iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Search要求瀏覽器啟用JavaScript
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google要求想使用搜尋的用戶啟用瀏覽器的JavaScript，疑似是為了防堵第三方SEO工具運作。</p> <p>用戶最近<a href="https://github.com/benbusby/whoogle-search/issues/1211" target="_blank">發現</a>上周起，Google不再支援關閉JavaScript的瀏覽器進行搜尋。用這類瀏覽器進行Google搜尋將不會回傳任何結果，反而會得到錯誤訊息，要求用戶啟用JavaScript以繼續使用搜尋功能。</p> <p>AI Overview監控工具Ziptie<a href="https://x.com/TomekRudzki/status/1879894440736895473" target="_blank">發現</a>流經該工具的偵測率下降。Ziptie是透過分析Google AI Overview對各內容網站的流量影響，作為優化參考。業者相信Google使用了比CAPTCHA更進階的工具來阻擋AIO偵測。</p> <p>根據<a href="https://www.google.com/httpservice/retry/enablejs" target="_blank">Google搜尋</a>的錯誤訊息頁，清楚說明要繼續搜尋，必須啟用瀏覽器的JavaScript。</p> <p>專業網站Search Roundtable<a href="https://www.seroundtable.com/google-blocking-seo-rank-checking-tools-volatility-continues-38759.html" target="_blank">直指</a>Google此舉是為了防堵第三方SEO工具。但也有人<a href="https://x.com/MordyOberstein/status/1880967445751484572" target="_blank">認為</a>，這是Google防範大語言模型的競爭者擷取Google搜尋的內容的一種手段。</p> <p>此類要求對使用者可能造成困擾，原因之一是JavaScript常有漏洞，而且也可能干擾給視障或聽障人士專用的輔助工具。</p> <p>Google拒絕說明原因。不過Google<a href="https://techcrunch.com/2025/01/17/google-begins-requiring-javascript-for-google-search/" target="_blank">表示</a>，關閉JavaScript的用戶進行的搜尋量，僅占總Google搜尋量不到0.1%。但媒體指出，由於Google每天處理85億筆搜尋，因此這意謂數百萬人無法使用Google搜尋。</p> </div></div></div>
2025/1/20 10:19作者林妍溱https://www.ithome.com.tw/news/167047
Google與三星聯手開發Eclipsa Audio開放格式，推動空間音訊普及化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與三星宣布推出全新的<a href="https://opensource.googleblog.com/2025/01/introducing-eclipsa-audio-immersive-audio-for-everyone.html">Eclipsa Audio開放格式</a>，目的是要沉浸式音效技術更加普及化，並從專業領域擴展至更廣泛的創作者和使用者。 Eclipsa Audio提供多元工作流程支援，並計畫於2025年全面擴展至內容創作與跨平臺播放應用，涵蓋YouTube影片、三星全新電視系列的內建支援，以及即將更新的Google Chrome瀏覽器和Android系統原生相容性。</p> <p>Eclipsa Audio以開放原始碼的IAMF（Immersive Audio Model and Formats）為基礎，並由Alliance for Open Media（AOM）制定免版稅授權，確保技術普及的可行性。隨著Eclipsa Audio的推出，空間音訊的採用門檻將大幅降低，創作者可以使用免費工具，例如iamf_tools和ffmpeg，更簡單地生成包含空間音訊的影片與音訊檔案，YouTube創作者將能夠上傳包含Eclipsa Audio音訊的影片。</p> <p>同時，三星承諾率先在其2025年電視產品線全面整合該技術，包括從Crystal UHD系列到Neo QLED 8K旗艦機型等裝置。Google則將於春季推出針對AVID Pro Tools數位音訊工作站的免費擴充套件，進一步簡化專業音效的創作流程，並計畫將Eclipsa Audio整合至更多硬體設備與軟體平臺。</p> <p>Eclipsa Audio的開放性與跨產業支持，會是空間音訊從專業領域走向大眾化重要的一步，之後隨著認證計畫和品牌授權的推行，Eclipsa Audio或將成為沉浸式音效的普遍標準。</p> </div></div></div>
