人關注臺灣對外網路通訊的韌性。</p> <p>事實上，不少國家都面臨這類迫在眉睫的資安防護挑戰，也是我們本期製作封面故事<a href="https://www.ithome.com.tw/article/166902" target="_blank"><span style="color:#3366ff;">《2024國家級間諜攻擊來襲》</span></a>的主要動機，近期適逢美國揭露多家電信業遭到中國駭客組織攻擊的狀況，我們想借鑒介紹當中狀況與因應方式，希望帶領大家反思臺灣目前面臨的處境與應對之道。</p> <p>情況很嚴峻，但臺灣其實沒有悲觀的本錢！我們必須持續自我壯大，加強對外合作，保護臺灣的善良，需要更積極的行動。</p> <p>在此同時，對於善良的看重，也帶給臺灣很大的力量，網路上已經有許多影片證明臺灣民眾，也有不少企業秉持這樣的經營理念，而且，所謂的善良，是務實、有為有守，並非無知天真的盼望，也不是刻意委曲求全，而是站著也能掙錢！在確保彼此尊重、都有尊嚴的狀態下，一起把事情做好，讓大家能夠互相信任，都成為善良的人。</p> <p>最近我參加雲端服務代管與顧問公司網創資訊的媒體活動，公司創辦人暨總經理吳炳鈞恰巧談到他們秉持的一個信念就是善良。</p> <p>吳炳鈞表示，他們的核心競爭力與文化，不只是多數企業都會要求的專業、快速，更特別的是他們要求員工要「善良」，禁止內部政治鬥爭，違者會請相關人員離開，因此得到的效益是員工的離職率低、快樂度高，而且每位員工他都親自面試，目的並非驗證人員的技術與經驗，而是要了解人格特質。</p> <p>也許很多人會認為，在高度競爭的商業領域，能夠有一席之地並不容易，但善良的價值真的是有辦法突顯嗎？類似「對敵人仁慈，就是對自己殘忍。」這樣的俗語非常多，提醒大家要懂得自保，然而，《孟子》〈梁惠王〉提出「仁者無敵」的對比，則以另一種角度詮釋善良不只是一個動機、只靠心念，仰賴祈禱和祝願並無法成真，而是要積極採取行動，與人為善，因此，孟子是這樣期許國家領導者的：「王如施仁政於民，省刑罰，薄稅斂，深耕易耨。壯者以暇日修其孝悌忠信，入以事其父兄，出以事其長上，可使制梃以撻秦楚之堅甲利兵矣。」</p> <p>為了使世界恢復到真正的和平，很多人都明白彼此對抗並非長久之計，這個衝突的過程很難避免，但請大家時常反思：「與怪物戰鬥的人，應當小心自己不要成為怪物。當你長久凝視深淵，深淵也在凝視著你。」這是尼采在《善惡的彼岸》所寫到的，如今已被大量小說、影視、漫畫所引用，這提醒我們不要因為彼此的對立，最終卻迷失在爭戰當中，甚至成為敵對者那樣惡劣的人。</p> <p>該如何避免這樣的狀況發生？我想到宮崎駿在漫畫《風之谷》第6集的劇情。</p> <p>主角娜烏西卡內心歷經一趟自我修復的歷程，她的敵人：土鬼帝國統治者也潛入她的心靈、伺機傷害，但她看穿皇帝長年的恐懼與不安，而且主動從絕望的「虛無」步入生機勃勃的「森林」，眼見尾隨在後的皇帝即將被無邊黑暗的「虛無」吞沒，娜烏西卡不忍、決定拉他一把，將無助的皇帝帶入光明的「森林」當中。</p> <p>而前來救援的森林人瑟爾穆進入娜烏西卡心中，也看到這樣的情景，決絕地認為不應該施救，他說：「來自黑暗的人，應該再回到黑暗去。」娜烏西卡則說：「在我的心中，也存在著黑暗，如果這森林是我內在的森林，那這沙漠也是我內在的東西…若真是如此的話，他便也是我的一部分」，聽到此話後，瑟爾穆的善心也被觸動，他對娜烏西卡說：「當我看到你願意將汙穢帶入淨土而滌清，我真的很開心」。</p> <p>宮崎駿藉此表現他對解決二元對立的看法，以及他認知的包容，關鍵在於心念，面對現實世界的激烈衝突，我們還有一條很長的道路要走，也要記得善良是不可或缺的。</p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/2024%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%96%93%E8%AB%9C%E6%94%BB%E6%93%8A%E4%BE%86%E8%A5%B2">2024國家級間諜攻擊來襲</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E4%BF%A1%E6%A5%AD">電信業</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2">中國駭客</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E5%AE%B6%E7%B4%9A%E7%B6%B2%E8%B7%AF%E9%96%93%E8%AB%9C">國家級網路間諜</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E9%96%93%E8%AB%9C">網路間諜</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E5%9F%BA%E7%A4%8E%E8%A8%AD%E6%96%BD">關鍵基礎設施</a></div><div class="field-item even"><a href="/tags/%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%A7%AD%E5%AE%A2">國家級駭客</a></div></div></div>
2025/1/10 14:34作者李宗翰https://www.ithome.com.tw/voice/166908
Palo Alto Networks修補防火牆移轉工具多項弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月9日資安業者Palo Alto networks發布資安公告，<a href="https://security.paloaltonetworks.com/PAN-SA-2025-0001">修補防火牆移轉工具Expedition一系列漏洞</a>，有可能導致攻擊者能讀取Expedition的資料庫內容，或是在受害系統建立、刪除檔案，由於曝險檔案涵蓋使用者名稱、明文密碼、防火牆配置，以及防火牆API金鑰等資訊，因此IT人員要特別留意。</p> <p>根據CVSS風險評分，最值得留意的是高度險層級的CVE-2025-0103，此為SQL注入漏洞，通過身分驗證的攻擊者能藉此存取Expedition資料庫內容，甚至有機會建立及讀取檔案，CVSS風險評為7.8。</p> <p>其餘幾個漏洞CVE-2025-0104、CVE-2025-0105、CVE-2025-0106、CVE-2025-0107被列為中低風險，涉及跨網站指令碼（XSS）、任意檔案刪除、未經授權的攻擊者能得知檔案名單、命令注入，CVSS風險介於4.7至2.7。</p> <p>該公司強調這項漏洞僅影響Expedition，不影響防火牆作業系統PAN-OS、安全存取服務邊界（SASE）系統Prisma Access、防火牆管理系統Panorama，以及雲端防火牆Cloud NGFW。</p> </div></div></div>
2025/1/10 15:10作者周峻佑https://www.ithome.com.tw/news/166910
LG、三星智慧電視將加入Copilot、AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CES 2025上，南韓電子大廠LG、三星分別展出新AI智慧型電視，也將整合AI助理Copilot以提供個人化內容建議，以及其他AI功能以強化影音表現，和個人化使用體驗。</p> <p>LG新式OLED evo電視系列<a href="https://www.lgnewsroom.com/2025/01/lg-introduces-2025-oled-evo-lineup-with-vibrant-brightness-and-ai-powered-personalization/" target="_blank">包含</a>無線OLED evo M5，以及OLED evo G5，搭載最新α（Alpha）11 AI Gen2處理器。LG新電視主打AI體驗，包括依用戶名字問候，根據用戶喜好和觀看習慣提供個人化推薦，AI Voice ID則可識別個人聲音、自動切換個人資料和提供符合個人喜好的內容建議。電視也內建了Microsoft Copilot，方便使用者以手動或聲音輸入提示，查詢資訊。底層的LLM可理解對話上下文，提供更精準互動。Copilot還會主動察覺用戶使用上的困難而提供建議方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-LG-OLED%20evo%20M5.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／LG</span></span></p> <p>三星則<a href="https://news.samsung.com/global/samsung-electronics-unveils-samsung-vision-ai-and-new-innovations-at-first-look-2025-delivering-personalized-ai-powered-screens-to-enrich-everyday-life" target="_blank">公布</a>了旗艦機種Neo QLED 8K QN990F，以及Lifestyle TV新版本等。三星全系列主打內建Vision AI。</p> <p>Vision AI整合了和Google及微軟合作的AI技術。例如其智慧電視和智慧顯示器都會包含Microsoft Copilot提供Copilot服務，像是個人化內容建議。但其他方面則是來自Google；例如Click to Search可允許用戶選取圖片或文字，或是結合圖片辨識進行進一步搜尋、即時翻譯（Live Translate）以及生成式桌布（Generative Wallpaper）。</p> <p>三星Vision AI將整合SmartThings物聯網生態系統，使三星電視螢幕成為智慧家庭中心樞紐。三星表示會和Google等其他業者合作擴展Vision AI功能。</p> <p>其他功能方面，LG電視其他AI功能包括深度學習演算法可分析和改善低解析度的影像畫質，提供像素級的精準度，動態色調比對（Dynamic Tone Mapping Professional）則允許專業創作者微調HDR10影像內容。AI Sound Pro透過虛擬 11.1.2聲道環繞聲提供豐富、身臨其境的音訊，調整音調平衡和清晰度。AI Picture/Sound Wizard為每個使用者量身定製音訊和影片模式。</p> <p>三星的Neo QLED 8K QN990F，號稱三星最先進的電視，採用最新的<a href="https://www.samsung.com/us/tvs/neoqled-tv/" target="_blank">NQ8 AI Gen3處理器</a>，利用設備上的一系列AI功能來提供8K影像品質、聲音清晰度和整體觀看體驗。Auto HDR Remastering Pro及Color Booster Pro以AI驅動的場景分析，增強每幀圖像處理色彩表現。Adaptive Sound Pro則使用AI分離和優化語音、音樂和音效等聲音元件，提供清晰、平衡的音訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-%E4%B8%89%E6%98%9FF_NQ8%20AI%20Gen3%E8%99%95%E7%90%86%E5%99%A8_TV_600.jpg" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p>繼LG之後，三星昨日宣布將在2月從南韓開始，提供智慧家電AI訂閱功能。</p> </div></div></div>
2025/1/10 14:12作者林妍溱https://www.ithome.com.tw/news/166905
2024國家級間諜攻擊來襲
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0.jpg?itok=u6CsouLz" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年底美國9家電信業遭國家級駭客攻擊，不只危及電信服務，3億民眾日常即時通訊App的訊息，也會被敵對國家支持的駭客組織竊聽，看似電影情節的國家危機已真實發生。</p> </div></div></div>
2025/1/10 11:46作者羅正漢https://www.ithome.com.tw/article/166902
【重新認識國家級駭客威脅】全民資安風險倍增！國家支持的網路間諜攻擊升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2025年到來，1月初臺灣又遭受大規模DDoS攻擊，讓國人再度意識到資安威脅的不斷發生，儘管此次服務阻斷攻擊僅短暫影響網站系統運作，但更值得我們關注的是：當前網路威脅的多樣化。</p> <p>例如：有如小偷般的非組織型入侵者，有以宣揚理念為目的的游擊型駭客主義者，還有經濟利益導向有如黑幫的組織型駭客團體。而最為嚴峻的威脅，則來自以政治目的為驅動，帶有敵意的國家級駭客組織，因為有國家資源支持且其行動具組織性與策略性，不只竊取高價值情報與商業機密，以獲取競爭優勢，同時也聚焦長期潛伏以在必要時，能癱瘓他國關鍵基礎設施運作。</p> <p>國家級駭客發動的網路間諜攻擊，長期以來是全球資安關注的核心議題。雖然部分事件偶爾登上國際新聞版面，但若缺乏持續關注，大眾可能無法掌握這類威脅的新變化。事實上，資安界與國家網路安全單位經常發布研究報告，目的在於揭露攻擊手法與趨勢，讓威脅更加透明化，幫助業界與大眾認識這類網路犯罪，並更清楚地了解威脅現狀。</p> <p>例如，2024年底，美國至少有多達8家當地電信業者遭到中國駭客的入侵，此事再度警示國家級間諜攻擊的高度滲透力與多樣化手段。</p> <p>2025年1月，臺灣國安局發布中共網駭手法分析報告，指出中共網軍這一年來鎖定的目標中，情況最嚴峻的是電信業為主的通訊傳播領域，較前一年度大增650％，交通、國防供應鏈也成重災區，較前一年度分別增加70％與50％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-%E5%B0%81%E9%9D%A2(1)-960.png" style="text-align: center; width: 600px;" /></p> <p>接下來，我們將深入探討這些年來網路間諜攻擊的重大變化，協助大家能夠進一步了解當前威脅態勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「國家資助駭客組織」一詞的涵蓋範圍日趨複雜</strong></span></span></p> <p>基本上，這些受國家資助的駭客組織（State-Sponsored actor），一般也稱國家級駭客組織（Nation-State actors）。</p> <p>過去資安界看待這類威脅時，通常都歸類在APT組織，因為他們經常使用進階持續性威脅（Advanced Persistent Threat，APT）的手法，能夠長時間隱匿其入侵蹤跡，不過隨著時局的演變，這些意涵都有一些小小的變化。</p> <p>例如，10年前發現的APT組織，有不少都是直接受國家指揮。</p> <p>在2013年，美國資安公司Mandiant揭發APT1組織，並查出其背後身分是來自解放軍總參謀部三部二局61398部隊；芬蘭資安業者F-Secure在2015年揭發一項已潛伏7年的俄羅斯網路間諜活動，該駭客組織最初由FireEye命名為APT29，經多家資安公司分析後，確認其隸屬於俄羅斯對外情報局（SVR），並與旗下的GTsST軍事單位74455 有密切關聯。後續英國國家網路安全局與美國CISA的報告，也進一步證實相關的發現。</p> <p>之後這些所謂的國家級駭客，包括「政府資助的半獨立團體」。主要原因是，隨著這些國家對網路攻擊能力需求的增長，開始資助或支持一些非軍事背景的駭客團體或技術專家。</p> <p>到了最近幾年，這些國家級駭客也涵蓋「國家支持的民間企業與承包商」，因為這些組織名義上雖然是商業公司，但實際上也在進行政府指派的網路攻擊任務。雖然過往這些處於極權國家的幕後資訊，其實並不容易被外界發現，但陸續都有發現相關線索。特別是2024年初，中國資安業者安洵（i-Soon）內部文件外洩，當中浮出檯面的各種資料，也具體展現這種合作現象。</p> <p>在安洵外洩的文件中，不僅使中國當局網路間諜活動曝光，也讓安洵本身是成都404網絡技術公司的分包商曝光，並顯現出承包中國政府網路間諜業務的業者，彼此有激烈競爭。還有成都404等公司被發現共同參與一些大型專案，通常是由中國公安部或國安單位主導。</p> <p>整體而言，這些都可說是受到國家支持的駭客組織，簡稱國家級駭客。</p> <p>另一方面，以APT組織的稱呼而言，儘管資安界仍然會使用這樣的術語來形容駭客組織，但要注意的是，早年主要是國家級駭客使用APT手段來攻擊，但現在並不一定，例如隨著有利可圖的勒索軟體攻擊興起，這些組織也會以APT攻擊方式入侵。</p> <p>換言之，這些國家級駭客都可說是APT組織，但現在所謂的APT組織，可能不全然泛指國家級駭客。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>國家級駭客的網路間諜持續演進，攻擊方式更刁鑽</strong></span></span></p> <p>近年來，國家級駭客的網路間諜攻擊（Cyber Espionage）的威脅與危害，是越來越嚴峻，而且傳播間諜軟體方式的轉變，影響層面也加深。</p> <p>簡單來說，現在的國家級駭客在發動進階持續性威脅時，不只是傳統直接攻擊企業本身，如今還會以間接的方式，藉由供應鏈攻擊，或是藉由挖掘邊緣裝置零時差漏洞，甚至是往最上游的開源軟體下手植入惡意程式，因為這類攻擊能一次入侵多家企業組織，若只針對特定目標，也讓受害組織難以防範。以下我們舉出幾個近年特別受矚目的事件。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法一：藉由供應鏈攻擊方式潛伏 </span></strong></span></p> <p>以供應鏈攻擊而言，這種攻擊是以軟體開發人員和供應商為目標媒介，而真正網路間諜行動的對象是其企業用戶。</p> <p>2020年底爆發的SolarWinds事件，就是極其嚴重的網路間諜活動，造成美國及歐洲數百個政府與商業機構受害，震撼全球。</p> <p>這起事件，最初僅是資安業者FireEye表明遭駭，揭露自家公司內部的紅隊測試工具外洩，但數日後，他們發現原因是IT監控軟體公司SolarWinds遭駭。</p> <p>隨後，多家使用SolarWinds系統的企業組織紛紛開始盤查，於是更多受害者浮上檯面，包括美國政府單位、微軟等多家業者，都揭露自己同樣遭攻擊。</p> <p>後續調查結果更顯示出，SolarWinds IT監控平臺Orion的更新機制遭駭，特定Orion版本遭植入Sunburst木馬程式，據SolarWinds估計，在3.3萬家Orion客戶中，就有1.8萬家安裝含有後門程式Sunburst的Orion，顯示出這類網路間諜攻擊的嚴重性。而且，後續還找到不同駭客也入侵SolarWinds的事證，因為發現另一個Supernova木馬程式。</p> <p>這起供應鏈攻擊背後的攻擊者是誰？隨著長時間的廣泛調查，根據其攻擊手法與工具，Sunburst木馬程式被認為是俄羅斯政府支持APT29有關；另一個Supernova木馬程式的植入，則被認為與中國駭客組織Spiral有關。</p> <p>2021年4月，美國政府正式指控俄羅斯對外情報局（SVR）是主使者，而在資安領域當中，該機構亦被稱為APT 29、Cozy Bear及The Dukes。</p> <p>這1年多來，還有多起重大網路間諜攻擊事件。例如，2024年1月，微軟內部郵件系統遭入侵，被發現是俄羅斯駭客組織Midnight Blizzard滲透，並造成多個美國政府機關組織資訊外洩情形。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法二：鎖定邊緣裝置零時差漏洞 </span></strong></span></p> <p>以零時差漏洞利用攻擊來入侵，亦是國家級駭客近年持續青睞的攻擊管道。</p> <p>例如，2024年1月，資安業者Ivanti公布兩個已遭利用的零時差漏洞，當時通報此事的資安業者Volexity表示，這是名為UTA0178的駭客組織所為，而且，他們是為中國政府服務的組織。</p> <p>同時指出全球有超過1,700個Ivanti的VPN裝置，有遭入侵的跡象，受害者遍布全球，全球政府及軍事部門、國家電信業者、國防承包商、科技業者、金融業者、全球顧問及航太業者等。</p> <p>接下來一個月內，Ivanti持續公布多個零時差漏洞利用的狀況，並發現有多組駭客加入利用漏洞攻擊的行列。</p> <p>4個月後，另一家Google旗下資安業者Mandiant指出，確認有8組人馬鎖定Ivanti Connect Secure漏洞攻擊，其中5組來自中國。相關的受害者也陸續浮上檯面，例如：美國資安研究機構MITRE證實因Ivanti攻擊事件受害，導致他們用於資安研究、開發和原型設計的協作網路環境（NERVE）遭入侵，而且，MITRE也揭露當時駭客利用複雜的後門程式及Web Shell，持續存取機構內部的網路環境。</p> <p>如今這類威脅態勢更趨嚴峻，因為近年被鎖定的IT供應商是越來越多，而且中國駭客利用這種手段的情形大增。</p> <p>根據Google在2024年3月公布的零時差漏洞利用年度報告，更多企業的供應商與產品成為攻擊目標，從2019年的4個供應商被鎖定，之後更是逐年增加，到了2023年，多達21個供應商被鎖定。</p> <p>而且，如今攻擊者正大肆鎖定各種類型的邊緣裝置，包括郵件、檔案分享、遠端存取、行動存取與虛擬裝置。</p> <p>另一備受關注的現象是，由中國政府支持駭客組織發動的零時差漏洞攻擊大增。因為2023年的21個零時差漏洞攻擊，就有12個是中國駭客組織發動，漸漸超過其他國家駭客組織。</p> <p>上述情形，也呼應到Google Mandiant先前的觀察：隨著中國於2021年實施《網路產品安全漏洞管理規定》，要求任何人發現或得知網路產品安全漏洞，皆須通報中國工業和信息化部，不得自行公布。</p> <p>此舉當時已讓資安界質疑，中國這樣的漏洞揭露政策，可能助長中國暗藏零時差漏洞，做為日後發動網路攻擊之用。隨著中國駭客的零時差漏洞攻擊越來越多，許多資安業者追蹤事故後，也都有同樣的判斷，最近又有一例。</p> <p>2024年10月底，資安業者Sophos揭露歷時5年調查的「Pacific Rim」行動，調查人員發現駭客在四川地區從事相關的漏洞研究利用及開發，並將結果提供給中國政府支持的駭客團體使用，像是APT41、APT31和Volt Typhoon等。</p> <p>另一方面，我們也要提醒企業組織，應當注意已知漏洞的修補問題。基本上，現在許多廠商都已重視漏洞修補，就是為了避免駭客先找出漏洞並利用，同樣地，企業組織也需關心這些安全更新的發布，並且盡速因應。</p> <p>這是因為，這方面的攻擊實例其實更多。不少國家級駭客經常鎖定這些已知漏洞，針對未修補的企業組織的企業來入侵，甚至在漏洞剛修補之際，駭客就想利用修補時間差來先一步滲透。</p> <p>當已知漏洞企業沒有修補，這在實體世界中會是甚麼模樣？如同一扇門旁邊出現小洞，沒有擋起來，對於有心人士而言，只要設法將手伸進門縫，就能隨時從內部開門、潛入。</p> <p>由於中國駭客網路攻擊邊緣網路裝置情形大增，這又引來另一問題：中國網路設備業者的產品風險可能增加。因為這些中國業者將產品銷售給全球，若是不像國際業者有意願修補產品漏洞，或是在關鍵時刻受到中國政府施壓，讓其產品可以成為入侵管道。這也就是國際間持續在討論的問題，像是美國政府近年提倡乾淨網路，此項廣泛涵蓋多個領域的計畫，也是在國家級駭客網路攻擊越來越嚴峻之下，才開始推動。