2025/1/20 09:18作者李建興https://www.ithome.com.tw/news/167031
Nvidia揭露2025年Agentic AI戰略，更提出三層式架構要建立完整代理型AI生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年CES大會主題演講上，Nvidia首度揭露自己的Agentic AI（代理型AI）新戰略，還舉了Agentic AI最新4種代理能力的應用場景，輔助研究、虛擬實驗室模擬、軟體安全輔助，以及影像分析AI代理。</p> <p>AI Agent可扮演一位研究助手，幫用戶閱讀pdf等格式文件並以Podcast形式互動，也能化身軟體安全專家，進行漏洞掃描並提供防護建議，還是研究人員的重要幫手，提供化合物設計與篩選，更像是一名專業的影像分析專家，可協助異常事件偵測與改善作業流程。</p> <p>「Agentic AI的時代已經到來，成為企業工作流程中的重要環節」 Nvidia執行長黃仁勳在演講中強調。</p> <p>近兩年，GenAI（生成式AI）快速竄起，成為最火紅的企業IT技術之一，隨著GenAI技術越來越成熟，應用範疇更從GenAI走到Agentic AI應用。不只是GCP、Azure、AWS等雲端大廠先後提出自己的Agentic AI戰略，搶攻企業端應用，AI晶片龍頭Nvidia也緊跟在後，揭露其Agentic AI新戰略。</p> <p>Agentic AI指的是一套多模型（multi-model）系統，由多種功能模型組成，處理不同任務。它能將任務拆解為一個個Task，通過資料檢索、工具操作、計算機運算或GAI生成圖表等，提供高品質的回應。同時，Agentic AI持續對這些模型進行迭代與優化，不斷提升回應的準確性與效率。</p> <p>黃仁勳指出，Agentic AI的一大特色是，將使得AI的回應不再局限於單純的問答模式，而是依靠多個模型在背後同步運作，進行更精細的計算推理，因此，在推理過程中採用測試時間擴展（Test-time scaling）機制，提供更高品質的回答，就很重要。「Test-time scaling的最佳實例就是Agentic AI應用。」他說。</p> <p>黃仁勳指出，Nvidia的Agentic AI策略，專注於與IT領域的軟體開發商合作，構建生態系統以及整合技術，協助開發者和企業實現全新的Agentic AI功能與應用。他表示，過去 Nvidia的GPU倚賴CUDA加速函式庫來加速運算處理，未來針對AI Agent需求，Nvidia也會有AI專用函式庫，架構在CUDA加速庫之上，為開發者與企業提供更完整的技術支持。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap43(2).png" style="width: 600px;" /></p> <p><strong><span style="font-size:26px;">Nvidia Agentic AI應用開發三層式架構</span></strong></p> <p>瞄準企業Agentic AI應用需求，Nvidia在今年CES大會中提出了Agentic AI應用開發三層式架構軟體堆疊，協助企業快速實現應用落地，壯大Agentic AI生態系。</p> <p>Nvidia的Agentic AI架構是以區塊為基礎，最底層是模型預訓練的AI微服務NIM。NIM將GenAI執行所需的模型和軟體進行優化與封裝，並部署於任一環境中。這些微服務涵蓋多種AI模型，例如視覺模型、語言理解模型、語音模型（用於動畫）、數位生物學模型，以及最新的物理AI模型等。</p> <p>再上一層是NeMo框架，類似數位員工養成的Pipeline，讓Agentic AI能夠擔任多種工作角色，例如創作者、客製化者、評價者、守護者，以及RAG 檢索者，實現多樣化的應用場景。。</p> <p>為了讓Agentic AI具備特定領域的專業技能與知識，Nvidia採用類似員工培訓的方式，對Agentic AI數位勞動力進行優化。