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法三：從開源軟體生態系布局 </span></strong></span></p> <p>國家級駭客為了發展網路間諜行動，無所不用其極，破壞開源軟體生態也在所不惜。2024年3月底，XZ Utils程式庫被揭露植入隱密後門，引發資安界廣泛關注。因為後續調查顯示，攻擊者從3年前開始積極參與XZ項目的維護工作，以取得原始開發人員的信任。</p> <p>在獲得信任後，攻擊者的手法同樣相當隱密且難以察覺，會透過兩個包含惡意雙位元程式碼的測試壓縮檔的結合，在特定條件下解析出惡意程式，而從其建立的後門功能來看，將讓攻擊者可繞過SSHD身分驗證，並獲得未經授權的遠端存取權限。</p> <p>資安專家普遍認為，這種精心策畫的攻擊行動極有可能由國家級駭客組織發起。不過，由於相關開發人員及早察覺到異常，並深入調查將此事公開，使得威脅並未擴散，只是，未能有資安業者與研究人員指認攻擊者的身分。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>揪出更多網路間諜活動，需要跨國情資聯防因應</strong></span></span></p> <p>整體而言，這些網路間諜行動由於後續被公開揭露，使得外界可以更清楚了解其手法與影響。</p> <p>若進一步能連結、指認背後的攻擊者身分，或將其逐一歸類，對資安界同樣重要。主要目的在於，不同國家級駭客組織具有獨特的攻擊手法、使用的工具與目標產業，透過這樣的歸類，可以識別其TTP與攻擊模式，了解動機與主要目標，以制定針對性防禦策略，並分享威脅情報，協助資安風險的評估，以及早期預警的發布。</p> <p>同樣地，對於普遍企業與政府而言，防守方不僅需要整合威脅情報，並採用主動式監控與快速回應的策略，同時也更需要跨國合作與情報分享的聯防，才能減少網路間諜攻擊的衝擊。</p> <p>試想，若是這些網路間諜行動越晚被發現，受害的範圍與程度也將更為擴大，導致越新的商業價值資料與情報被竊取，甚至在關鍵時局發作，將帶來更大衝擊。</p> <p>隨著新一年度2025年的來臨，近期最受關注的國家級駭客威脅，當屬美國8家電信業遭中國駭客Salt Typhoon入侵，因此，接下來，我們邀請國內2家資安業者，包括趨勢科技與TeamT5，與他們的專家一同繼續探討最新情形與演變。<strong>（請見：＜<a href="https://www.ithome.com.tw/news/166898" target="_blank"><span style="color:#3366ff;">美國多家電信業遭駭成2024最大網路間諜事故</span></a>＞、＜<a href="https://www.ithome.com.tw/news/166900" target="_blank"><span style="color:#3366ff;">多國紛紛頒布電信業資安強化指引</span></a>＞）</strong></p> <hr /> <p><strong><span style="color:#FFFF00;"><span style="font-size:28px;"><span style="background-color:#000000;"> 2024國家級駭客攻擊全球各國，臺灣名列五大重災區之一 </span></span></span></strong></p> <p class="rtecenter"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E5%85%A8%E7%90%83%EF%BC%8C%E8%87%BA%E7%81%A3%E6%98%AF%E9%87%8D%E7%81%BD%E5%8D%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></span></strong></span></p> <p><strong>面對國家級駭客攻擊，有那些國家要特別注意？關於這方面的態勢，我們發現微軟在三個月前（2024年10月底）發布的2024數位防禦報告，公布了多項威脅態勢，當中就有一項是針對國家資助駭客組織（State-Sponsored）威脅的揭露，並指出這一年來，全球區域最常被鎖定攻擊的國家。</strong></p> <p><strong>值得注意的是，在東南亞與太平洋地區，臺灣持續是最受國家級駭客鎖定攻擊的目標，其次為南韓、印度。進一步從全球不同地區來看，在美洲地區，遭受國家級駭客威脅最大的是美國；在中東與北非地區，是以色列、阿拉伯聯合大公國遭受威脅最大；在歐洲與中亞地區，以烏克蘭、英國遭受威脅最大。</strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 對應政府網路間諜活動需求，商業掮客出現 </span></strong></span></span></p> <p><strong>在網路間諜攻擊中，有一種類型是鎖定消費端產品而來，例如：挖掘出瀏覽器與智慧型手機的零時差漏洞並利用，但這不一定是國家級駭客所為，也有商業間諜駭客販售這類工具，提供政府組織使用，並經常鎖定政治、非營利組織（NGO），以及媒體等特定人士。</strong></p> <p><strong>例如，加拿大公民實驗室（Citizen Lab）在2020年揭露，有駭客利用iPhone的零時差漏洞，針對卡達半島電視臺36名員工的iPhone植入Pegasus間諜程式，此間諜程式其實是以色列間諜軟體開發商NSO Group所打造，並且專門銷售給政府組織來使用。</strong></p> <p><strong>此外，2023年9月蘋果公布的漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa與其客戶。</strong></p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 極權國家網路間諜目標廣，涵蓋少數族群監控 </span></strong></span></span></p> <p><strong>國家級駭客的間諜軟體攻擊目標雖以外國為主，也常被用於國內監控人民。例如，2019年，Google 威脅分析小組揭露某間諜軟體攻擊活動已持續兩年，透過多個被駭網站攻擊iPhone用戶，共發現利用14個iOS漏洞（含7個Safari漏洞）；隔年資安業者Volexity指出，中國支持的Evil Eye駭客組織透過類似方式，攻擊6個網站與濫用iOS漏洞，來感染瀏覽網站的使用者，目的是監控維吾爾族電子郵件與即時通訊內容。</strong></p> <p><strong>這些年，持續有這方面的研究報告公開，最近2024年12月又有2起。趨勢科技揭露，Earth Minotaur駭客組織攻擊維吾爾族與圖博人士，主要是針對Android、Windows而來，部署DarkNimbus後門程式；資安業者Lockout揭露，發現新的安卓間諜軟體EagleMsgSpy，追查後發現背後是中國公司武漢中軟通證所開發，並由公安部使用。</strong></p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/1/10 11:47作者羅正漢https://www.ithome.com.tw/news/166901
【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客網路間諜攻擊帶來的危害，不只是資安業者頻頻揭露最新攻擊活動，公布竊取國家情報、商業機密的手法，近年國家級網路安全機構也經常發布資安公告，對國家關鍵基礎設施或企業示警，將攻擊滲透方式與威脅態勢公諸於世，目的是讓企業組織與公眾能了解事情的嚴重性，因為這類網路間諜活動不亞於網路詐騙、資訊作戰，在眾人不知不覺的時候，就已經對國家帶來重大危害。</p> <p>最近，全球一起網路間諜攻擊事件的揭露備受矚目，而且苦主是身為關鍵基礎設施之一的電信產業，但影響的更是政府人士與全體國民的日常通訊。</p> <p>2024年底，美國至少9家電信業遭中國駭客Salt Typhoon成功入侵，至今仍在持續調查，引發全球的高度重視，因為民眾使用的通訊軟體App都可能因為電信業遭駭事故，相關溝通的內容會被送往敵對國家的專業駭客進行竊聽。</p> <p>事實上，電信業早已是國家級駭客的攻擊目標，已有許多資安業者揪出潛藏的攻擊活動，發布研究報告讓外界能有所警覺。但這次網路間諜事件在美國政府公開證實之下，受到更廣泛的關注。</p> <p>而且，對此事件示警的不只有美國政府，還有加拿大、澳洲、紐西蘭，在這些國家網路安全局發布的聯合警告中，他們公布應對這次事件的電信業防護指引，並指出受中國政府支持的駭客組織，入侵了全球主要電信業者的網路，已是一場廣泛而重大的網路間諜活動。</p> <p>究竟國家級駭客攻擊電信業的情形如何？2025年有那些攻擊態勢值得我們關注？我們找到對這方面相當熟悉的兩家資安業者，分別是趨勢科技與TeamT5，一同探討最新發展。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>美電信業遭國家級網路間諜滲透，至今3個月仍在調查</strong></span></span></p> <p>2024年10月，媒體首次曝光中國駭客組織「Salt Typhoon」入侵美國電信業的消息。《華爾街日報》當時引述消息來源，率先揭露包括 AT&T、Verizon 與 Lumen 在內的多家電信業者遭到駭客攻擊，並提及可能是政府經法院授權向ISP業者請求資料的系統，遭到駭客未經授權存取。</p> <p>11月13日，美國政府證實電信業遭駭客滲透一事，聯邦調查局（FBI）與網路安全暨基礎設施安全局（CISA）發布聯合聲明，公布初步調查狀況，指出實際影響是：用戶通訊記錄資料，有特定人士通訊內容遭竊取，以及依據美國法院命令提交的執法請求的資訊被複製。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-%E5%B0%81%E9%9D%A2(2)-600.png" style="width: 600px;" /></p> <p>到了12月4日，也就是距今一個多月前，多家媒體報導白宮副國家安全顧問Anne Neuberger公開調查最新進展，當中揭露至少有8家美國主要電信商遭駭，且駭客仍持續潛伏於受害系統中。後續又傳出有第9家電信業者受害，顯示事件規模仍可能擴大。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>電信業遭駭問題嚴重，通訊軟體傳輸的內容若無全程加密也會被窺探</strong></span></span></p> <p>儘管事故調查結果尚未全面公布，之後才能真正確認問題環節，不過，由於美國CISA已針對此次事件，在12月18日公布行動通訊最佳實作指引，我們從中可窺見本次事件的嚴重性。</p> <p>例如，CISA對此提出的第一項建議是：「用戶應使用具全程加密（E2EE）功能的通訊軟體，如Signal」。</p> <p>從這項建議來看，意味著本次駭客攻擊電信業的事件，不只是一般人熟知的電話與簡訊遭竊聽的危害，就連民眾日常使用的即時通訊軟體，若沒有經過全程加密保護訊息傳輸，也是會被國家級駭客監控。</p> <p>事實上，過去資安界早已強調E2EE的重要性，但普遍民眾可能沒那麼在意，但這次CISA的警告，顯現出缺乏E2EE保護的通訊軟體，也會因為中國駭客滲透電信業的網路間諜活動而影響。</p> <p>此外，或許有些民眾認為，使用VPN網路可以防範，但VPN其實有很多種，CISA在此就建議：公司提供的VPN可以使用，但「請勿使用個人VPN網路」，CISA認為用個人VPN的作法只是將風險轉移，也就是從網路服務供應商轉移到VPN服務供應商，並無法解決問題，還可能增加攻擊面；而免費或商業VPN服務其安全性與隱私政策，也令人存疑。</p> <p>CISA另一項建議是：「不要使用簡訊OTP這種低安全性的MFA」，此舉可能意味電信簡訊伺服器也遭駭客滲透。事實上，CISA從2016年就強調簡訊OTP不安全，無法抵擋SS7協定的漏洞攻擊，也無法抵抗網路釣魚，所以CISA還建議：「啟用FIDO以避免網路釣魚」。</p> <p>對於國家級駭客入侵電信業的風險，CISA還有幾項建議，包括：設定電信PIN碼與MFA，定期更新軟體，以及從手機製造商取得新版韌體。這也呼應了先前我們列舉的國家級駭客攻擊手法，經常利用已知漏洞、針對未修補的用戶入侵，因此CISA呼籲用戶需重視手機與系統的更新修補，才能共同應對中國駭客鎖定電信業的網路間諜攻擊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1216-封面(1)-960-V2(2).png" style="text-align: center;" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-%E5%B0%81%E9%9D%A2(1)-960-V2.png" style="width: 450px;" /></span></span></a></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>趨勢科技稍早也揭露東南亞電信業遭駭，研判都是同一駭客群體所為</strong></span></span></p> <p>更廣泛來看，這次美國多家電信業遭入侵，並非唯一的事件，因為多年來，電信業一直是國家級駭客窺伺的目標。</p> <p>關於國家級駭客鎖定電信業的情況，在2024年11月25日，趨勢科技4位威脅研究人員共同發布一份調查報告，揭露中國駭客組織Earth Estries的最新活動，當中就有指出，東南亞電信業者遭受攻擊的情形。</p> <p>值得我們注意的是，趨勢科技所追蹤的這個中國駭客Earth Estries，與Salt Typhoon有相當大程度的關聯。</p> <p>對此，趨勢科技威脅研究團隊向我們進一步說明，他們表示，這是因為在微軟對於中國駭客Salt Typhoon的研究中，已將其他資安業者命名的GhostEmperor和FamousSparrow這兩個駭客組織，納入Salt Typhoon駭客組織。</p> <p>同時，趨勢科技也發現這些組織之間的關聯性。例如，趨勢科技追蹤的中國駭客組織Earth Estries，使用了DEMODEX rootkit程式來隱匿蹤跡，而從先前其他資安業者公開的報告來看，在GhostEmperor與FamousSparrow的攻擊行動中，同樣使用DEMODEX。不僅如此，Earth Estries攻擊時使用的戰術、技術與流程（TTP），也與這兩個組織有高程度的重疊。</p> <p>從上述種種跡象來看，雖然趨勢科技無法完全確認這4個組織是百分百相同，因為可能一個駭客群體中有不同的團隊，又或是一個團隊中有不同的人員，但從攻擊工具手法的彼此共用情形來看，研究人員認為，這些群體很可能就是同一群人，或是存在高度關聯。</p> <p>趨勢科技表示，以他們追蹤的Earth Estries（編按：又稱GhostEmperor、FamousSparrow、Salt Typhoon）而言，其實自2020年以來就相當活躍，一直針對政府與網路服務商發動攻擊，到了2022年，又開始鎖定政府與電信業者，因此已有攻擊電信業前例。根據他們的研究，大多數受害者已經遭駭多年，才發現被入侵的事實。</p> <p>前陣子，他們調查一起東南亞電信業者的資安事故，也是Earth Esties所為。</p> <p>當時該組織的手法，主要從受害者對外公開的邊緣裝置，並利用一些已知漏洞入侵，包括遠端存取邊緣裝置的漏洞，如Ivanti的漏洞CVE-2023-46805、CVE-2024-21887，Fortinet的漏洞CVE-2023-48788，Sophos的漏洞CVE-2022-3236漏洞，以及郵件邊緣裝置的漏洞，如ProxyLogon，只要電信業者使用這些產品卻未修補漏洞，攻擊者就能趁虛而入，這都是中國駭客擅長的入侵方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>TeamT5揭電信業長年受到網攻，中國駭客TeleBoyi就經常這麼做</strong></span></span></p> <p>對於國家級駭客持續鎖定電信業的情形，杜浦數位安全（TeamT5）技術長李庭閣也提供了他們的觀察。</p> <p>李庭閣指出，電信產業一直是國家級駭客的主要攻擊目標。例如，5年前資安業者Mandiant揭露，中國駭客組織APT41駭入香港電信商的簡訊伺服器，就是一例。</p> <p>以TeamT5自身經驗為例，他們多年來持續追蹤這些國家級駭客，在每年統計之中，電信業一直位列受害目標排行榜中，是被鎖定的主要目標產業。因此，對於這次中國駭客Salt Typhoon入侵美國電信業，他們並不意外。</p> <p>近期，他們在2024年初於日本JPCERT/CC舉辦的活動上，也曾揭露中國駭客組織TeleBoyi，並表明這個團體專門鎖定關鍵基礎設施進行攻擊，而且經常攻擊電信產業。</p> <p>李庭閣表示，TeleBoyi的目標遍及全球許多國家，最早至少從2015年開始活動，首先攻擊的目標是臺灣，這也是TeamT5對此組織活動一開始揭露最多的原因。</p> <p>特別的是，李庭閣還提到一個小故事，早年他們在調查TeleBoyi時，發現該組織使用的PlugX惡意程式，在與駭客端連線過程中時使用的密碼，是一串符號「&&%*%@!」，其輸入方式為按住Shift鍵，敲打鍵盤上的7758521，而這個諧音是中國當地慣用語，泛指「亲亲我吧我爱你」。</p> <p>這個駭客組織不只針對臺灣，在2015年到2018年期間，TeleBoyi還經常鎖定東南亞、中東電信業攻擊，目標包括巴基斯坦、土耳其、泰國、印度、阿富汗，之後鎖定的國家與產業越來越廣，涵蓋歐美地區，並也攻擊能源、資訊與半導體產業，因此他們推斷，TeleBoyi對智慧財產竊取也有很高的興趣。</p> <p>而且，該組織的攻擊手法也在持續轉變，例如，早期多以網釣攻擊手法入侵，2024年明顯轉向利用邊界設備漏洞，如防火牆及VPN漏洞，進行滲透，而在攻擊工具使用方面，TELEBOY與APT41之間存在顯著重疊，因此TeamT5研究人員懷疑，APT41可能充當TELEBOY的「武器供應商」。這種國家級駭客組織之間的合作模式，進一步使得攻擊規模與效率大幅提升。</p> <p>從多起事件調查與攻擊手法研究來看，李庭閣表示，TeleBoyi與APT41、Earth Berberoka、SLIME40有緊密的關連。此外，TeamT5也確實觀察到，過去中國國家級駭客組織的行動是相對獨立，但2024出現更多合作的跡象。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>電信業被鎖定國家級駭客鎖定的狀況，在2024年明顯大增</strong></span></span></p> <p>至於臺灣電信業是否遭駭的狀況，國內企業與民眾也相當關注，在2025年1月，臺灣國安局發布的中共網駭手法分析報告，也呈現這方面的嚴重性。</p> <p>從中共駭客攻擊目標來看，國安局指出，我國通訊傳播領域的狀況最為嚴重，遭受攻擊較2023年度增加650％，在所有產業中增幅最大。緊隨其後的是交通與國防供應鏈，對照2023年度的增長比例各為70％、57％。</p> <p>綜觀上述各項消息，突顯國家級駭客鎖定電信業的情況，已經持續多年，並在2024年呈現爆發的態勢，不只許多國家面臨這樣的威脅態勢，我國8大關鍵基礎設施中的通訊傳播領域，同樣也正面臨著極大考驗。</p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 因應電信業遭駭，美CISA提出行動通訊8大防護重點 </span></strong></span></span></p> <p><span style="font-size:22px;"><strong>1. 僅使用具E2EE加密的通訊軟體</strong></span></p> <p><span style="font-size:22px;"><strong>2. 啟用基於FIDO標準的抗網釣MFA</strong></span></p> <p><span style="font-size:22px;"><strong>3. 請遠離基於SMS的MFA</strong></span></p> <p><span style="font-size:22px;"><strong>4. 使用密碼管理工具</strong></span></p> <p><span style="font-size:22px;"><strong>5. 設定電信PIN碼</strong></span></p> <p><span style="font-size:22px;"><strong>6. 定期更新軟體</strong></span></p> <p><span style="font-size:22px;"><strong>7. 從手機製造商取得最新韌體版本</strong></span></p> <p><span style="font-size:22px;"><strong>8. 不要使用個人VPN服務</strong></span></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：美國CISA，iThome整理，2025年1月</span></span></p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/1/10 11:49作者羅正漢https://www.ithome.com.tw/news/166898
多國紛紛頒布電信業資安強化指引，因應中國駭客的惡意非法入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這次美國電信業遭中國駭客入侵的事件，雖然完整調查尚未出爐，但很可能涉及網路設備設定不當的狀況，這是因為，美國、加拿大、澳洲、紐西蘭的國家網路安全機構，在12月4日聯合公布「通訊基礎建設強化指南」，當中有一部分，是強調思科產品的安全設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-%E5%B0%81%E9%9D%A2(3)-600.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>2024年12月3日，美國、加拿大、澳洲和紐西蘭國家網路安全機構聯合發布防護指引，名為「增強電信通訊基礎設施可視性與防護指南」，目的是呼籲大家重視中國資助的駭客組織已成功滲透多家全球主要電信公司，並發動大規模網路間諜活動，因此提供最佳實踐，幫助電信公司的網路工程與防禦人員強化資安防護。</strong></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>防護建議有兩大重點：思科網路裝置管理與網路監控強化</strong></span></span></p> <p>關於這份防護指南的內容，我們首先找到趨勢科技資深威脅研究員陳健宏，請他談談有哪些重點。</p> <p>陳建宏表示，指引中提及多項管理與防禦措施，許多是常見基本要求，值得注意的有兩大方面：一是關於思科網路裝置，一是關於網路監控。</p> <p>首先，在這份指引文件後半部提到的「Cisco網路裝置」部分，幾乎都是圍繞在安全設定而來。陳建宏指出，這份指引中列出了具體的項目，可幫助電信業一一去檢查的項目，例如，不要設定太弱的密碼，不要暴露讓外部可以直接存取等。</p> <p>具體而言，CISA建議用戶應使用思科的「Type-8密碼」，來保護裝置配置檔中的管理員登入密碼等憑證，這個Type-8密碼採用PBKDF2作為基礎演算法，可使暴力破解變得更加困難。同時，他們也建議不要使用老舊的Type-5、Type-7密碼。</p> <p>其他重要的安全防護建議，還包括：關閉思科的智慧安裝服務（vstack），若非必要、應停用guestshell存取，停用Telnet連線並確保在任何VTY線路上都不可用等，以及禁用所有未加密的Web管理功能。</p> <p>第二個重點，是這份指引文件前半部提到的「監控」。陳建宏強調，網路設備需要集中管理並做好保護，並要持續對網路設備的配置變更做好監控，避免駭客入侵其中一臺網路設備，就可以輕易變更其設定配置，或是配置遭到修改。</p> <p>簡單而言，CISA在監控方面的建議有6大層面，包括：（一）需要集中儲存配置並從中央部署到設備端，同時需要監控並測試這些配置；（二）部署流量監控解決方案，將流量收集器設置於關鍵出入口，（三）不要讓管理流量直接暴露於網際網路。（四）同時監控內部外部帳號登入，確保每次登入都是合法、符合規範的操作。（五）實施集中式日誌記錄管理，採用自動化安全分析SIEM工具；（六）確保設備與韌體及時更新。</p> <p>不過，趨勢科技威脅研究團隊認為，電信業遭駭的調查難度大，加上這些駭客仍潛伏在電信環境之內，因此美國現在也不願透露更多資訊。就目前狀況來看，還是要等調查結果完整公布，才能進一步確認問題環節。但同時有好幾家電信業者被入侵的狀況，很有可能是幾家電信業先被入侵，攻擊者再移動至其他電信業者。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>呼籲重視邊緣裝置安全問題</strong></span></span></p> <p>對於這份防護指引，杜浦數位安全（TeamT5）技術長李庭閣，同樣認為這是一份很實務面的參考，有條理的列出各項重點，讓電信業知道要做哪些事情，尤其是在網路監控部分。</p> <p>但他想提醒國內的是，這對大公司、大型資安團隊而言，是一份很務實的指南，但臺灣有許多公司缺乏資安投資與人力，儘管臺灣整個資安環境已在逐步提升，只是還有進步空間。不過，這些最佳實踐仍然可以當作參考，可以得到很多啟發。</p> <p>李庭閣並指出，現在駭客攻擊的主流方式，是從邊際網路設備開始入侵，這點特別要注意。像是民眾使用的路由器裝置也都要注意，若是疏於管理，一直處於預設、不安全的狀態，同樣會是一大風險。</p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/1/10 11:51作者羅正漢https://www.ithome.com.tw/news/166900
【2025最新國家級駭客攻擊與威脅變化】邊緣裝置成駭客主要滲透媒介，軟體與服務供應鏈的風險加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧最近一年的全球資安重大事故，電信業已成國家級駭客主要攻擊重點，不只美國多家電信業遭中國駭客Salt Typhoon滲透，目的是竊聽全民與政府高層的訊息，我國國安局也揭露臺灣遭受中國駭客攻擊情形，電信業遭受威脅最嚴峻，較前一年度大增650%，然而，國家級網路間諜的威脅不止於此，資安業者定期發布事件調查與研究報告，持續揭示最新威脅態勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>邊緣裝置漏洞成主要入侵管道，中國駭客大肆鎖定利用</strong></span></span></p> <p>對於最新國家級駭客威脅的整體變化，杜浦數位安全（TeamT5）技術長李庭閣剖析了過去一年的局勢，我們彙整出3大重點。</p> <p>第一，中國駭客組織發動的網路間諜攻擊，正大肆鎖定邊緣裝置漏洞攻擊，進而入侵到政府與大型企業，目標可能是要長期潛伏滲透，持續鎖定國家情報與商業機密，或是發動其他網路攻擊。</p> <p>李庭閣指出，近年多國網路安全機構都在對中國駭客組織的威脅示警，並強調其近期手法在於攻擊邊緣裝置（Edge Device），包括小型路由器、郵件、防火牆等。由於此類攻擊事件越變越多，已成企業組織無法迴避的挑戰。</p> <p>還要注意的是，不只挖掘零時差漏洞來攻擊，這些國家級駭客組織也經常利用已知漏洞來攻擊，儘管不能完全神不知鬼不覺，但相當省力省時。原因在於，即便廠商釋出修補，但用戶不一定有修補，或是有些漏洞被揭露，但廠商可能因為產品生命週期結束等原因，而不願修補或尚未修補。</p> <p>因此，隨著美國非營利組織MITRE公布新的漏洞，台灣電腦網路危機處理暨協調中心（TWCERT/CC）也在TVN平臺公布經他們審核的國內產品漏洞，不只防守者重視此資訊，駭客也會從攻擊角度濫用。李庭閣指出，TeamT5已經觀察到，近期中國駭客會主動關注TVN的漏洞資訊，應是設法當作攻擊起點。</p> <p>無論如何，企業組織應體認到：漏洞修補是一整套的行動，不只是需要有研究人員找出未知漏洞、通報業者，供應商要及時修補，但如果更徹底避免攻擊者持續濫用漏洞，用戶本身也要及時修補這些弱點。</p> <p>第二，國家級駭客組織組織生態系曝光。過去調查這類國家級駭客活動時，資安業者普遍只能從攻擊活動看到攻擊手法，但背後運作模式無法清晰了解，2024年初中國資安業者安洵外洩的文件，曝光了國家資助駭客攻擊也會外包給民間商業公司，甚至層層外包的供應商關係，還有不同組織在競爭中，也會建立策略聯盟的合作現象，滿足彼此需求並擴大攻擊成效。</p> <p>目前已有一些中國資安業者被揭露，是受中國政府資助對外發動網路網路攻擊，例如：成都肆零肆、安洵信息、北京永信至誠科技等。</p> <p>第三，近年中國駭客從國家資助擴及金錢導向攻擊。最近三五年來，少數原本受中國政府資助的駭客組織，開始轉向以金錢驅動的網路攻擊，尤其2024年中國經濟往下回落，這些組織獲得的資金支持逐漸減少，於是轉向黑色產業。</p> <p>例如，他們在國內的資安事故調查發現，中國駭客EtherBei（又名Flax Typhoon）入侵臺灣企業並植入後門，兩周後卻發現，知名勒索軟體平臺LockBit販售相關資料，等於化身初始存取掮客（Initial Access Broker），入侵後將資料販售，以獲取金錢利益；還有像是中國駭客組織Amoeba（又名APT41）幫中國政府發動對外攻擊時，也在全球進行勒索軟體攻擊。</p> <p>諸如此類的狀況陸續被公開，像是2024年12月中國資安業者奇安信，曾揭露中國駭客組織APT41打造的PHP惡意程式Glutton，攻擊中國、美國等地的IT服務公司，換言之，為了經濟利益，連當地中國企業也都可以是攻擊目標。</p> <p>對此態勢，李庭閣認為將對中小企業帶來極大衝擊，為全球帶來極大亂象。因為這些中國政府支持的駭客組織，有能力發動針對型的網路間諜攻擊，但如今國家提供的資金減少，使他們開始到處攻擊民間企業勒索獲利，甚至與勒索軟體組織合作拆帳，透過這些網路犯罪來填補其商業營運的資金缺口。</p> <p>臺灣中小企業同樣備感壓力，因為將面對與過去完全不同等級的網路攻擊。</p> <p>整體而言，這些國家級駭客威脅的變化，正是我們在2025年需要特別關注的核心議題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣無人機製造業者遭駭，中國駭客以供應鏈方式來隱匿入侵</strong></span></span></p> <p>基本上，政府機關與關鍵基礎設施（CI）一直是國家級駭客的攻擊目標。最近就有針對臺灣無人機製造商的網路間諜攻擊，目的可能是干擾我國產業技術發展，或造成國人與國際的不信任，甚至在持續滲透下，可能於戰事或必要時發動致命攻擊，如資料抹除攻擊等，企圖癱瘓我國無人機的生產與運作。</p> <p>趨勢科技資深威脅研究員陳健宏表示，他們今年追查到一個之前沒被發現的中國駭客組織，並將該組織命名為「TIDrone」，因為他們是鎖定無人機與軍工產業而來。</p> <p>在2024年9月，趨勢科技發布對於中國駭客TIDrone的研究報告，公布其使用的攻擊手法、技巧與程序（TTP）。</p> <p>這波攻擊行動之所以現形，是因為趨勢科技持續收到臺灣資安事故通報，在經過比對及調查後，發現臺灣已有軍工與衛星產業遭攻擊。</p> <p>特別的是，這起攻擊活動還是精心設計的供應鏈攻擊。趨勢科技威脅研究團隊發現，攻擊者主要利用滲透ERP系統的方式，以及透過UltraVNC遠端桌面桌面軟體下載惡意程式，還使用WinWord.exe作為載入器來執行惡意活動，進而植入兩個專屬惡意程式，CXCLNT用於竊取受害者的電腦資訊，CLNTEND則是一種遠端存取木馬的後門程式。</p> <p>最近2024年12月，韓國資安業者AhnLab揭露韓國企業的事故，同樣遭中國駭客TIDrone攻擊，其手法與趨勢科技揭露的案例如出一轍，被部署相同的惡意程式，也是透過當地ERP軟體業者入侵。</p> <p>綜觀上述態勢，這類型「軟體供應鏈攻擊」事件相當嚴重，而且國家級駭客的攻擊目標，不只鎖定國際上的軟體服務業者，也在鎖定臺灣本地的軟體業者，我們必須有所警惕。</p> <p>還有一個中國駭客組織Flax Typhoon（亞麻颱風）的威脅，同樣值得我們關注。趨勢科技威脅研究團隊表示，他們正持續追蹤這個組織的攻擊行動，雖然正式的調查報告尚未公布，但微軟近期發布Flax Typhoon研究報告，值得企業與政府留意，原因是該組織主要鎖定臺灣政府的資訊服務商或軟體代理商。</p> <p>回顧2020年，我國調查局曾經因為偵辦數起臺灣政府機關遭駭的重大案件，揭露中國駭客Blacktech與Taidoor鎖定委外資訊服務供應商的情形，因此，這種「委外供應鏈攻擊」也必須當心。</p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 2024年中國駭客偷偷攻擊臺灣無人機製造商，透過供應鏈攻擊方式打入目標組織 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892025%E6%9C%80%E6%96%B0%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E8%88%87%E5%A8%81%E8%84%85%E8%AE%8A%E5%8C%96.jpg" style="width: 600px;" /></p> <p><strong>趨勢科技在2024年9月揭發中國駭客TIDrone，持續在4月到8月鎖定臺灣衛星及軍事工業，目的很可能是打擊我國無人機產業發展，甚至長期滲透以在必要時發動破壞。而且其攻擊手法相當隱密，透過供應鏈攻擊方式，先從臺灣ERP業者下手。後續2024年12月，韓國資安業者AhnLab也發現TIDrone的攻擊活動，是透過韓國ERP業者入侵當地特定企業。</strong></p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/1/10 12:01作者羅正漢https://www.ithome.com.tw/news/166903
Google AI Studio、API將整併至DeepMind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google加速統整AI開發業務，最新一項是將AI Studio整併進DeepMind旗下。</p> <p>Google AI Studio主管Logan Kilpatrick昨（9）日<a href="https://www.linkedin.com/in/logankilpatrick/" target="_blank">說明</a>Google AI Studio和Gemini Developer API產品、以及開發團隊將轉移到Google DeepMind。他說這可使他們已經很深切的協同更進一步，加速開發人員管線（pipeline）的研究工作。</p> <p>未來在DeepMind之下，AI Studio團隊的任務不變，仍然是開發世界最好的AI開發者平臺，引進Google最新基礎模型、工具和方法給外部開發人員，以便他們能建立未來AI應用。</p> <p>這是Google整併AI的最新行動。Google 2023年將Alphabet子公司的DeepMind和Google研究院下的Brain團隊<a href="https://www.ithome.com.tw/news/156498" target="_blank">合併</a>為DeepMind事業群。去年3月，研究院下的負責任AI部門<a href="https://www.reuters.com/technology/google-consolidates-its-deepmind-research-teams-amid-ai-push-2024-04-18/" target="_blank">加入</a>DeepMind後，10月又將Google Gemini App開發團隊<a href="https://www.ithome.com.tw/news/165589" target="_blank">整併</a>進來。</p> <p>AI Studio是Google提供開發、訓練和部署機器學習模型的IDE。AI Studio部門去年推出多項AI開發工具，包括相容於Gemini 1.5、Gemini Flash Thinking及相關API。2025年開年也<a href="https://ai.google.dev/gemini-api/docs/thinking-mode?hl=zh-tw" target="_blank">公布</a>最新Gemini 2.0 Flash Thinking可在AI Studio中及Gemini API使用。</p> <p>Google加速整併也是因應該公司執行長Sundar Pichai的命令，他去年底在內部大會上<a href="https://www.cnbc.com/2024/12/27/google-ceo-pichai-tells-employees-the-stakes-are-high-for-2025.html" target="_blank">指示</a>，2025年將是極富挑戰的一年，除了產業競爭愈來愈激烈，AI也將面臨更嚴格的法規監管。他要求員工皮要繃緊，更加專注、行動也要更快。</p> </div></div></div>
2025/1/10 12:11作者林妍溱https://www.ithome.com.tw/news/166904
Cloud周報第219期：SAP正式推出碳會計功能，讓企業開始能用管理財務帳方式來管理碳帳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（01/02～01/08）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">新光醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療永續雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP正式推出碳會計功能，讓企業能在ERP系統查看碳排情形並掌握碳帳</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(15).png" style="width: 600px;" /></p> <p>近日，雲端ERP大廠SAP正式推出名為「綠色帳本（Green Ledger）」的碳會計功能，作為SAP永續發展解決方案一環，讓企業開始能用管理財務帳方式來管理碳帳。</p> <p>隨著這項碳會計功能的推出，企業以後在ERP系統中，除了傳統的會計總帳以外，還會新增一本專門用來記錄和管理碳帳的綠色帳本，這意味著企業可以直接透過ERP系統就能查看碳帳，並以此產生碳財務報表，不需要依賴外部系統來處理。</p> <p>SAP表示，這個綠色帳本是以SAP財務和ERP解決方案為基礎所開發，可用於追蹤與核算碳足跡對財務的影響，協助企業降低排放、優化財務管理，並推動碳預算制定，以達成碳中和與淨零排放目標。</p> <p>此外，企業能透過財務與環境數據的綜合分析，對組織部門、業務單位及利潤中心建立基準測試，以因應永續發展審計及供應鏈減碳政策。目前已有Covestro等業者開始試用此功能。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">BBVA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業上雲</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">西班牙金融服務集團BBVA為加速轉型將地端數據和AI平臺全面上雲</span></strong></p> <p>西班牙第二大銀行BBVA近日宣布，已成功將本地核心的數據、AI平臺遷移至公有雲，以支援未來資料分析與AI應用需求。</p> <p>成立於1857年的BBVA是一家全球金融服務集團，業務遍及35個國家，擁有約9,000家分行及超過7,000萬名用戶。為提升服務與優化營運流程，近年來該集團積極推動數位轉型，並透過上雲加速內部創新，逐步邁向金融科技集團發展。</p> <p>在遷移過程中，BBVA集團的IT部門也面對不少挑戰，不僅需確保金融服務不中斷，還需克服遷移數萬個處理程序（processes）任務複雜度的挑戰，以及影響範圍更涵蓋上千名使用者。</p> <p>遷移完成後，BBVA表示，透過雲端高擴展性與運算特性，不只用戶的分析作業時間減少94%，也能有效優化成本與效能。</p> <p>BBVA接下來計畫於2025年將雲端遷移計畫擴展至墨西哥、哥倫比亞、秘魯和阿根廷等國。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">跨雲成本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FOCUS</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式支援FinOps基金會的FOCUS標準，協助企業掌握多雲成本</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(21).png" style="width: 600px;" /></p> <p>亞馬遜AWS產品經理Zach Erdman近日表示，AWS已正式支援FinOps基金會的FOCUS標準。FOCUS是由FinOps基金會所釋出的FinOps開放成本和使用標準，要打通不同公雲計費資料格式差異，建立統一互通標準。</p> <p>Zach Erdman表示，使用者現可透過Data Exports for FOCUS 1.0功能匯出符合FOCUS架構的AWS成本與使用數據，並結合在其他雲端供應商使用的雲端成本，從而更好地了解其整體雲成本和使用情況。</p> <p>除了AWS，微軟Azure與Google Cloud也已支援FOCUS標準。Azure在FOCUS 1.0釋出後，於雲端成本管理工具中支援該標準；Google Cloud在新推出的Looker視圖樣板功能中，運用FOCUS架構簡化跨雲端成本管理。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端成本 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS擴展Amazon Q Developer功能，讓維運人員能用GAI快速分析雲端成本</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(4).jpg" style="width: 600px;" /></p> <p>AWS在近期的Amazon Q Developer更新功能中，除了可以透過GAI（生成式AI）協助開發人員完成軟體開發生命週期中的各項任務，如編碼、測試和部署、疑難排解、安全掃描與修正外，現在更進一步支援雲端成本分析，讓開發或維運人員可以透過GAI快速掌握雲端成本。</p> <p>AWS表示，雲端維運人員可透過自然語言直接向Q查詢，例如：「上個月的雲端成本是多少？」、「哪項服務的成本增長最明顯？」或「預測下個月的雲端支出？」Q 會根據AWS Cost Explorer的數據進行分析並提供回答。</p> <p>AWS表示，透過這樣的方式，企業能更容易了解雲端成本的使用情況，有助於其雲端資源管理與成本優化。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小語言模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟預告將推出本地部署的Phi Silica小語言模型，使Copilot能直接在Windows PC上執行</span></strong></p> <p>在拉斯維加斯舉行的CES 2025展會上，微軟裝置部門負責人Pavan Davuluri宣布，Phi Silica將於2025年初作為Copilot的新模型推出，意味著將把Phi Silica整合至Windows Runtime中，使Copilot能直接在Windows PC上執行。。</p> <p>Phi Silica是微軟去年5月Build大會上展示的小語言模型（SLM），這類模型的參數規模小於雲端的大型語言模型，僅需和NPU處理器一起使用，就可以在本地PC上執行AI Chatbot和其他AI應用。</p> <p>微軟表示，AI PC的原生AI功能Windows Recall和其他AI功能將採用此類SLM。微軟強調，Phi Silica本身使用33億個參數模型，且經微調優化，即使在較小的語言模型下，也能維持良好的準確性與反應速度。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟計畫斥資800億美元，推動支援AI工作負載的資料中心建設</span></strong></p> <p>隨著雲端生成式AI需求激增，微軟近日於官方部落格宣布，計畫於2025年投資超過800億美元（約2.6兆新臺幣），用於建設專門支援AI工作負載的資料中心。</p> <p>微軟在資料中心擴展將用於支援微軟自家AI工作負載，以及透過Azure雲端服務讓企業用戶能夠存取Nvidia GPU，用於訓練及執行AI模型。</p> <p>微軟AI業務持續成長，該公司透露，最近一季Azure及其他雲端服務營收成長33%，其中AI服務貢獻達12%。</p> <p>面對美國新任總統即將上任，微軟董事長兼副總裁Brad Smith表示，該筆投資中將有一半資金投入美國的資料中心建設，以促進美國AI發展。</p> <p> </p> <p>圖片來源／SAP、AWS</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google於CES2025透露Gemini語音助理正在整合至電視與Pixel智慧手錶</strong></p> <p><strong>2.提前達標！台灣大宣布IDC雲端機房已實現100%再生能源</strong></p> <p><strong>3.紅帽專為汽車開發的Linux車載作業系統正式取得ISO 26262 ASIL-B功能性安全認證</strong></p> <p><strong>4.Amazon Bedrock正式支援多模態擴散的文字轉圖片模型Stable Diffusion 3.5 Large</strong></p> <p><strong><strong><strong>資料來源：iThome整理，2025年1月</strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2025/1/10 10:58作者余至浩https://www.ithome.com.tw/news/166899
微軟以MIT授權在Hugging Face開源140億參數Phi-4模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本只在Azure AI Foundry平臺開放的Phi-4模型，現在微軟在<a href="https://huggingface.co/microsoft/phi-4/blob/main/README.md#phi-4-model-card">Hugging Face</a>上以寬鬆的MIT授權開源，這代表開發者已經可以自由使用、修改和散布該模型，包括LM Studio等語言模型執行工具已經能夠下載並且執行。Phi-4為微軟Phi系列的第四代模型，擁有140億參數，在多項基準測試中展現了與大型模型相匹敵的性能，特別是科學與數學領域。</p> <p>不同於動輒數百億甚至數千億參數的大型語言模型，Phi-4的精簡架構使其對運算資源的需求大幅降低。微軟表示，Phi-4在1,920個Nvidia H100圖形處理器組成的叢集上進行訓練，耗時21天完成，其採用了廣泛使用的Transformer架構，並進一步精簡為僅包含解碼器（Decoder-only）的架構，藉此降低模型進行推論時的運算負擔。</p> <p>根據微軟在Hugging Face上公開的資料，Phi-4在GPQA科學問答及MATH數學題庫兩項基準測試中，超越了Meta具有700億參數的Llama 3.3 70B模型，甚至也比GPT-4o表現更好。微軟也將Phi-4與其他相近規模的模型進行比較，例如阿里巴巴的Qwen 2.5。Phi-4不僅超越了規模相近140億參數的Qwen 2.5，甚至與720億參數的Qwen 2.5版本旗鼓相當。雖然各模型在不同測試中互有領先，但Phi-4展現了小型模型也能達到甚至超越大型模型性能的潛力。</p> <p>Phi-4僅含解碼器的架構影響了其運作模式。相較於標準Transformer模型能分析前後文脈絡來理解詞彙意義，唯解碼器架構模型僅關注當前詞彙之前的文本。這種設計雖能降低運算量，但也可能在需要依賴後文資訊才能準確理解的情境下影響其表現。</p> <p>另一方面，微軟透過直接偏好最佳化（DPO）和監督式微調（SFT）等後訓練技術，對模型進行了強化，提升模型包括遵循指令的能力、生成內容的品質，以及降低產生有害或不安全輸出的風險。</p> <p>Phi-4的開源使小型語言模型生態更加豐富，近年來，Google的Gemma系列與Meta的Llama 3，以及阿里巴巴的Qwen等模型相繼開源，顯示各大科技公司皆積極投入小型語言模型的研發。相較於大型模型，小型語言模型在部署成本、能源效率及執行速度都更具優勢，特別適合應用於邊緣運算、行動裝置等資源受限的情境。</p> </div></div></div>
2025/1/10 08:25作者李建興https://www.ithome.com.tw/news/166893
【資安月報】2024年12月，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年最後一個月的資安新聞中，多個國家級駭客網路攻擊的事件與威脅公開，持續引發各界高度重視，在此我們整理出6大威脅態勢與2大防護面的進展，幫助大家回顧本月重要新聞。</p> <p>其中幾項議題值得重視，像是在國家級駭客的多起網路間諜攻擊事件中，美電信業遭中國駭客Salt Typhoon滲透的後續消息不斷，突顯事件嚴重性需特別看待，因此列為第一焦點；還有臺灣面臨的資安威脅方面，由於近半年我國遭同一組織持續數波DDoS攻擊，難得有國內業者剖析其攻擊手法，也是值得獨立看待的重要議題，因次列為第三焦點。</p> <p><span style="color: rgb(255, 0, 0);"><strong>（一）中國網路間諜攻擊席捲全美</strong></span></p> <p>2024美國電信業遭中國駭客組織Salt Typhoon滲透的後續消息不斷，當地至少9家電信業遭入侵，美國與多國網路安全機構亦在12月3日發布電信業強化指引，還有美CISA在12月18日發布行動通訊安全指南，積極倡導E2EE全程加密重要性，並敦促政府高階官員與政治人物應採用如Signal等具E2EE的通訊軟體。</p> <p><span style="color: rgb(255, 0, 0);"><strong>（二）國家級駭客威脅加劇</strong></span></p> <p>受政府資助駭客組織的威脅不斷，持續在灰色地帶的網路世界肆意發動攻擊，資安界與國家網路安全機構持續示警，不只是上述中國駭客組織Salt Typhoon入侵美電信業，12月還有多起重要消息：<br /> ●韓國資安業者AhnLab揭露中國駭客TIDrone入侵韓國企業，其手法有二，一是假借提供ERP軟體名義散布惡意程式，一是利用另款韓國ERP系統遞送惡意程式。<br /> ●BeyondTrust緊急修補已遭利用的零時差漏洞，後續美國財政部表示因此事件受害，並指出是中國駭客組織所為。<br /> ●資安業者Sophos公布歷時5年調查的「Pacific Rim」行動，揭露駭客在四川進行漏洞研究與開發，並將結果提供給中國政府支持的駭客團體使用。<br /> ●美國政府指控中國民間公司四川無聲信息技術員工關天峰，在2020年利用Sophos防火牆零時差漏洞入侵全球近8.1萬臺設備，並祭出千萬美元懸賞。<br /> ●TeamT5威脅分析師高峰會舉行，研究人員解析這一年來的中國APT攻擊態樣與假訊息態勢，強調：邊緣裝置漏洞已成中國駭客滲透主要目標，以及中國駭客轉向勒索謀生使中小企業危害大增。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣遭遇DDoS威脅</strong></span><strong style="color: rgb(255, 0, 0);">最新</strong><span style="color:#FF0000;"><strong>剖析</strong></span></p> <p>2024年下半臺灣遭遇親俄駭客組織NoName057對臺發動數波DDoS攻擊，影響許多政府機關與上市櫃公司網站服務的運作，國內資安業者安碁資訊在12月剖析其手法，主要是採消耗系統資源的HTTP洪水攻擊，而非消耗頻寬的洪水攻擊，並指出攻擊者利用VPS虛擬主機或VPN隱匿其攻擊背後的真實IP位址，而且只針對特定4到10個URL頁面集中攻擊，就能達到服務阻斷的目的。</p> <p><strong><span style="color:#FF0000;">（四）臺灣重大資安事件</span></strong></p> <p>根據公開資訊觀測站的重大訊息公告，本月5家上市櫃公司發布資安重訊。<br /> ●第一星期有2起，新天地表示網路遭受DDoS攻擊；陽明部份資訊系統遭受駭客網路攻擊。<br /> ●第三星期有2起，盛群的MCU創意競賽網站遭受駭客網路攻擊（後續二度公告補充，求職者履歷後端管理平台同樣遭攻擊，且有部份資料可能外洩）；京晨科發生部分資訊系統遭受駭客攻擊。<br /> ●第四星期有1起，合晶代子公司Helitek公告，說明部分資訊系統遭受攻擊。</p> <p>還有1起與臺灣有關的威脅與風險揭露，同樣值得留意，這起事件是有攻擊者假借提供報價名義企圖散布惡意軟體SmokeLoader，資安業者Fortinet指出，他們觀察到這樣的攻擊自今年9月開始，主要針對臺灣的製造業、醫療保健、資訊科技等業者而來。</p> <p><strong><span style="color: rgb(255, 0, 0);">（五）</span></strong><span style="color: rgb(255, 0, 0);"><strong>勒索軟體威脅生生不息</strong></span></p> <p>勒索軟體攻擊威脅依然嚴峻，最近國際間傳出幾起重要事件，值得我們留意。例如，半年前日本知名影音共享平臺Niconico、角川書店遭駭，如今傳出他們支付勒索集團高達300萬美元（約9,600萬元）。</p> <p>此外，羅馬尼亞電力公司Electrica Group遭遇資安事故，羅馬尼亞國家網路安全局（DNSC）指出遭勒索軟體Lynx攻擊，還有12月Cleo的MFT檔案傳輸系統修補已遭利用零時差漏洞，傳出此攻擊導致60家企業遭Clop勒索軟體組織攻擊。</p> <p><strong><span style="color: rgb(255, 0, 0);">（六）AI發展持續帶來挑戰需要因應</span></strong></p> <p>在AI能力進步顯著之下，有3則新聞顯露出最新資安發展與重點，包括：英國電信業者O2展現AI對抗詐騙新成果，發表能即時接聽詐騙電話與歹徒聊天的AI阿嬤（AI Granny）Daisy，作用是耗用詐騙者時間、減少其他人被騙；趨勢科技發表「AI防詐達人」App，最特別是提供換臉詐騙偵測功能，突顯人臉Deepfake偵測技術朝向普及，並提供可識別圖片的詐騙查證。</p> <p>此外，資通安全研究院院長何全德在年底一場活動闡釋「新世代AI對資安治理的挑戰與機遇」，他呼籲大家應用AI應關注資安、倫理和治理風險，並指出已有企業成立AI道德倫理委員會，同時呼籲臺灣制定AI安全政策，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向思考應對策略，包括：技術發展速度（Velocity）、系統脆弱性（Vulnerability）、資料真實性（Veracity）、持續警覺性（Vigilance）</p> <p><strong><span style="color:#FF0000;">（七）密碼敏捷性</span></strong><strong style="color: rgb(255, 0, 0);">與</strong><span style="color: rgb(255, 0, 0);"><strong>AI BOM發展成2025焦點</strong></span></p> <p>對於2025年資安市場的發展，市調機構IDC公布新一年度預測，強調密碼敏捷性（Crypto-agility）與AI BOM的興起。</p> <p>事實上，為了因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，並且PQC標準選用的演算法也涵蓋不同的數學方法作為備用，確保加密演算法能靈活升級與更換，如今IDC認為企業2025年量子破密防護技術的布局上，將優先採用Crypto-Agility框架；在AI資安領域，AI物料清單（AI BOM）的議題已經不斷被提及，IDC預期業界在2025年將加速推廣AI BOM，之後也會帶動數據物料清單（Data BOM）的發展。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/166413"><span style="color: rgb(178, 34, 34);">【資安週報】1202~1206，英國電信業者O2對抗電話詐騙出新招，開發聊天AI阿嬤牽制詐騙</span></a></strong></h2> <p>在12月第一星期的資安新聞，在資安防護與數位信任方面，用AI對抗詐騙有極具創意的新進展正實現，英國電信業者O2上個月展現新的成果，發表AI阿嬤（AI Granny）Daisy，並由專門對抗詐騙、曾經<a href="https://youtu.be/0dT6jB2Dbmk?si=2NAvnviTPOTAfKR9&t=706">揪出偽冒技術支援客服中心的北愛爾蘭YouTuber「Jim Browning」</a>協助訓練，能即時接聽詐騙電話並與歹徒聊天，如此一來可耗用詐騙者時間、減少其他人被騙。</p> <p>在資安威脅態勢方面，有兩起與臺灣有關的重要消息，首先是針對先前親俄駭客組織NoName057對臺的DDoS攻擊，國內資安業者安碁資訊揭露其具體手法，指出該組織癱瘓網站服務的DDoS攻擊做法，主要是消耗資源的HTTP洪水攻擊，而非消耗頻寬類型的阻斷模式，並說明攻擊者會先找出合適的HTTP洪水攻擊的頁面，之後只集中攻擊特定4到10個URL頁面，就能奏效。</p> <p>另一是關於惡意軟體SmokeLoader假借報價名義的對臺攻擊活動揭露，資安業者Fortinet指出，這波攻擊從今年9月就針對臺灣的製造業、醫療保健、資訊科技及其他領域的公司而來，並指出攻擊者先是透過釣魚信、假借寄送報價單的名義，誘騙收信者開啟內含惡意VBS的附件。</p> <p>在其他重要威脅消息方面，網路間諜行動的揭露是主要焦點，有兩起新聞與之有關，其攻擊目標涵蓋企業、組織，以及圖博與維吾爾族民眾。</p> <p>●美大型企業組織於8個月前遭網路間諜攻擊事件被揭露，資安業者賽門鐵克指出攻擊者與中國駭客組織Daggerfly有所關聯，試圖收集機敏電子郵件內容，並濫用FTP軟體Filezilla外傳竊得的資料。<br /> ●新一起鎖定圖博及維吾爾族的間諜行動被揭露，資安業者趨勢科技指出，Earth Minotaur駭客組織會針對安卓與Windows裝置部署DarkNimbus後門程式，且暗中活動已長達5年，近日才被發現。<br /> ●韓國警方公布逮捕生產衛星接收器的執行長與員工，原因是買家向他們要求設備必須含有DDoS攻擊能力，該業者竟然配合對方製造這類型產品。<br /> ●美國、泰國、阿拉伯聯合大公國的航太及半導體產業遭鎖定，威脅情報業者ThreatBook指出此事件是伊朗駭客APT35所為，並會利用假徵才網站發動攻擊。</p> <p>至於資安事件方面，國內有兩家上市公司發布資安事件重訊，國際間也有2起勒索軟體攻擊成為國際焦點。</p> <p>●陽明海運部份資訊系統遭受駭客網路攻擊事件<br /> ●上市觀光餐旅新天地說明網路遭受駭客網路DDoS攻擊<br /> ●英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊<br /> ●勒索軟體駭客組織Brain Cipher聲稱入侵德勤（Deloitte）英國分公司</p> <p>在漏洞消息方面，有4個已知漏洞遭利用的消息，其中兩個漏洞先前曾經示警，包括：10月底CyberPanel修補其伺服器管理平臺CVE-2024-51568漏洞，當時傳出勒索軟體Psaux鎖定這些漏洞；去年10月日本線上儲存與應用硬體軟體公司North Grid修補Proself系統的CVE-2023-45727漏洞，今年7月JPCERT曾公布有駭客利用此漏洞，如今這些情況均得到美國政府證實。</p> <p>另兩個分別是，兆勤科技在今年11月底才修補的漏洞CVE-2024-11667，以及檔案共享平臺ProjectSend在8月修補的漏洞CVE-2024-11680，也被美國CISA列入已知漏洞利用清單。</p> <p>特別的是，有2個尚未公開CVE編號的零時差漏洞消息，一是資安業者0patch發現，去年10月終止支援的Windows Server 2012、2012 R2有零時差漏洞，另一是資安業者Any.run指出駭客疑似利用零時差漏洞、濫用Word檔案修復功能，並假借公司人資與員工福利的名義從事網路釣魚，需要繼續留意與追蹤。</p> <p>還有一起零時差漏洞利用狀況是日本JPCERT/CC在12月4日示警，指出I-O Data兩款LTE無線基地臺的零時差漏洞已遭利用，包括CVE-2024-45841、CVE-2024-47133、CVE-2024-52564。</p> <p>雖然上述這家日本產品業者未能在CVE公布之際推出修補（預計12月18日發布更新），但我們注意到，<a href="https://www.iodata.jp/support/information/2024/11_ud-lt1/">該公司11月13日就曾發布產品安全公告先對外示警</a>，在JPCERT/CC於JVN平臺公布其漏洞後，他們也更新事件說明，相較之下，臺灣遇到類似狀況的處理方式會是什麼？目前TWCERT/CC會在TVN平臺發布部分臺灣IT產品的漏洞資訊，但我們發現部分業者官方網站未能找到這些資訊，顯示臺廠揭露透明度仍有提升空間。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166524"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1209~1213，逾30萬臺開源監控軟體Prometheus主機曝露資安風險</span></strong></a></h2> <p>在12月第2個星期，適逢多家IT廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機，需要大家關注與儘快修補，而漏洞新確認遭利用的消息更需密切關注，例如，微軟修補1個已遭利用的零時差漏洞CVE-2024-49138，以及10月底Cleo修補三款MFT檔案傳輸系統的漏洞CVE-2024-50623，因當時修補不全，如今有零時差漏洞利用攻擊出現。</p> <p>另要留意的是，還有資安業者0Patch針對微軟Windows零時差漏洞示警，尚未有CVE編號，也尚未有修補釋出，但強調此漏洞涉及NTLM，且引誘使用者觸發漏洞的難度並不高，因此暫時不會公布相關細節。</p> <p>在資安威脅態勢上，有一則關於開源工具Prometheus的重要消息，這款工具經常被用於監控Kubernetes狀態，近期有資安業者對其進行調查，結果發現約有33.6萬臺主機曝露資安風險，原因在於這些伺服器與Exporter多半缺乏合宜的身分驗證，恐讓攻擊者可以輕易地收集帳密或API金鑰等敏感資料。</p> <p>其他重要威脅態勢，<span class="x193iq5w xeuugli x13faqbe x1vvkbs x1xmvt09 x1lliihq x1s928wv xhkezso x1gmr53x x1cpjm7i x1fgarty x1943h6x xudqn12 x3x7a5m x6prxxf xvq8zen xo1l8bm xzsf02u x1yc453h" dir="auto">軟體供應鏈攻擊的狀況再次出現</span>，AI模型套件Ultralytics遭滲透成主要焦點；南歐資訊服務業者遭中國駭客鎖定的消息，被兩家資安業者聯手揭露，也引發關注，因為攻擊者濫用Visual Studio Code遠端開發功能來隱匿入侵。此外，關於瀏覽器隔離技術的攻擊研究也必須重視，發現可突破防護的攻擊手法，提醒企業不能完全仰賴RBI，仍需要有多層防護與整體資安強化策略。</p> <p>●PyPI套件Ultralytics被入侵，攻擊者在釋出的新版本植入挖礦軟體，其相依性套件SwarmUI和ComfyUI也受影響，且後續仍傳出相關攻擊行動。<br /> ●中國駭客今年6至7月入侵南歐B2B資訊科技服務供應商，兩資安業者聯手揭露其特殊隱匿手法，指出駭客濫用VSCode遠端開發的tunnel功能來控制受害電腦。<br /> ●企業員工上網若採用瀏覽器隔離技術進行保護，仍有機可乘，仍要關注與研究可能威脅，有資安廠商紅隊發現用QR Code傳遞C2命令的技倆，可突破RBI等三大類型瀏覽器隔離防護機制。<br /> ●DroidBot安卓遠端存取木馬（RAT）自今年6月起鎖定77家銀行的客戶，資安業者特別指出此木馬顯示行動惡意軟體生態系也出現開發與攻擊分工的情況。<br /> ●資安業者Lockout發現新一個安卓間諜軟體EagleMsgSpy，循線追查背後使用該程式的是中國公安。</p> <p>還有一起關於2020年國家級駭客攻擊的幕後兇手浮上檯面，11月資安業者Sophos公布歷時5年調查的「Pacific Rim」行動，揭露駭客在四川進行漏洞研究與開發，並將結果提供給中國政府支持的駭客團體使用。美國財政部外國資產控制辦公室於12月10日指控，當時利用Sophos防火牆零時差漏洞、入侵全球近8.1萬臺設備的是四川無聲信息技術（Sichuan Silence）員工關天峰，美國國務院則祭出關於該嫌情報的千萬美元獎金懸賞。</p> <p>勒索軟體攻擊事件仍不斷發生，這一星期有兩則消息，特別是羅馬尼亞電力公司Electrica Group遭遇網路攻擊的事故，羅馬尼亞國家網路安全局（DNSC）已指出是遭到勒索軟體Lynx攻擊，並呼籲其他能源業者要嚴加防範；另一是上月SaaS軟體服務供應商Blue Yonder遭網路攻擊，如今傳出攻擊者是勒索軟體Termite。</p> <p>在資安防禦上，以臺灣加入FIRST國際資安應變組織的消息最受矚目，今年數量從17個變25個，特別是電子業有更多類型的公司加入，包括IC設計、工業電腦與電腦設備大廠，而且還有國內金融機構首度成為FIRST成員。</p> <p>在國際間則有多項打擊網路犯罪成果發布，包括歐洲警方關閉網路犯罪市集Manson Market，歐洲刑警組織號召15國合作關閉27個非法DDoS租用服務，以及比利時與荷蘭聯手、西班牙與秘魯聯手，各自破獲跨國電話網釣集團，這也突顯跨國界合作成為打擊犯罪的關鍵，特別是歐洲地區在執法合作上持續有進展與突破。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166620"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1216~1220，美國傳出正評估是否禁用TP-Link網路設備，起因與中國駭客經營的殭屍網路Quad7有關</span></strong></a></h2> <p>關於12月第3個星期的重要資安新聞，美國傳出打算禁用TP-Link路由器是一大焦點，外界認為與中國駭客經營的殭屍網路Quad7有關，促使美國政府進一步探討相關風險，也突顯邊緣裝置安全是持續備受關注的重要議題。另一重要消息在於，中國駭客組織Salt Typhoon滲透美國電信公司的後續消息不斷，如今美政府積極倡導E2EE全程加密重要性。</p> <p>在威脅態勢上，這一星期有供應鏈攻擊、密碼潑灑攻擊的兩則重要新聞，一是今年曾攻擊臺灣無人機廠商的中國駭客組織Tidrone，韓國資安業者發現該組織也針對當地的ERP軟體下手來入侵韓國企業；另一是Citrix示警指出駭客正針對其設備發動攻擊，特殊之處是針對不同帳號使用一組數量不多的常見密碼來攻擊，以規避系統判定異常，又或是以大量嘗試登入方式來癱瘓系統資源。</p> <p>●中國駭客TIDrone對韓國企業發動攻擊，使用兩種手法入侵受害公司，其中一種是供應鏈攻擊手法，入侵當地ERP軟體再入侵目標企業。<br /> ●德國聯邦資訊安全辦公室（BSI）與Citrix警告，發現攻擊者鎖定Citrix NetScaler設備發動暴力破解的攻擊行動。<br /> ●中國資安業者奇安信發現中國駭客組織APT41正打造PHP木馬程式Glutton，受害者位於中美兩地。<br /> ●泰國政府官員遭鎖定，資安業者揭露攻擊者使用的後門程式Yokai。<br /> ●超過39萬筆WordPress帳密遭竊，資安業者指出攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透。</p> <p>還有兩則針對水利設施、視訊鏡頭及DVR設備的資安預警，同樣值得大家留意，一是美國環境保護局（EPA）與CISA呼籲水利設施與廢水處理業者，應儘速處理曝露在網際網路的HMI，避免攻擊者有可乘之機；一是美FBI針對最新一波木馬程式HiatusRAT的攻擊行動示警，該組織去年曾鎖定臺灣與美國，今年鎖定更多國家，包括澳洲、加拿大、紐西蘭、英國。</p> <p>在漏洞消息方面，這一星期有6大漏洞利用狀況，包括BeyondTrust、Celo的產品遭零時差漏洞利用，微軟、Adobe今年的已知漏洞，以及京晨科與Reolink的NVR與IP Cam老舊漏洞遭利用。</p> <p>●BeyondTrust修補旗下以遭利用的遠端支援系統、特權遠端存取系統的零時差漏洞CVE-2024-12356，已發現攻擊者用於入侵其SaaS環境用戶，兩日後再發現攻擊者還利用另一零時差漏洞CVE-2024-12686。<br /> ●Celo修補三款MFT檔案傳輸系統的零時差漏洞CVE-2024-55956，有資安業者指出12月初已有利用跡象，勒索軟體組織Cl0p宣稱是其所為。<br /> ●微軟在6月修補Windows Kernel Mode的漏洞CVE-2024-35250，以及Adobe在3月修補ColdFusion的漏洞CVE-2024-20767，如今發現針對未修補用戶的攻擊。<br /> ●臺灣京晨科技（NUUO）網路監控主機NVRMini2的老舊漏洞CVE-2018-14933、CVE-2022-23227，以及中國Reolink多款IP攝影機的老舊漏洞CVE-2019-11001、CVE-2021-40407，近日美國CISA將之列入已知漏洞利用清單。</p> <p>還有一個重大漏洞修補需要重視，那就是12月中旬修補的Apache Struts漏洞CVE-2024-53677，有資安研究機構警告發現有攻擊者嘗試掃描這項漏洞的跡象。</p> <p>至於資安事件方面，國內有兩家上市櫃公司發布資安事件重訊，巧合的是，12月18日美國政府才向使用京晨科技產品的企業警告，發現攻擊者鎖定其產品已知漏洞進行攻擊，19日京晨科技又因自家企業遭駭客攻擊而發布資安重訊。</p> <p>●上市半導體業盛群的MCU創意競賽網站遭受駭客網路攻擊<br /> ●上櫃光電業京晨科有部分資訊系統遭受駭客攻擊<br /> ●日本知名影音共享平臺Niconico、角川書店半年前遭駭，如今傳出角川集團支付勒索集團300萬美元的消息。</p> <p>在資安防禦上，隨著2025即將來到，有多家市場分析機構與廠商都對未來的資安態勢，提出預警，例如，在新的PQC加密逐漸普及下，網路安全產品也要應對隱藏於加密流量的網路威脅；生成式AI的資安威脅已探討多時，如今還強調企業須重視建立AI BOM清單來強化資安防護力；還有中國國家級駭客轉向勒索軟體維生的全新態勢，提醒中小企業將面對更嚴峻的網路威脅。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166733"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1223~1227，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流</span></strong></a></h2> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166821"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1230~0103，密碼敏捷性與AI BOM成2025年新焦點，市調機構預測將是驅動資安市場的關鍵動能</span></strong></a></h2> <p>在2024邁向2025年之際的資安新聞中，DDoS攻擊的資安事件再成國內焦點，群光在1月2日周四傍晚發布資安重訊，表示該公司官方網站遭受網路DDoS攻擊。值得注意的是，後續我們發現，同日遭攻擊的政府相關單位，還有主計總處、桃園捷運、松山機場、櫃買中心成目標，而且隔日再有多家上市櫃公司也表示受到DDoS攻擊，包括，上市公司世芯-KY、大眾電腦、台塑，以及上櫃公司青雲。</p> <p>事實上，這已是親俄駭客NoName057繼去年9月、10月後，對臺發動的第3波攻擊，該組織也依然囂張地在社群平臺X公布其攻擊活動，而且上述公家與民間單位，有相當高比例是再次遭受攻擊。此外，NoName057聲稱的攻擊目標還包括：台船、ITIS產業技術資訊服務網、臺灣港棧服務網、臺灣金融服務業聯合總會、馬祖航空站、交通部航港局、臺灣自由貿易港區網站等。</p> <p>其他重要資安事件包括，有3起是月前資安事故的後續消息，涵蓋施耐德電機遭駭，以及BeyondTrust與Cleo的零時差漏洞利用。<br /> ●施耐德電機11月遭駭，12月底有駭客在暗網公布相關檔案。<br /> ●BeyondTrust於12月中揭露零時差漏洞利用情形，新傳出美國財政部因此受害。<br /> ●Cleo於12月被資安業者揭露有零時差漏洞利用，傳出60家企業遭Clop勒索。<br /> ●德國福斯被發現旗下軟體公司Cariad應用程式配置不當，致雲端資料庫曝險。<br /> ●資安業者iProov示警，發現暗網一批資料內含大量身分證明文件及對應的臉部圖片，將對KYC識別帶來挑戰，歹徒可用這些真實資料突破金融單位的驗證。</p> <p>在資安防禦及發展的消息中，2025年的到來，市調機構IDC公布了臺灣資安產品市場的預測報告，強調了該領域的快速增長潛力，指出未來4年市場規模從2024年的4.62億美元，增至2028年的7.16億美元。</p> <p>特別的是，IDC還強調量子韌性與AI資安將推動更多市場需求。基本上，因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，如今IDC認為2025年企業將優先採用Crypto-Agility框架，以確保加密演算法能靈活升級與更換；在AI資安領域，透明度與安全性將成發展重點，近期我們時常聽到資安專家談及AI物料清單（AI BOM）的議題，IDC亦認為業界在2025年將加速推廣AI BOM，並將帶動數據物料清單（Data BOM）的興起。</p> <p>另一個焦點是近年萬眾矚目的生成式AI技術，最近我們報導資安院院長何全德闡釋了新世代AI對資安治理的挑戰與機遇，他呼籲應用AI應關注資安、倫理和治理風險，如今許多大型企業已經行動，包括透過紅隊演練，或推行提示多樣性注入機制來因應，並有企業開始成立了AI道德倫理委員會，同時他也建議，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向：Velocity、Vulnerability、Veracity、Vigilance，作為臺灣制定AI安全政策的重要依據。</p> <p>對於臺灣企業組織的資安強化，何全德也強調，資安理念正從傳統的信任架構轉型為零信任模式（Zero Trust），這不僅是技術的革新，更是戰略上的長期規畫，他並指出「資安向左移」、「從駭客視角強化資安」，都是當前提升防護能力的重要方向。</p> <p>此外，數位部一項新進展也受關注，預計2025年推出「臺灣數位皮夾」，將採用可驗證憑證（VC）和去中心化身份（DID）等技術，不只可存放政府核發的證件卡片，學位證書、企業核發的員工證等未來也能加入</p> <p>在漏洞消息方面，有多項開源軟體有關的修補需要企業重視，包括：Linux作業系統開源影音框架GStreamer、Java網路應用程式框架Apache MINA、開源發票及專案管理平臺Invoice Ninja，以及開源NAS作業系統TrueNAS Core。</p> <p>此外，有研究人員展示Windows 11 BitLocker漏洞攻擊手法，雖然此一手法是利用舊有bitpixie漏洞（CVE-2023-21563），但可透過降級攻擊成功重現了漏洞利用。研究人員強調，此攻擊需近距離短暫接觸實體設備，對一般用戶影響有限但對重視資安的企業與政府來說需格外重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164110">【2024年6月資安月報】</a></h3> </div></div></div>
2025/1/9 09:57作者羅正漢https://www.ithome.com.tw/news/166878
【資安日報】1月9日，日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織行徑囂張，長年從事網路攻擊的情況，過往相關警告幾乎是美國發出，也有不少是由五眼聯盟發出，但最近日本也發布相關的公告，該國警方本週針對特定中國駭客組織的攻擊行動發布警告，突顯此項威脅範圍正在逐漸擴大。</p> <p>他們特別提及這些駭客已對於當地發動三波大規模攻擊，主要的目的就是為了國家安全及先進技術的機密資料，並公布駭客的作案手法，供當地企業組織防範相關攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166880"><strong style="font-size: 22px;">中國駭客MirrorFace對日本從事5年逾200起攻擊行動，企圖竊取國家安全及先進技術機密</strong></a></p> <p>代號為Earth Kasha、MirrorFace的中國駭客組織惡名昭彰，1月8日日本警方提出警告，自2019年起，這個團體鎖定日本企業組織、個人從事網路攻擊，根據他們的調查，這些駭客的目的就是竊取日本的國家安全及先進技術的資料，對此，他們針對這些駭客的攻擊手法，提出相關的防禦措施。</p> <p>雖然日本警方發布的警告內容，主要是提供當地企業與個人相關的因應措施，但根據當地媒體報導指出，警方透露這些駭客從2019至2024年間，已從事210次網路攻擊。知情人士透露，其中一個目標就是2023年傳出遭到攻擊的日本航太探查機構（Japan Aerospace Exploration Agency，JAXA）。</p> <p>日本警方指出，這些駭客的攻擊行動大致可分成三波，第一波從2019至2023年，駭客針對日本智庫、政府機關、政治人物、新聞媒體相關人士而來，透過電子郵件散布惡意軟體LodeInfo，企圖竊取機敏資料。</p> <p><a href="https://www.ithome.com.tw/news/166888"><strong style="font-size: 22px;">針對鎖定四信工業路由器的殭屍網路攻擊，中國資安業者指出駭客亦使用其他已知及零時差漏洞攻擊連網設備</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20241127_11.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20241127_11.png" style="width: 300px; float: right;" /></a></p> <p>去年底資安業者VulnCheck揭露鎖定命令注入漏洞CVE-2024-12856而來的殭屍網路攻擊，對象是中國網路設備廠商廈門四信科技（Four-Faith）的工業路由器F3x24、F3x36，估計有近1.5萬臺設備曝險，如今有中國資安業者揭露新的發現，指出這些駭客也對其他類型、多個廠牌的網路設備，使用已知（N-Day）及未知漏洞入侵。</p> <p>中國資安業者奇安信指出，他們自去年2月就察覺上述的Mirai變種殭屍網路活動，並將其命名為Gayfemboy，雖然一開始發現的早期惡意程式並未引起他們注意，但研究人員在11月發現此殭屍網路病毒出現重大變化，駭客開始利用零時差漏洞，其中一個就是VulnCheck揭露的CVE-2024-12856。</p> <p>除上述已被揭露的漏洞之外，奇安信提及還有兩個廠牌的裝置未知弱點遭到利用，這些設備是Neterbit路由器，以及Vimar智慧家庭裝置。</p> <p><a href="https://www.ithome.com.tw/news/166889"><strong style="font-size: 22px;">卡西歐去年勒索軟體事件造成員工、客戶近8,500人個資外洩，部分系統尚未恢復</strong></a></p> <p>經過三個月的調查，日本電子大廠卡西歐公布，包含客戶、合作夥伴及員工近8,500人的個資在去年秋天遭駭客竊取。有部分服務迄今尚未恢復。</p> <p>去年10月5日卡西歐公司網路遭勒索軟體攻擊，造成多個系統一周無法使用。在經過連同外部專家調查後，卡西歐說明，去年10月攻擊來自海外，公司對釣魚郵件和全球包含海外分公司網路安全系統的疏漏，因而讓勒索軟體自海外辦公室入侵釀災。經過調查確認，包含人員個資的內部文件外流。但該公司強調客戶資料庫或處理客戶個資的系統沒有資料被竊跡象。</p> <p>卡西歐指出，除了部分個別服務系統，受系統錯誤暫停的服務，大部分都已回復。不過，該公司並未說明那些系統尚未恢復運作。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=163641&SPOKE_DATE=20250108&COMPANY_ID=2610"><strong style="font-size: 22px;">華航遭遇DDoS攻擊</strong></a></p> <p>1月8日下午華航於股市公開觀測站發布重大訊息，指出他們的網站遭到DDoS攻擊，事發當下已立刻啟動相關防禦及復原機制因應。</p> <p>針對這起事故可能會帶來的影響，華航表示根據他們的初步評估，對於營運無重大影響，亦無個資外洩的疑慮。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://thehackernews.com/2025/01/researchers-expose-noneuclid-rat-using.html">木馬程式NonEuclid RAT繞過UAC和AMSI安全機制活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-new-connect-secure-flaw-used-in-zero-day-attacks/">Ivanti警告Connect Secure存在零時差漏洞，駭客企圖藉此植入惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-keriocontrol-firewall-flaw-to-steal-admin-csrf-tokens/">防火牆系統GFI KerioControl存在CRLF注入漏洞，傳出已被用於攻擊行動</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-urges-admins-to-patch-exploitable-sslvpn-bug-immediately/">SonicWall防火牆存在SSL VPN、SSH高風險漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166860"><strong style="font-size: 22px;">以安全為由，AI之父參與連署要求法院阻止OpenAI走向營利化</strong></a></p> <p>科技首富馬斯克（Elon Musk）去年控告OpenAI及I執行長Sam Altman，理由是Sam Altman想將公司轉變為營利組織，違背創立時開源AI模型及造福全人類的初衷。近日一個主張負責任AI開發的非營利組織Encode向審理此案的北加州奧克蘭聯邦地方法院遞交「法庭之友」書狀（amicus brief），意在阻止OpenAI改組為獲利實體。如今AI之父Geoffrey Hinton也加入聲援的行列。</p> <p>Geoffrey Hinton指出，OpenAI創立時以AI安全為號召，公司規章也做出各種安全承諾。該公司還因非營利組織身分獲得稅務減免和其他好處，若任由它撕毁一切承諾，將對生態體系其他人帶來不良效果。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.watchguard.com/wgrd-news/press-releases/watchguard-acquires-actzero">資安業者WatchGuard買下新創ActZero，跨入MDR市場</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166875"><strong>【1月8日】駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166852"><strong>【1月7日】資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> </div></div></div>
2025/1/9 14:45作者周峻佑https://www.ithome.com.tw/news/166890
中國駭客MirrorFace對日本從事5年逾200起攻擊行動，企圖竊取國家安全及先進技術機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號為Earth Kasha、MirrorFace的中國駭客組織惡名昭彰，1月8日<a href="https://www.npa.go.jp/bureau/cyber/koho/caution/caution20250108.html">日本警方提出警告</a>，自2019年起，這個團體鎖定日本企業組織、個人從事網路攻擊，根據他們的調查，這些駭客的目的就是竊取日本的國家安全及先進技術的資料，對此，他們針對這些駭客的攻擊手法，提出相關的防禦措施。</p> <p>雖然日本警方發布的警告內容，主要是提供當地企業與個人相關的因應措施，但根據<a href="https://english.kyodonews.net/news/2025/01/3de655117007-210-hacks-made-on-jaxa-other-japan-targets-by-china-group-since-2019.html?phrase=airplane&words=">當地媒體報導</a>指出，警方透露這些駭客從2019至2024年間，已從事210次網路攻擊。知情人士透露，其中一個目標就是<a href="https://www.ithome.com.tw/news/163941">2023年傳出遭到攻擊的日本航太探查機構（Japan Aerospace Exploration Agency，JAXA）</a>。</p> <p>日本警方指出，<a href="https://www.npa.go.jp/bureau/cyber/pdf/20250108_caution.pdf">這些駭客的攻擊行動大致可分成三波</a>，第一波從2019至2023年，駭客針對日本智庫、政府機關、政治人物、新聞媒體相關人士而來，透過電子郵件散布惡意軟體LodeInfo，企圖竊取機敏資料。</p> <p>第二波攻勢則是針對連上網際網路的網路設備而來，這些駭客自2023年開始，針對日本半導體、製造業、電信業者、學術機構、航太產業等領域，利用軟體弱點入侵企業組織的內部網路環境。</p> <p>這些遭到利用的漏洞，包含存在於安瑞科技（Array Networks）Array AG系列SSL VPN設備（及虛擬化版本vxAG）的<a href="https://www.ithome.com.tw/news/166225">CVE-2023-28461</a>，Fortinet防火牆作業系統FortiOS、上網安全閘道FortiProxy的SSL VPN漏洞<a href="https://www.ithome.com.tw/news/157623">CVE-2023-27997</a>，以及Citrix NetScaler設備漏洞<a href="https://www.ithome.com.tw/news/158303">CVE-2023-3519</a>（CVSS風險皆達到9.8分）。</p> <p>第三波攻擊發生於去年6月，為針對日本學術機構、智庫、政治人物、新聞媒體相關人士竊取機密資料的攻擊行動，其攻擊途徑同樣是透過電子郵件，向目標人士散布惡意軟體Anel。</p> <p>針對前兩波目標式電子郵件攻擊，日本警方表示，駭客分別採用不同手法，散布LodeInfo的攻擊行動裡，駭客引誘受害者開啟附件檔案觸發攻擊鏈；而去年6月出現的另一波攻擊行動裡，則是透過郵件內文的連結觸發。</p> <p>此外，攻擊者在過程裡還濫用Windows的沙箱機制，而在第三波攻擊裡，駭客還利用了微軟免費的IDE工具Visual Studio Code（VS Code）。</p> </div></div></div>
2025/1/9 11:20作者周峻佑https://www.ithome.com.tw/news/166880
針對鎖定四信工業路由器的殭屍網路攻擊，中國資安業者指出駭客亦使用其他已知及零時差漏洞攻擊連網設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底資安業者VulnCheck揭露<a href="https://www.ithome.com.tw/news/166761">鎖定命令注入漏洞CVE-2024-12856而來的殭屍網路攻擊</a>，對象是中國網路設備廠商廈門四信科技（Four-Faith）的工業路由器F3x24、F3x36，估計有近1.5萬臺設備曝險，如今有中國資安業者揭露新的發現，指出這些駭客也對其他類型、多個廠牌的網路設備，使用已知（N-Day）及未知漏洞入侵。</p> <p>中國資安業者奇安信指出，<a href="https://blog.xlab.qianxin.com/gayfemboy-en/">他們自去年2月就察覺上述的Mirai變種殭屍網路活動</a>，並將其命名為Gayfemboy，雖然一開始發現的早期惡意程式並未引起他們注意，但研究人員在11月發現此殭屍網路病毒出現重大變化，駭客開始利用零時差漏洞，其中一個就是VulnCheck揭露的CVE-2024-12856。</p> <p>除上述已被揭露的漏洞之外，奇安信提及還有兩個廠牌的裝置未知弱點遭到利用，這些設備是Neterbit路由器，以及Vimar智慧家庭裝置。</p> <p>針對這項發現，他們決定註冊部分C2網域名稱以便進行觀察，結果發現駭客將殭屍網路控制的設備分成超過40個群組，每日有1.5萬個處於活動狀態的節點，這些裝置主要分布於中國、美國、伊朗、俄羅斯、土耳其，他們綁架這些裝置用於發動DDoS攻擊，目標大多位於中國、美國、德國、英國、新加坡。</p> <p>駭客下手的目標相當廣泛，涵蓋路由器、DVR、NAS、智慧家庭裝置等，根據駭客對受害裝置的分組，華碩路由器的數量最多，有2,080臺，其次是廣盈資訊（Kguard）的DVR設備，有1,461臺，而感染這些設備的管道，都是透過已知漏洞。</p> <p>遭到綁架的四信工業路由器、Vimar智慧家庭裝置，分別有590臺、442臺。</p> <p>值得留意的是，根據研究人員的分析，這些駭客總共運用超過20項漏洞攻擊連網裝置，其中大部分是已知漏洞。存在於D-Link、華為、利凌（Lilin）、Linksys、兆勤（Zyxel Networks）等廠牌的特定型號裝置。</p> </div></div></div>
2025/1/9 13:32作者周峻佑https://www.ithome.com.tw/news/166888
卡西歐去年勒索軟體事件造成員工、客戶近8,500人個資外洩，部分系統尚未恢復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過三個月的調查，日本電子大廠卡西歐<a href="https://world.casio.com/news/2025/0107-incident/" target="_blank">公布</a>，包含客戶、合作夥伴及員工近8,500人的個資在去年秋天遭駭客竊取。有部分服務迄今尚未恢復。</p> <p>去年10月5日卡西歐公司網路遭勒索軟體<a href="https://www.ithome.com.tw/news/165467" target="_blank">攻擊</a>，造成多個系統一周無法使用。在經過連同外部專家調查後，卡西歐說明，去年10月攻擊來自海外，公司對釣魚郵件和全球包含海外分公司網路安全系統的疏漏，因而讓勒索軟體自海外辦公室入侵釀災。經過調查確認，包含人員個資的內部文件外流。但該公司強調客戶資料庫或處理客戶個資的系統沒有資料被竊跡象。</p> <p>卡西歐指出，除了部分個別服務系統，受系統錯誤暫停的服務，大部分都已回復。</p> <p>因內部文件被竊取而個資外洩的人員，包含6,500名員工（包括約聘或短期員工）的姓名、員工工號、電子郵件信箱，有些則還洩露了家人姓名、電話、住址，少部分人的生日、性別、生日或身分證號。此外近2,000名卡西歐合作夥伴的姓名、公司名、電子郵件、電話等，數人外流身分證號。另外還有近100名客戶資訊外流，包括出貨地址、電話、購買產品、購買日。</p> <p>其他外流資訊包括發票日期、業務及合約資料、應徵者面試資料等。這家日本電子大廠強調，洩露的個人資訊中不包含信用卡資訊，而外洩事件也並非內部人士所為。</p> <p>卡西歐目前正在確定受影響的業務合作夥伴和客戶，並承諾一旦確定將與其單獨聯繫，且採取必要措施保護個人隱私。</p> <p>卡西歐未說明哪些系統未能恢復運作。</p> </div></div></div>
2025/1/9 13:54作者林妍溱https://www.ithome.com.tw/news/166889
三星2月將把AI訂閱方案推向AI智慧型手機、家用機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星高層證實，將在2月把AI訂閱方案應用在具備AI能力的智慧型手機及家庭伴侶機器人Ballie上。</p> <p>韓國媒體<a href="https://m.etnews.com/20250108000240" target="_blank">引述</a>三星電子執行長暨副董事長韓鐘熙（Han Jong-hee）在記者會公布這項消息。</p> <p>三星去年12月針對家電產品<a href="https://www.businesskorea.co.kr/news/articleView.html?idxno=230784" target="_blank">推出</a>AI訂閱俱樂部（AI Subscription Club）方案。三星主管指出，<a href="https://www.youtube.com/watch?v=ehV0yTqxBrE" target="_blank">造型</a>可愛的黃色家庭伴侶機器人Ballie，會在美國及韓國上市，韓國方面會連同Galaxy智慧型手機及Ballie先實行訂閱制。</p> <p>媒體分析，Ballie是全新商品，三星尚未公布定價和規格，但預期應該不便宜。分期付款或租賃有助於這產品的市場接受度。</p> <p>三星是跟進韓國電子大廠LG推出訂閱制。2019年LG首先針對淨水器推出租賃制，而後擴展至其他家電。韓國媒體報導，截至今年第三季，LG的家電訂閱營收成長為1兆韓元（約6.8億美元）。</p> <p>三星去年推出的AI訂閱俱樂部<a href="https://www.businesskorea.co.kr/news/articleView.html?idxno=230784" target="_blank">方案</a>，涵蓋電視、電冰箱、洗衣機、吸塵器等家電產品。三星家電90%包含AI技術。消費者可月付一定金額，在最長60個月獲得家電產品、免費維修和保養服務。它提供二種方案，一是全套式，涵蓋各種家電，60個月分期付款。二是精選制，有36個月或60個月可選擇，消費者可選擇免費維修或定期保養服務。</p> <p>該方案是以三星SmartThings平臺及軟體監控終端設備運行狀態及用電量，提供用戶每月一次檢查報告。以遠距診斷和維修服務，減少工程師到府維修的成本和花費。三星當時指出，之後還會推向其他產品。</p> </div></div></div>
2025/1/9 12:31作者林妍溱https://www.ithome.com.tw/news/166887
黃仁勳指Nvidia的AI晶片發展已超越摩爾定律
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia執行長黃仁勳本周稍早在CES 2025演說以及在Techcrunch<a href="https://techcrunch.com/2025/01/07/nvidia-ceo-says-his-ai-chips-are-improving-faster-than-moores-law/" target="_blank">訪談</a>中指出，該公司AI運算能力的進展速度，已經超越摩爾定律。</p> <p>摩爾定律（Moore's Law）是由英特爾創始人之一的Gordon Moore，在1965年首先提出對晶片製造的預測。該定律後來也經過調整，不過大致是指，積體電路的電晶體元件每18到24個月會成長一倍。隨著電晶體愈來愈小，使得翻倍的難度及成本愈來愈高，摩爾定律已經漸漸不適用，但仍然是資訊產業的重要指標。</p> <p>同樣的，AI在經過近幾年的發展，也被部分人士質疑發展速度減緩。但是黃仁勳駁斥AI進展速度減緩，並說AI運算速度有自己的成長法則，是超摩爾定律（Hyper Moore’s Law）。原因是，由於Nvidia同時自建架構、晶片、函式庫和演算法，就可以超越摩爾定律。他在去年11月就<a href="https://www.barrons.com/articles/nvidia-moores-law-chip-speeds-23acc5c6" target="_blank">提出</a>了這個說法。</p> <p>黃仁勳說現在AI有3個擴展法則，分別是預訓練（pre-training，以大量資料讓AI模型學習）、後訓練（post-training，微調），及測試時運算（test-time compute，推論期間，讓AI模型在回答前有更多時間思考）。</p> <p>黃仁勳指出，該公司最新AI晶片GB200 NVL72比上一代H100運算速度快30倍。拉長時間來看，該公司AI晶片和10年前相比，更是快了1,000倍，並沒有減緩跡象。</p> <p>一如摩爾定律藉由推升運算速度降低運算成本，黃仁勳相信，AI速度也愈來愈快，因而也能壓低推論成本。</p> <p>OpenAI最新具思考能力的AI模型o3執行每次任務就要近20美元，但ChatGPT Plus訂閱費每月也才收20美元，令執行長Sam Altman<a href="https://fortune.com/2025/01/07/sam-altman-openai-chatgpt-pro-subscription-losing-money-tech/" target="_blank">哀怨</a>用戶用太兇，害它虧很大。因此，黃仁勳相信，像OpenAI o3的模型推論成本長時間會下降。因為具思考能力的AI模型可創造更好的資料於AI預訓練及後訓練使用，進而加速AI模型運算效能。</p> </div></div></div>
2025/1/9 12:13作者林妍溱https://www.ithome.com.tw/news/166885
升級硬體、增進效能與能源效率，FlashArray//C邁入第四代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/pure_storage_flasharray-c20_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2021年2月推出<a href="https://www.ithome.com.tw/review/143206">第三代FlashArray//C系列</a>，Pure Storage在<a href="https://www.purestorage.com/company/newsroom/press-releases/pure-delivers-advancements-with-next-gen-flasharray-x-and-c.html">2023年6月</a>發表FlashArray//C R4世代的機型（//C90、//C70、//C50），與同時發表的FlashArray//X R4世代機型，都更新運算平臺硬體規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlashArray-2024-timeline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlashArray-2024-timeline.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Pure Porfolio-2023-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure%20Porfolio-2023-06.jpg" style="width: 600px;" /></a></p> <p>例如，它們都改用英特爾第四代Xeon Scalable處理器平臺，記憶體升格為DDR5-4400，I/O介面提升為PCIe 4.0，而且全產品線支援100 GbE與64Gb FC網路規格，號稱可提供40％的整體效能增長，以及80％的記憶體速度提升，30％的線上壓縮能力強化，每瓦效能改善幅度達到30％至40％——FlashArray//C R4系列的每瓦效能增進48％，FlashArray//X R4系列增進40％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlashArray R4-2023-06-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlashArray%20R4-2023-06-overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FlashArray R4-features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlashArray%20R4-features.jpg" style="width: 600px;" /></a></p> <p>除此之外，FlashArray//C R4與FlashArray//X R4的中高階機型，例如//C90、//C70，以及//X90、//X70，也配備Pure Storage在2023年3月推出的壓縮加速卡，這張稱為<a href="https://blog.purestorage.com/purely-technical/directcompress-accelerator-packs-more-data-into-flasharray-xl/">DirectCompress Accelerator（DCA）的專屬FPGA元件</a>，已先在<a href="https://www.ithome.com.tw/review/148556">FlashArray//XL</a>供應。基本上，Pure Storage會在這些儲存系統機型的每個儲存控制器當中，預設安裝1張DCA卡，可幫忙處理器分攤壓縮作業，可提升線上壓縮效能的幅度為30％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-Pure DCA-the-second-one_-Webjpg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Pure%20DCA-the-second-one_-Webjpg.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Pure DCA-2023-03-0-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure%20DCA-2023-03-0-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Pure DCA-2023-03-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure%20DCA-2023-03-1.jpg" style="width: 298px;" /></a></p> <p>而在DirectFlash模組（DFM）的搭配上，Pure Storage當時表示，將在 FlashArray//C R4系列，提供75 TB容量的DFM模組（採用QLC快閃記憶體），若以1臺3U尺寸、置入20臺75 TB DFM模組的儲存設備而言，總共可供應1.5 PB原始儲存容量；若就每TB容量而言，占用的機架空間能夠減少36％，耗電量減少42％。</p> <p>在FlashArray//X R4系列中，Pure Storage提供36 TB容量的DFM模組（採用TLC快閃記憶體），單就每TB容量而言，占用的機架空間能夠減少51％，耗電量減少97％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DFM-2023-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DFM-2023-06.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DFM-20203-06-hand.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DFM-20203-06-hand.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DFM-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DFM-2023-06-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DFM-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DFM-2023-06-2.jpg" style="width: 298px;" /></a></p> <p>到了2024年11月，Pure Storage宣布FlashArray//C系列增添新機型//C20，產品價位與用途鎖定中小企業，以及入門等級與遠端辦公室建置的需求，可因應較小型工作負載與邊緣環境的低儲存容量部署。</p> <p>若根據原始儲存容量區分，FlashArray//C系列前一批推出的//C50、//C70、//C90，最大可提供484 TB、1.3 PB、2.5 PB，最近發表的//C20則是260 TB。若以Pure Storage標榜的有效容量（effective capacity）而言，//C50、//C70、//C90，最大可提供1.6 PB、4.8 PB、8.9 PB，相較之下，FlashArray//X系列最高階的//X90，最大可提供3.3 PB，比起//C90相差1.69倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-FAC%20position.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Pure Storage FlashArray//C R4</span></strong><br /> ●原廠：Pure Storage<br /> ●建議售價：廠商未提供<br /> ●採用快閃記憶體類型：QLC<br /> ●機型與機箱尺寸：//C20、//C50均為3U，//C70為3U至6U，//C90為3U至9U<br /> ●儲存容量：//C20原生容量為148至260 TB，//C50原生容量為187至484 TB，//C70原生容量為260至1.3 PB，//C90原生容量為450至2.3 PB<br /> ●存取延遲：最低2毫秒<br /> ●主機端介面：10GbE、25GbE、40GbE、100GbE、16Gb FC、32Gb FC、64Gb FC<br /> ●後端磁碟介面：NVMe<br /> ●儲存系統高可用性：99.9999%<br /> ●管理平臺：雲端管理服務Pure1、儲存即程式碼服務Pure Fusion</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/9 01:05作者李宗翰https://www.ithome.com.tw/review/166772
AI也能教你玩遊戲，Razer公開AI遊戲教練Project Ava
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名電競周邊品牌Razer在CES揭露了新計畫<a href="https://www.razer.com/concepts/razer-project-ava">Project Ava</a>，這是一款標榜終極人工智慧玩家副手的軟體，要以人工智慧輔助玩家，從賽前策略擬定、遊戲實況中的即時指導，到賽後的表現分析，甚至還會協助玩家最佳化硬體設備，試圖提供玩家更全面的遊戲支援。</p> <p>Project Ava將人工智慧應用於電競領域，並進一步將範圍擴展至一般遊戲體驗的強化。Razer強調Ava的即時電競教練功能，是基於自家Team Razer電競戰隊頂尖選手與教練的實戰資料與策略，透過分析玩家的遊戲畫面，即時提供專業建議。Project Ava特別之處在於跳脫以往僅仰賴API資料進行分析的模式，採用更為貼近真人教練的視覺分析方法。</p> <p>除了競技層面的指導，Project Ava也能擔任遊戲嚮導的角色，透過執行大量的人工智慧遊戲模擬，針對遊戲中的難題，如棘手的魔王戰或複雜的任務提供玩家建議，協助玩家更順暢地進行遊戲，省去跳出遊戲查閱攻略的麻煩。此外，在硬體最佳化方面，Project Ava能根據玩家的電腦配備與遊戲設定，自動進行最佳化調整，提升遊戲幀數、縮短載入時間，並提供硬體、軟體與韌體的更新檢查，供玩家能充分發揮硬體效能。</p> <p>Razer尚未透露Project Ava運作的具體硬體平臺，僅表示該軟體會在自家未公開的專有人工智慧硬體上，並預計於2025年稍晚提供更多相關資訊。</p> </div></div></div>
2025/1/8 22:59作者李建興https://www.ithome.com.tw/news/166872
Nvidia發表Cosmos平臺，大幅簡化機器人和自動駕駛開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia於CES發表全新<a href="https://nvidianews.nvidia.com/news/nvidia-launches-cosmos-world-foundation-model-platform-to-accelerate-physical-ai-development">Cosmos平臺</a>，加速實體人工智慧（Physical AI），特別是機器人和自動駕駛領域的發展。Cosmos集結了先進的生成式世界基礎模型、高效能視覺分詞器（Tokenizer）、安全性防護機制以及影片處理工作管線，提供相關領域開發者強大的開發工具。</p> <p>過去實體人工智慧的發展始終受限於高昂的開發成本、龐大的資料需求以及繁瑣的測試流程。Nvidia現在推出Cosmos平臺，期望大幅解決這些問題，降低技術門檻，讓更多開發者能夠跨進實體人工智慧開發領域。Cosmos平臺的核心則是Cosmos世界基礎模型（World Foundation Model，WFM），這些模型能夠生成基於物理原理且極為逼真的合成資料，提供機器人和自動駕駛系統訓練與測試所需的模擬環境。同時，開發者還可利用自身的資料集，對這些模型進行微調，以符合特定應用需求。</p> <p>Nvidia執行長黃仁勳在CES演講提到，Cosmos是第一個世界基礎模型，他們利用2,000萬小時的影片資料訓練，專注於捕捉物理動態物體，從自然景象到人類行為，這些影片涵蓋了行走、手部動作，甚至快速相機運動等主題，教導人工智慧理解真實世界中的動態變化，進而讓人工智慧能夠更精確地模擬和預測物理世界的行為。</p> <p>除了強大的世界基礎模型之外，Cosmos還整合了部分Nvidia特有的技術。其中，採用Nvidia Cosmos Tokenizer作為視覺分詞器，能將影像與影片高效轉換成電腦可處理的Token，Nvidia指出，Nvidia Cosmos Tokenizer與目前最先進的編碼器相比，總壓縮率提高至8倍，處理速度則提升為12倍。</p> <p>此外，藉由Nvidia NeMo Curator提供的影片處理加速工作管線，開發者可在短時間內處理並標記大量的影片資料，短短14天的時間處理、整理和標記2,000萬小時的影片資料，而傳統僅使用CPU的處理方式則需要三年多的時間。Nvidia強調，Cosmos平臺的效能相較於傳統僅使用CPU的處理方式，有著大幅度提升，可縮短開發周期。</p> <p>Nvidia採用開放模型授權的方式，鼓勵產業共同參與，目前已有機器人和汽車等多家公司採用Cosmos技術，包涵1X、Agile Robots、Agility、Figure AI、Foretellix，叫車服務Uber也與Nvidia合作，透過結合豐富的駕駛資料與Cosmos平臺，及Nvidia DGX Cloud運算能力，助自動駕駛產業的合作夥伴高效建立人工智慧模型。</p> </div></div></div>
2025/1/8 23:07作者李建興https://www.ithome.com.tw/news/166877
【資安日報】1月8日，駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日的資安新聞當中，有兩則提及駭客攻擊出現新的手法，其中，與一般社會大眾較為相關的電商網站交易資料側錄攻擊，特別值得我們關注。</p> <p>有研究人員發現，駭客製作了WordPress外掛程式，並在網路犯罪論壇兜售，標榜攻擊者能即時取得受害者輸入的付款內容，甚至能藉此竊取線上刷卡流程所需的動態密碼（OTP）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166870"><strong style="font-size: 22px;">駭客打造惡意WordPress外掛PhishWP，意圖藉由合法網站竊取購物者信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PhishWP-advertisement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PhishWP-advertisement.png" style="width: 300px; float: right;" /></a>駭客針對電商網站下手，從中竊取買家的交易資料屢見不鮮，但如今攻擊手法出現變化，而能進一步突破相關防護機制。</p> <p>根據專精上網安全的資安業者SlashNext觀察，有人暗中於俄羅斯網路犯罪論壇向駭客兜售名為PhishWP的惡意WordPress外掛程式，可用來建立幾可亂真的付款網頁，從而竊取購物者的信用卡號、瀏覽器中繼資料，以及其他個資。</p> <p>攻擊者可入侵一般的WordPress網站，或是自行建置網站來「加裝」這項外掛，然後將外掛程式偽裝成支付閘道，引誘購物者輸入付款資料。但與一般作案工具不同的是，此外掛能將收集到的資料，直接透過特定的Telegram頻道即時傳送到攻擊者手上。</p> <p><a href="https://www.ithome.com.tw/news/166874"><strong style="font-size: 22px;">新興應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5b045472bcf504ee2e66296edb78e0b4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5b045472bcf504ee2e66296edb78e0b4.png" style="width: 300px; float: right;" /></a></p> <p>駭客將資安工具用於從事網路攻擊的情況不時傳出，其中最常出現的是滲透測試工具Cobalt Strike，後來也有濫用Brute Ratel C4（BRc4）、紅隊演練工具EDRSilencer的事故，如今有人將歪腦筋動到檢測應用程式安全的工具上。為了強化軟體開發安全，有資安業者開始提供名為界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）的機制，藉此在網頁應用程式找出弱點，但如今這種機制也被不肖份子濫用，拿來從事惡意套件攻擊。</p> <p>資安業者Socket過去一年發現一種新型態的惡意JavaScript、Python、Ruby套件，其共通點就是濫用oastify.com、oast.fun等OAST檢測服務，將敏感資料傳送到攻擊者的伺服器，而且，他們發現攻擊者利用這類工具來竊取資料、建立C2通道，甚至是進行多階段攻擊的情況越來越頻繁。</p> <p><a href="https://www.ithome.com.tw/news/166871"><strong style="font-size: 22px;">針對中華電信海底電纜遭貨輪破壞事故，數發部公布後續因應措施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/f1736118957489.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/f1736118957489.jpg" style="width: 300px; float: right;" /></a>1月3日上午7時45分，傳出野柳東北方海域海底國際電纜發生損壞，海巡署淡水海巡隊於12時40分接獲中華電信報案，初步研判是喀麥隆籍「SHUNXIN39（音譯順興39）」貨輪造成。雖然這艘貨輪在喀麥隆註冊，但傳出所有者是中國公民郭文傑開設的香港捷陽貿易有限公司，因此外界普遍認為這起事故並非單純意外，疑似中國蓄意破壞。針對這起事故，數位發展部也對相關因應處理作為提出說明。</p> <p>1月6日數位發展部韌性建設司指出，國家通訊暨網路安全中心（NCCSC）在3日上午9時接獲中華電信的通報，由於該公司已啟動其他海纜備援，語音電路、網際網路、企業客戶服務皆不受影響，並預計於2月3日修復受損的海纜。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-says-recent-government-hack-limited-to-us-treasury/">美國政府指出BeyondTrust零時差漏洞攻擊事故並未影響財政部以外的聯邦機構</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/casio-says-data-of-8-500-people-exposed-in-october-ransomware-attack/">針對10月勒索軟體攻擊事故，卡西歐表示有8,500人個資外洩</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166868"><strong style="font-size: 22px;">研究人員公布微軟12月修補的LDAP阻斷服務漏洞細節，指出攻擊者有可能藉此讓伺服器當機</strong></a></p> <p>資安研究員Yuki Chen向微軟通報兩項涉及的漏洞CVE-2024-49112、CVE-2024-49113，微軟去年12月的例行更新（Patch Tuesady）已提供這些漏洞的修補，其中又以列為重大層級的RCE漏洞CVE-2024-49112較受到關注。被評為高風險的阻斷服務（DoS）漏洞CVE-2024-49113也相當值得留意，有研究人員特別對此提出警告，因為有可能導致尚未修補的Windows伺服器當機。</p> <p>本月初資安業者SafeBreach公布CVE-2024-49113細節，並揭露概念性驗證（PoC）攻擊手法，他們指出一旦攻擊者利用這項漏洞，就能讓尚未修補的Windows伺服器當機，而且唯一的必要條件，就是受害組織網域伺服器（DC）的DNS伺服器必須連上網際網路，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LDAPNightmare.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LDAPNightmare.jpg" style="width: 580px;" /></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bios-flaws-expose-iseq-dna-sequencers-to-bootkit-attacks/">生物科技業者Illumina的DNA檢測儀器BIOS存在漏洞，攻擊者有可能藉此持續於受害裝置活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-update-addresses-high-severity-vulnerability-cve-2025-0291/">Google發布Chrome更新，修補V8引擎類型混淆高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166867"><strong style="font-size: 22px;">美國政府公布物聯網裝置網路安全標章U.S. Cyber Trust Mark</strong></a></p> <p>1月7日美國白宮公布美國網路安全標章（U.S. Cyber Trust Mark），旨在推動智慧家庭聯網裝置符合進階網路安全標準，並鼓勵製造商採用標章以證明其產品的安全性。</p> <p>這項計畫是2023年7月由美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel提出，目的是讓消費者得以辨識在美國境內銷售的智慧物聯網裝置，有哪些符合進階網路安全標準。在18個月的公告和開放公眾意見期間，聯邦通訊委員會（FCC）於去年3月無異議表決通過同意建立這項法案、最後版本規則，以及相應的盾牌商標，白宮在拜登政府在任期即將結束之際，正式公布這項計畫。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.veracode.com/press-release/veracode-acquires-phylum-inc-technology-to-transform-software-supply-chain-security">程式碼分析業者Veracode買下資安新創Phylum</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166852"><strong>【1月7日】資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166811"><strong>【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</strong></a></p> </div></div></div>
2025/1/8 18:09作者周峻佑https://www.ithome.com.tw/news/166875
新興應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客將資安工具用於從事網路攻擊的情況不時傳出，其中最常出現的是滲透測試工具Cobalt Strike，後來也有濫用<a href="https://www.ithome.com.tw/tags/brute-ratel-c4">Brute Ratel C4（BRc4）</a>、<a href="https://www.ithome.com.tw/news/165571">紅隊演練工具EDRSilencer</a>的事故，如今有人將歪腦筋動到檢測應用程式安全的工具上。為了強化軟體開發安全，有資安業者開始提供名為界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）的機制，藉此在網頁應用程式找出弱點，但如今這種機制也被不肖份子濫用，拿來從事惡意套件攻擊。</p> <p>資安業者Socket過去一年<a href="https://socket.dev/blog/weaponizing-oast-how-malicious-packages-exploit-npm-pypi-and-rubygems">發現一種新型態的惡意JavaScript、Python、Ruby套件</a>，其共通點就是濫用oastify.com、oast.fun等OAST檢測服務，將敏感資料傳送到攻擊者的伺服器，而且，他們發現攻擊者利用這類工具來竊取資料、建立C2通道，甚至是進行多階段攻擊的情況越來越頻繁。</p> <p>什麼是OAST？這是一種檢測網頁應用程式的機制，<a href="https://portswigger.net/burp/application-security-testing/oast">最早是由應用程式資安業者PortSwigger提出</a>，目的是改良現有的動態應用程式安全測試（DAST）機制，找出DAST無法發現的弱點，並減少靜態應用程式安全測試（SAST）造成誤報的情形。OAST工具能讓資安人員藉由DNS查詢、HTTP請求，以及各式網路互動的方式來找出應用程式的弱點。</p> <p>OAST雖然立志良善，但也成為攻擊者濫用的標的。研究人員舉出其中3種他們發現的惡意套件為例，名為adobe-dcapi-web的NPM套件設置相當高的版號（如99.99.99），使得自動更新的開發人員就會隨之套用到開發環境，此套件經由透過混淆處理的JavaScript程式碼，將敏感資料傳送到OAST平臺oastify.com。</p> <p>另一個名為monoliht的PyPI套件，則是透過惡意指令碼收集開發人員電腦的中繼資料，並將搜括的資料傳送到多個惡意網站。</p> <p>第三個是RubyGems惡意套件，攻擊者以chauuuyhhn、nosvemosssadfsd、holaaaaaafasdf名稱上架，其特點是藉由DNS查詢來收集資料。研究人員指出，由於入侵偵測系統（IDS）通常會將DNS流量視為良性，使得攻擊者降低被發現的風險。</p> </div></div></div>
2025/1/8 17:36作者周峻佑https://www.ithome.com.tw/news/166874
駭客打造惡意WordPress外掛PhishWP，意圖藉由合法網站竊取購物者信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對電商網站下手，從中竊取買家的交易資料屢見不鮮，但如今攻擊手法出現變化，而能進一步突破相關防護機制。</p> <p>根據專精上網安全的資安業者SlashNext觀察，有人暗中<a href="https://slashnext.com/blog/phishwp-turns-sites-into-phishing-traps/">於俄羅斯網路犯罪論壇向駭客兜售名為PhishWP的惡意WordPress外掛程式</a>，可用來建立幾可亂真的付款網頁，從而竊取購物者的信用卡號、瀏覽器中繼資料，以及其他個資。</p> <p>攻擊者可入侵一般的WordPress網站，或是自行建置網站來「加裝」這項外掛，然後將外掛程式偽裝成支付閘道，引誘購物者輸入付款資料。但與一般作案工具不同的是，此外掛能將收集到的資料，直接透過特定的Telegram頻道即時傳送到攻擊者手上。</p> <p>研究人員也提及PhishWP具備進階功能，例如能在購物者結帳進行3-D安全驗證（3-D Secure，3DS）的過程裡，竊取動態密碼（OTP）。一旦攻擊者取得這種驗證碼，就能假冒信用卡持卡人，進而讓他們盜刷的交易看起來像是持卡人所為。</p> <p>值得留意的是，在攻擊者得逞後，受害者還會收到PhishWP寄出的電子郵件，誤導他們以為線上交易已經成功，但在此同時，攻擊者可能進一步運用得手的資料，或是將其出售牟利。</p> </div></div></div>
2025/1/8 15:11作者周峻佑https://www.ithome.com.tw/news/166870
針對中華電信海底電纜遭貨輪破壞事故，數發部公布後續因應措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月3日上午7時45分，傳出野柳東北方海域海底國際電纜發生損壞，海巡署淡水海巡隊<a href="https://www.cga.gov.tw/GipOpen/wSite/ct?xItem=163118&ctNode=650&mp=999">於12時40分接獲中華電信報案</a>，初步研判是喀麥隆籍「SHUNXIN39（音譯順興39）」貨輪造成。雖然這艘貨輪在喀麥隆註冊，但<a href="https://www.politico.eu/article/taiwan-china-undersea-cables-attack-international-telecom-cargo-ship-eu-russia/">傳出所有者是中國公民郭文傑開設的香港捷陽貿易有限公司</a>，因此外界普遍認為這起事故並非單純意外，<a href="https://news.ltn.com.tw/news/politics/breakingnews/4914711">疑似中國蓄意破壞</a>。針對這起事故，數位發展部也對相關因應處理作為提出說明。</p> <p>1月6日<a href="https://moda.gov.tw/press/press-releases/14990">數位發展部韌性建設司指出</a>，國家通訊暨網路安全中心（NCCSC）在3日上午9時接獲中華電信的通報，由於該公司已啟動其他海纜備援，語音電路、網際網路、企業客戶服務皆不受影響，並預計於2月3日修復受損的海纜。</p> <p>針對這起事故，數發部也將配合海巡署、法務部、國家通訊傳播委員會，以及司法機關加強執法，確保臺灣的國際國際海纜關鍵基礎設施能夠持續營運。</p> </div></div></div>
2025/1/8 16:12作者周峻佑https://www.ithome.com.tw/news/166871
華碩CES發表不到1公斤重的14吋螢幕Copilot+PC筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年美國CES展華碩對外發表了採用高通處理器的三款Copilot+PC筆電，主打AI PC功能，具備長時間使用的筆電續航力，其中一款筆電重量不到1公斤。同時，該公司也發表新的商用電腦，支援會議內容摘要等AI商用功能，其中ExpertBook B5支援Wi-Fi 7。</p> <p>Copilot+PC是微軟去年和高通合作所發表，首波的Copilot+PC筆電採用高通Snapdragon X Elite或X Plus處理器，因整合NPU，具備至少40TOPS以上的處理能力，在裝置端執行AI模型，效率要比傳統的CPU、GPU來得高，並宣稱具備全天候的電池續航力，內建40多個AI地端模型，並支援微軟Windows AI功能，除了Copilot助理，還有可快速查找內容的Recall、圖像創作的Cocreator、即時字幕及翻譯功能的Live Captions等等。</p> <p>不過，去年首波Copilot+PC因採用高階的行動處理器，產品價位也偏高，當時普遍價位在999美元以上，而在今年CES上，高通發表新的行動處理器Snapdragon X Platform，整合45TOPS的NPU，預估產品價位將降到600美元，將Copilot+PC推向主流PC市場。</p> <p><span style="color:#B22222;"><strong>華碩3款Copilot+PC筆電亮相</strong></span></p> <p>華碩在今年CES消費電子展發表三款搭載高通處理器的Copilot+PC筆電，其中的Zenbook A14號稱為全球最輕的Copilot+PC筆電，14吋FHD 60Hz OLED螢幕筆電，重量不到1公斤，且具備長時間續航力，其內建70Wh電池，在未開啟Wi-Fi下在筆電上播放影片，號稱可長達32個小時，播放網路串流影音可達28個小時，網路瀏覽將近達20個小時。A14也支援最新的Wi-Fi 7。</p> <p>Zenbook A14的Snapdragon X處理器，內建45 TOPS NPU，提供Copilot+PC的Windows AI功能，包括快速搜尋內容的回顧Recall，還有在小畫家裡的圖像生成創作功能Cocreator，以及可提升照片畫質的超高解析度等等。</p> <p>更輕的重量、更長的電池續航力，華碩強調Zenbook A14的可攜性增加，且長時間續航力讓筆電不需要時時連接電源，讓使用筆電得以減少限制，自由使用筆電。</p> <p>相較於價位較高的Zenbook A14，該公司另外發表Vivobook S3系列兩款筆電，包括S14及S16，分別為14及16吋FHD OLED螢幕，主打全民適用的AI筆電，同樣採用高通Snapdragon X處理器，整合45 TOPS NPU，支援Copilot+PC的Windows AI功能，包括回顧Recall、可辨識螢幕快照的文字及圖像的Click to do，可以文字描述對圖像編輯的Generative Fill，還有可轉換圖像風格的Restyle Image、從文字生成圖像的Image Creator等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(5).jpg" style="width: 600px; height: 308px;" /></p> <p>華碩也在Vivobook內建自家的AI PC功能，像是可以根據人物、場景、記憶來自動分類照片檔案的StoryCube，以及即時字幕翻譯功能。</p> <p>透過內建NPU，華碩指出，AI工作負載從CPU移到由NPU執行，完成的時間縮短約6倍，在系統單晶片SoC的能耗部分，NPU也比CPU節省約8成能耗。</p> <p>Vivobook 14及16內建70Wh電池之下，在未開啟Wi-Fi下撥放影片接近24個小時，網路瀏覽長達19個小時；而在筆電使用安全上，筆電支援Microsoft Pluton安全處理器，將Passkey通行密鑰內建在CPU，將高機敏性的資料安全地儲存在裝置上。</p> <p>不只是筆電產品支援AI，華碩在今年CES也發表支援AI的NUC迷你電腦，NUC 15 Pro及NUC 14 Pro，均採用Intel Core Ultra 9 seriers 2處理器，支援大容量、高速的DDR5記憶體，以符合AI模型的運算需要，其中NUC 14 Pro更內建獨立的Copilot鍵，可一鍵啟用AI功能。</p> <p><span style="color:#B22222;"><strong>商用電腦也具備AI Ready</strong></span></p> <p>除了消費性產品，華碩迎合AI PC的趨勢，也在商用電腦產品支援AI Ready，借助AI提升工作效率。</p> <p>例如在新發表的ExperBook B5，採用Intel Core Ultra（代號Arrow Lake）處理器，可選配三代的英特爾處理器，在安全設計上，整合雙BIOS、TPM，其中BIOS強調符合NIST SP 800-155標準。</p> <p>B5整合13TOPS的NPU，加上CPU、GPU合計平臺效能達99TOPS，華碩在這款筆電內建了商用AI功能，除了支援Microsoft Copilot，還提供AI會議內容摘要、AI翻譯、AI相機、AI語音優化等功能。</p> <p>商用桌機ExperCenter P500為迷你桌機產品，採用英特爾Core Ultra series 2處理器，配備Nvidia RTX GPU，也同樣能夠支援一系列的商用AI功能。</p> </div></div></div>
2025/1/8 16:54作者蘇文彬https://www.ithome.com.tw/news/166873
研究人員公布微軟12月修補的LDAP阻斷服務漏洞細節，指出攻擊者有可能藉此讓伺服器當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究員Yuki Chen向微軟通報兩項涉及的漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49112">CVE-2024-49112</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49113">CVE-2024-49113</a>，微軟<a href="https://www.ithome.com.tw/news/166452">去年12月的例行更新（Patch Tuesady）</a>已提供這些漏洞的修補，其中又以列為重大層級的RCE漏洞CVE-2024-49112較受到關注。被評為高風險的阻斷服務（DoS）漏洞CVE-2024-49113也相當值得留意，有研究人員特別對此提出警告，因為有可能導致尚未修補的Windows伺服器當機。</p> <p>本月初資安業者SafeBreach<a href="https://www.safebreach.com/blog/ldapnightmare-safebreach-labs-publishes-first-proof-of-concept-exploit-for-cve-2024-49113/">公布CVE-2024-49113細節</a>，並揭露概念性驗證（PoC）攻擊手法，他們指出一旦攻擊者利用這項漏洞，就能讓尚未修補的Windows伺服器當機，而且唯一的必要條件，就是受害組織網域伺服器（DC）的DNS伺服器必須連上網際網路，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」。</p> <p>他們將利用攻擊流程大致分成7個步驟。攻擊者會向目標伺服器發送分散式運算環境（DCE）或遠端程序呼叫（RPC）請求，此時受害主機會對攻擊者的網域（研究人員設置為SafeBreachLabs.pro）發送DNS SRV查詢。</p> <p>接著，攻擊者的DNS伺服器就會回傳攻擊者的主機名稱及LDAP連接埠。受害主機就會廣播NetBIOS名稱服務（NBNS），尋找攻擊者主機的IP位址，並得到攻擊者的NBNS回應。</p> <p>完成上述步驟後，受害主機就會成為攻擊者環境的LDAP用戶端，並向攻擊者的主機發送CLDAP（Connectionless LDAP）協定的請求，接下來攻擊者只要發送具備特定數值的CLDAP回應封包，就能讓強制將受害伺服器重開機。</p> <p>研究人員強調，上述攻擊流程若是稍加修改最後發送的CLDAP資料，攻擊者還能用來遠端執行任意程式碼。有鑑於這項漏洞的嚴重性。</p> <p>研究人員驗證此漏洞可行性的系統是Windows Server 2022及2019，但他們認為此手法也能攻擊其他版本的Windows Server。基於這些考量，SafeBreach呼籲企業應儘速套用更新程式，若是無法即時部署，最好監控可疑的CLDAP的轉介回應（referral response）是否出現特定的惡意數值，並監控DsrGetDcNameEx2呼叫、DNS SRV（Service）紀錄的查詢是否出現異常。</p> </div></div></div>
2025/1/8 12:31作者周峻佑https://www.ithome.com.tw/news/166868
疑遭川普政權壓力，Meta關閉社群平臺的事實查核功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疑似遭到新任聯邦通訊委員會（FCC）主席的壓力，Meta執行長祖克柏（Mark Zuckerberg）宣布將關閉臉書等社群平臺上由第三方權威機構提供的事實查核（fact-checking）功能，理由是減少誤殺言論。</p> <p>祖克柏昨日透過Threads平臺<a href="https://www.threads.net/@zuck/post/DEhgZJYJu5D" target="_blank">說明</a>，現在是時候回到自由言論的源頭，給予平臺上用戶更大言論空間。他並公布未來放鬆管制的作法。</p> <p>新措施之一將從美國開始取消事實查核，改以社群註解（Community Notes）取代。社群註解是以馬斯克的X為代表，它不是找特定第三方機構，而是由用戶在推文下方添加社群生成的註解，目的是提供更完整的上下文或對相關資訊作為事實查核，好處是避免單一仲裁者的偏見或錯誤判斷，缺點是可能遭少數人用以推廣特定立場言論。</p> <p>其次，Meta將簡化內容政策，移除對特定議題如移民、性別相關偏離主流的言論的限制。Meta的言論過濾也將專注在非法和嚴重違法事件，以避免大規模審查失誤。Meta也將在臉書、IG、Thread上調查用戶想看的內容，並逐步加回平臺上。</p> <p>Meta也計畫將信賴與安全及內容仲裁團隊遷到加州以外，而美國內容審查團隊則搬到德州．以減少員工所在地造成的偏見。祖克柏並說會和川普合作，擊退鎖定美國公司進行言論審查的外國政府。</p> <p>此舉是Meta繼上周<a href="https://www.ithome.com.tw/news/166807" target="_blank">公布</a>支持言論自由的Joel Kaplan成為新任公共事務長後，另一個因應政局變化而做的變動。The Verge<a href="https://www.theverge.com/2025/1/7/24338125/meta-mark-zuckerberg-fact-checking-censorship-brendan-carr-trump" target="_blank">指出</a>，而這次變化原因是去年11月川普任命的FCC主席Brendan Carr。Carr去年一上任就<a href="https://www.fcc.gov/sites/default/files/DOC-407732A1.pdf" target="_blank">致函</a>Meta、蘋果、Google及微軟執行長，指稱這些公司參與了由廣告、行銷、「事實查核」組織及拜登政府的集團，限制美國人行使言論自由，其行為包括移除社群網站貼文、將其網站或App標示為「不被信賴」或「高風險」、或降低搜尋排序等。FCC要求科技公司交出網站評等服務NewsGurard及事實查核工具的相關資料，顯然企圖施加壓力。</p> <p>被點名後，去年12月Meta前公共事務長Nick Clegg<a href="https://www.theverge.com/2024/12/3/24311513/meta-content-moderation-mistakes-nick-clegg" target="_blank">公開承認</a>，該公司的言論仲裁技術錯誤率太高，許多合法言論遭錯殺。Clegg上周已被Kaplan取代。</p> </div></div></div>
2025/1/8 14:45作者林妍溱https://www.ithome.com.tw/news/166869
美國政府公布智慧物聯網裝置的網路安全標章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮於昨日<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2025/01/07/white-house-launches-u-s-cyber-trust-mark-providing-american-consumers-an-easy-label-to-see-if-connected-devices-are-cybersecure/" target="_blank">公布</a>美國網路安全標章（U.S. Cyber Trust Mark），旨在推動智慧家庭聯網裝置符合進階網路安全標準，並鼓勵製造商採用標章以證明其產品的安全性。</p> <p>這項計畫是2023年7月由美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel提出，目的是讓消費者得以辨識在美國境內銷售的智慧物聯網裝置，有哪些符合進階網路安全標準。在18個月的公告和開放公眾意見期間，聯邦通訊委員會（FCC）於去年3月無異議<a href="https://docs.fcc.gov/public/attachments/DOC-401201A1.pdf" target="_blank">表決通過</a>同意建立這項法案、最後版本規則及相應的盾牌logo，本周在拜登政府在任期即將結束之際，白宮公布這項計畫。</p> <p>類似能源之星（EnergyStar）標章用以促進廠商生產節能產品，美國網路安全標章（U.S. Cyber Trust Mark）旨在鼓勵廠商生產更安全的連網裝置。網路安全標章可讓產品製造商、零售商和產業公會等，根據美國國家標準技術研究所（US National Institute of Standards and Technology，NIST）的網路安全標準測試其產品，通過合作的實驗室測試的產品就可獲得該標章，便於美國消費者更容易辨識出這些產品。</p> <p>去年12月FCC<a href="https://docs.fcc.gov/public/attachments/DA-24-1241A1.pdf" target="_blank">公布</a>11家公司為網路安全標章執行機構，包括SGS、UL、TUV、DEKRA等公司，而UL為主要執行機構。</p> <p>2023年7月本項計畫公布時，已有Amazon、Best Buy、Google、LG美國、Logitech和三星<a href="https://www.cnbc.com/2024/06/07/amazon-best-buy-may-soon-sell-smart-devices-with-hacker-safe-label.html" target="_blank">響應</a>，Amazon、Best Buy將會在店面標明具有該標章的智慧連網產品。</p> </div></div></div>
2025/1/8 13:47作者林妍溱https://www.ithome.com.tw/news/166867
高通發表Snapdragon X Platform晶片，搶攻主流AI PC市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通（Qualcomm）於美國拉斯維加斯CES，發表旗下Snapdragon X系列處理器最新成員<a href="https://www.qualcomm.com/products/mobile/snapdragon/laptops-and-tablets/snapdragon-x">Snapdragon X Platform</a>。這款新晶片主打主流市場，搭載8核心Oryon CPU，CPU核心最高時脈為3 GHz，並整合45 TOPS的NPU，在600美元價位帶的筆電產品中，提供兼顧效能與功耗的解決方案，並使其具備順暢執行人工智慧應用程式的能力。</p> <p>不同於先前推出的Elite與Plus版本，此次發表的Snapdragon X Platform將目標客群更明確地鎖定在主流消費市場，並同樣採用4nm製程。根據高通所提供的資料，其搭載的8核心Oryon CPU在效能與功耗的平衡上表現良好，可在相同功耗下，比Intel Core 5 120U快上163％的效能，或者在相同效能表現下，功耗降低約62％。</p> <p>此外，Snapdragon X Platform內建的45 TOPS NPU，足以驅動Copilot+ PC的各項人工智慧應用，並搭配高效能Adreno GPU和LPDDR5x記憶體，滿足文書處理、網頁瀏覽以及影音串流等日常需求。此外，Snapdragon X Platform支援Wi-Fi 7無線網路，提供更快和穩定的連接。</p> <p>搭載Snapdragon X Platform的筆電產品將於2025年初陸續發表，合作夥伴包括Acer、Asus、Dell、HP和Lenovo等知名OEM廠商，預估售價將落在600美元，有望進一步推動AI PC普及。</p> <p>除了筆電產品，高通還<a href="https://www.qualcomm.com/news/releases/2025/01/snapdragon-x-series-continues-to-redefine-the-pc-category-with-a">宣布</a>將推出全球首款搭載Snapdragon X系列處理器的迷你桌機，正式進軍小型化電腦市場。高通也指出，越來越多開發者投入Windows 11 on Snapdragon的生態系中，目前已經有超過50個原生於Snapdragon的人工智慧應用程式，涵蓋VPN、安全防護、雲端儲存等類別的軟體，以及音樂製作相關的DAW（Digital Audio Workstations）與VST（Virtual Studio Technology）工具。</p> </div></div></div>
2025/1/8 08:28作者李建興https://www.ithome.com.tw/news/166858
Python蟬聯TIOBE年度語言，穩居程式語言龍頭地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python再次以壓倒性的優勢，獲選為知名程式語言流行度指標TIOBE 2024年度程式語言，並穩居2025年1月的排行榜榜首。根據TIOBE程式語言公布2025年1月<a href="https://www.tiobe.com/tiobe-index/">最新資料</a>，Python評分高達23.28％，較去年同期大幅上升9.32％，持續擴大其領先優勢，展現其目前在軟體開發領域不可撼動的地位。</p> <p>Python具有許多優勢，其簡潔易學的語法、豐富的函式庫以及廣泛的應用領域，使其成為了眾多開發者的首選。從資料科學、機器學習、人工智慧到網站開發，Python的應用領域極為廣泛，涵蓋各個層面儼然已成為許多領域的預設語言。</p> <p>與Python的強勢表現形成對比的是，傳統的C語言則持續走下坡。根據TIOBE的資料，C語言在2025年1月的排名下滑至第4名，評分較去年同期下降2.59％。針對C語言的衰退，TIOBE執行長Paul Jansen表示，C在許多嵌入式的應用，正逐漸被更現代化、更安全的C++所取代。</p> <p>C++與Java之間的競爭激烈，持續爭奪第2名的寶座。C++以10.29％的評分險勝Java的10.15％，暫時位居第2。Java雖然在企業應用領域仍占有重要地位，但近年來，C++在效能與彈性上的優勢，使其在高效能運算和遊戲開發等領域，越來越受到開發者的歡迎。</p> <p>以雲端應用為開發重點的Go語言，在本次排名中大幅度上升至第7名。作為由Google所開發的新興語言，Go語言在雲端運算和微服務架構的應用上展現了極大的潛力，並成功取代了曾經紅極一時的PHP，成為穩居TIOBE排行榜前10名常客，PHP則在本月的排名中滑落至第13名。</p> <p>Rust語言則是持續穩健成長，排名攀升至第14名，其強調記憶體安全和執行效能的特色，受到許多開發者關注，但是其陡峭的學習曲線，仍是Rust普及的一大挑戰。另一方面，被視為Android官方開發語言的Kotlin，排名沒有明顯進步，甚至可能永遠失去了前20名的位置，其未來發展仍有待觀察。</p> </div></div></div>
2025/1/8 08:33作者李建興https://www.ithome.com.tw/news/166859
以安全為由，AI之父參與連署要求法院阻止OpenAI走向營利化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI向營利化組織轉型的計畫，不只引發馬斯克反對，連AI之父Geoffrey Hinton也加入非營利組織<a href="https://encodeai.org/encode-backs-legal-challenge-to-openais-for-profit-switch/" target="_blank">聲援</a>馬斯克的訴求。</p> <p>科技首富馬斯克（Elon Musk）去年<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>OpenAI與OpenAI執行長Sam Altman違背創立時開源AI模型及造福全人類的初衷，想將公司轉變為營利組織。近日一個主張負責任AI開發的非營利組織Encode向審理此案的北加州奧克蘭聯邦地方法院<a href="https://www.courtlistener.com/docket/69013420/72/musk-v-altman/" target="_blank">遞交</a>「法庭之友」書狀（amicus brief），意在阻止OpenAI改組為獲利實體。</p> <p>Encode也是在OpenAI於去年12月30日<a href="https://www.ithome.com.tw/news/166735" target="_blank">宣布</a>2025年組織轉型後提出法庭文件。Encode主張，OpenAI組織重整將會從根本顛覆該公司開發進階AI時，以公眾安全為優先的承諾。</p> <p>Encode的文件指出，OpenAI現有以非營利組織控制的結構可提供必要的治理框架，一旦控制權轉向營利實體，這個治理框架就會喪失。他們甚至覺得OpenAI光是承諾不夠，而是應該依法平衡公眾利益和投資人利益。</p> <p>以AI之父聞名的2024年諾貝爾物理獎得主暨2018年圖靈獎得主Geoffrey Hinton也加入聲援。他說，OpenAI創立時以AI安全為號召，公司規章也做出各種安全承諾。該公司還因非營利組織身分獲得稅務和其他好處。若任由它因為礙事而撕毁一切承諾，將對生態體系其他人帶來不良效果。</p> <p>這份文件並說明，如果OpenAI計畫將公司控制權轉給營利實體，將危及多道安全機制，包括OpenAI現有「停止與競爭者競爭，並開始協助他們」，如果這是確保AI系統安全、效用最好方法，且在非營利委員會能力所及。</p> <p>Encode創辦人暨總裁Sneha Revanur說，今天許多公司競相開發和部署轉型AI，將利潤置於中心，卻讓後果危及人類，因此法院必須出手干涉，以確保AI開發要服膺公眾利益。</p> </div></div></div>
2025/1/8 08:52作者林妍溱https://www.ithome.com.tw/news/166860
HDMI 2.2規格公布，頻寬達96Gbps，可支援VR/AR、機器視覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>維護HDMI規格的HDMI Forum公司本周在CES 2025上<a href="https://www.prnewswire.co.uk/news-releases/hdmi-forum-announces-version-2-2-of-the-hdmi-specification-302336817.html" target="_blank">公布</a>2.2版本規格，傳輸總頻寬可達96Gbps，可望用於傳輸電視、電影、電玩等多媒體數位內容傳輸，支援AR/VR或機器視覺等商務應用。</p> <p>HDMI 2.2具備96Gbps頻寬，是2.1版的2倍，新增HDMI定速連線技術（Fixed Rate Link）提供更高解析度及刷新率，支援多種影音應用，包括沈浸式與虛擬應用如AR/VR/MR、空間實境及光場顯示器，或是大型顯示器、醫療影像和機器視覺等商務應用。</p> <p>HDMI 2.2規格還加入延遲指示協定（Latency Indication Protocol，LIP），可提升影音同步、特別是多中繼點（multi-hop）系統配置，例如影音接收器或聲霸等設備。</p> <p>HDMI線纜認證方案下並加入Ultra96 HDMI傳輸線認證，此HDMI規格提供96Gbps頻寬，支援所有HDML 2.2規格功能。每一型號、長度的HDMI 2.2傳輸線都必須經過測試和認證，並且顯示認證標章。</p> <p>HDMI 2.2將可部署於所有HDMI 2.x轉接頭，預定2025年上半正式釋出，可由廠商加入。</p> </div></div></div>
2025/1/8 09:09作者林妍溱https://www.ithome.com.tw/news/166861
【資安日報】1月7日，資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>0719 CrowdStrike更新造成全球大當機的資安事故，對於許多人還記憶猶新，當時就是因為該公司派送的更新檔出現有問題的程式碼，導致用戶電腦在套用完成後，重開機就出現藍色當機（BSoD）畫面。</p> <p>而類似的事故在半年內出現於另一個廠牌的資安系統，稍微值得慶幸的是，這起事故只是造成他們的產品故障，並未波及用戶的個人電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166848"><strong style="font-size: 22px;">資安業者Tenable傳出外掛程式更新出錯意外，端點代理程式停擺</strong></a></p> <p>12月31日專精弱點管理的資安業者Tenable指出，他們得知部分採用弱點管理解決方案的用戶在更新外掛程式後，電腦的Nessus代理程式就被迫離線。對此，該公司已暫停外掛程式更新服務，並積極調查發生的原因。</p> <p>事隔兩天，1月2日Tenable再度提出說明，指出這起事故影響所有執行10.8.0及10.8.1版Nessus代理程式的電腦，但其餘元件不受影響，像是弱點管理系統Tenable Vulnerability Management（TVM）、Tenable Security Center（TSC）的管理伺服器。</p> <p>隨後該公司發布Nessus代理程式10.8.2版，並說明這起事故發生的原因，源自於他們在10.8.0版代理程式導入的外掛程式編譯器性能強化機制，而有可能在同時編譯相依程式庫的過程出現競爭狀況（race condition）釀禍。</p> <p><a href="https://www.ithome.com.tw/news/166851"><strong style="font-size: 22px;">針對美國電信業者遭遇中國駭客Salt Typhoon大規模攻擊事故，知情人士透露新的受害公司</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" style="width: 300px; float: right;" /></a></p> <p>去年9月、10月媒體報導有多家美國電信業者遭到中國駭客Salt Typhoon入侵，這些電信業者包含AT&T、Lumen、T-Mobile、Verizon，後來美國政府證實此事，駭客從中竊取用戶的通話記錄資料，並滲透參與政府及政治事務的特定人士之通訊內容，如今這起事故又出現新的進展。</p> <p>根據華爾街日報1月4日的報導，知情人士向他們透露Charter Communications、Consolidated Communications、Windstream等3家電信業者的系統也遭到這些駭客入侵。究竟這項說法的真實性如何，這些電信業者並未對此傳聞公開提出說明。</p> <p>附帶一提，美國白宮國家安全顧問Anne Neuberger於12月27日接受採訪時，透露他們已經確認有9家美國電信業者遭到中國駭客入侵，但是否涵蓋華爾街日報報導提及的3家公司？目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">易飛旅遊遭遇供應鏈攻擊，部分資料遭到竊取</strong></a></p> <p>1月7日下午易飛旅遊（易飛網）於股市公開觀測站發布重大訊息，表示他們遭遇供應鏈攻擊，而且已出現個資外洩的情況，事發當下他們即刻啟動資安防禦及盤查機制，並杜絕可能的後門程式入侵系統。</p> <p>而對於這起事故造成的影響，易飛旅遊表示根據他們的初步評估，尚未對公司財務及業務造成重大影響。該公司也向主管機關、165反詐騙專線通報，並於網站提醒客戶提高警覺。</p> <p>針對事故的後續因應，該公司在改善措施當中提及，他們將關閉虛擬私人網路（VPN）、安排資安業者進行數位鑑識、檢測機房與系統平臺對外資料是否出現不明連線的情況，並檢查系統版本更新、導入多因素驗證機制與使用者防護檢測機制等。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140120&SPOKE_DATE=20250107&COMPANY_ID=6928"><strong style="font-size: 22px;">攸泰科技網站遭遇DDoS攻擊</strong></a></p> <p>上週有5家上市櫃公司發布重大訊息，表示他們的網站遭到DDoS攻擊，當時<a href="https://www.ithome.com.tw/news/166831">親俄駭客組織Noname057聲稱是他們所為</a>，並強調他們也對行政院主計總處、證券櫃檯買賣中心、財政部稅務入口網站等近30個網站下手引起關注，本週又有上市公司傳出遭遇相關攻擊事故。</p> <p>1月7日工業電腦供應商攸泰科技發布重大訊息指出，他們的網站遭遇DDoS攻擊，該公司資訊團隊立刻與外部資安業者合作進行相關處置。而對於這起事故可能會造成的影響，攸泰表示根據初步評估，對公司營運無重大影響，無資料外洩的疑慮。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/weaponizing-oast-how-malicious-packages-exploit-npm-pypi-and-rubygems">應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/eagerbee-backdoor-deployed-against-middle-eastern-govt-orgs-isps/">中東政府機關、網際網路服務供應商遭鎖定，駭客企圖散布惡意程式Eagerbee</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ssh-tor-malware-ukraine/">針對假冒烏克蘭軍方報告應用程式的惡意軟體攻擊，研究人員指出後門程式利用Tor網路隱匿行蹤</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166842"><strong style="font-size: 22px;">臺廠Moxa部分工業用路由器、防火牆存在重大漏洞，已發布新版韌體修補</strong></a></p> <p>1月3日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路安全設備存在提升權限漏洞CVE-2024-9138，以及命令注入漏洞CVE-2024-9140，對此，該公司發布新版韌體修補。</p> <p>根據CVSS風險評分，評為重大層級的CVE-2024-9140應優先處理，此為命令管制不當產生的漏洞，攻擊者有機會發動作業系統層級的命令注入攻擊，而有可能於受害設備執行任意程式碼，風險評為9.8（4.0版CVSS風險為9.3）。</p> <p>另一個漏洞CVE-2024-9138涉及寫死的帳密，攻擊者若是通過身分驗證，就有機會利用漏洞來提升權限，並以root等級存取受害系統，CVSS風險為7.2（4.0版評為8.6）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-43096-and-more-critical-rce-flaws-patched-in-android-security-update/">Google發布2025年首波安卓例行更新，修補系統元件的重大層級漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-20154-critical-rce-flaw-in-mediatek-chipsets-impacts-millions/">聯發科發布1月份例行更新，修補無須使用者互動就能利用的RCE漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166811"><strong>【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> </div></div></div>
2025/1/7 16:26作者周峻佑https://www.ithome.com.tw/news/166852
資安業者Tenable傳出外掛程式更新出錯意外，端點代理程式停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月資安業者CrowdStrike因端點偵測與回應系統Falcon派送更新出錯，<a href="https://www.ithome.com.tw/news/164030">引發全球電腦大當機</a>，事隔快半年，類似因推送更新造成異常的情況，再度出現於另一個廠牌的資安系統，所幸只是他們的產品故障，並未波及用戶個人電腦。</p> <p>12月31日專精弱點管理的<a href="https://status.tenable.com/incidents/9wjf0gnblhq7">資安業者Tenable指出</a>，他們得知部分採用弱點管理解決方案的用戶在更新外掛程式後，電腦的Nessus代理程式就被迫離線。對此，該公司已暫停外掛程式更新服務，並積極調查發生的原因。</p> <p>事隔兩天，1月2日Tenable再度提出說明，指出這起事故影響所有執行10.8.0及10.8.1版Nessus代理程式的電腦，但其餘元件不受影響，像是弱點管理系統Tenable Vulnerability Management（TVM）、Tenable Security Center（TSC）的管理伺服器。</p> <p>隨後該公司發布<a href="https://docs.tenable.com/release-notes/Content/nessus-agent/2025.htm#Upgrade-Notes">Nessus代理程式10.8.2版</a>，並說明這起事故發生的原因，源自於他們在10.8.0版代理程式導入的外掛程式編譯器性能強化機制，而有可能在同時編譯相依程式庫的過程出現競爭狀況（race condition）釀禍。</p> <p>要排除上述情形，用戶應升級代理程式至10.8.2版，或是降級為10.7.3版因應。他們也對於代理程式離線的用戶，提出恢復運作的建議方式。Tenable也在美國東部時間1月3日傍晚，恢復外掛程式的派送服務。</p> </div></div></div>
2025/1/7 15:29作者周峻佑https://www.ithome.com.tw/news/166848