經過培訓的Agentic AI能代理多種工作角色，包括輔助研究助手、虛擬實驗室AI、軟體安全專家、影像分析師、AI銷售代表、客服人員、金融分析師、員工支援以及工廠運維管理者等，滿足各行業的多元需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap46(2).png" style="width: 600px;" /></p> <p>舉例來說，AI Agent可以扮演一位研究助手，可以幫你閱讀pdf等格式檔案，例如講稿、期刊、財務報告，並產生一個互動的podcast，並進一步生成互動式Podcast，讓使用者能以更直觀的方式學習與閱讀。</p> <p>軟體安全專家AI Agent可為開發者提供安全防護支援，透過漏洞掃描、自動發送警示以及提供防護建議，強化整體軟體安全性。虛擬實驗室 AI Agent 成為研究人員的重要幫手，能夠快速設計並篩選數十億種化合物，大幅縮短尋找候選藥物的時間。</p> <p>影像分析AI代理則是基於Nvidia Metropolis 藍圖，整合 NVIDIA Cosmos、Nemotron Vision Language Model、Llama Nemotron LLM 和 MeMo Retriever 等，能快速分析攝影機的數據，每天生成高達10萬TB的影片內容。</p> <p>Metropolis代理可以應用到不同場景，例如在工業場域中，可以用來監測作業流程並提供改善建議，同時從數據中偵測異常情況，調整工作者或機器的路線，協助避免意外事件的發生，提升生產效率與安全性。</p> <p>Nvidia提出Agentic AI最後一層是數位AI代理人藍圖，Nvidia提供多種開放原始碼藍圖，開發者可直接修改與擴展，用於建構特定領域的AI代理應用。在該藍圖中提供開發人員各種代理AI構建模組，包括CrewAI、Daily、LangChain、LlamaIndex 和 Weights & Biases等，協助其建立下一代Agentic AI應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap42(4).png" style="width: 600px;" /></p> <p>除了合作夥伴藍圖之外，Nvidia還推出了自己的全新AI藍圖，用於將PDF轉換為Podcast，以及另一個用於建立影片搜尋和摘要的 AI 代理程式。另外還有四款Omniverse藍圖，讓開發人員可以容易建立可用於模擬的數位孿生應用。</p> <p>Nvidia發布了一系列基於LLaMA微調的Nvidia LLaMA neotron語言基礎模型家族，並提供Nano、 Super 、Ultra三種不同模型，對應到不同任務，例如兼具成本效益和更快反應速度讀Nano模型可以用於PC或邊緣裝置， Super模型兼具更好得準確度和運算效率，以及Ultra模型，可用來執行資料中心規模應用。</p> <p><strong><span style="font-size:26px;">企業IT部門將轉型為類似Agentic AI 的HR 部門</span></strong></p> <p>黃仁勳特別看好Agentic AI在軟體行業的應用，並認為下一個人工智慧服務的重要時刻將聚焦於軟體，這是所有開發者都需要的基礎。他甚至預測，Agentic AI有潛力成為下一個機器人產業的關鍵應用，創造兆億美元的商機。</p> <p>不僅僅是應用在軟體行業，隨著AI Agent應用逐漸成熟，也將影響企業內部IT的運作模式。黃仁勳表示：「企業IT部門將轉型為類似Agentic AI 的HR 部門。」他進一步解釋，過去 IT 部門主要負責管理和維護大量來自 IT 行業的軟體，而未來的重點將轉向維護、培養和優化數位代理，並將它們應用於企業內部，提升運營效率。</p> <p>更進一步，黃仁勳指出，Agentic AI的下一步是邁向物理AI（physical AI），他介紹了Nvidia的全新平臺Cosmos，這是一個專為物理AI開發而設計的平臺，利用一系列世界基礎模型（World Foundational Models, WFM）來進行模擬和預測物理互動。</p> <p>黃仁勳表示，這些模型不僅讓人工智慧能夠處理感官數據，還能做出行動決策，幫助開發者打造下一代機器人和自動駕駛汽車，加速推動物理AI的應用發展。</p> </div></div></div>
2025/1/20 08:20作者余至浩https://www.ithome.com.tw/news/167045
【資安週報】0113~0117，中國駭客RedDelta持續散布惡意程式PlugX，臺灣、東南亞與蒙古頻遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年第二星期的資安新聞，適逢多家IT大廠每月例行安全更新發布，其中微軟與Fortinet的修補是重要焦點。微軟本月修補159個漏洞中，包含了8個零時差漏洞，其中5個已經公開揭露，另外3個更為嚴重，因為已出現實際利用狀況；資安業者Arctic Wolf在1月10日揭露一起Console Chaos攻擊行動，指出有攻擊者從去年11月針對Fortinet FortiGate防火牆設備發動零時差漏洞利用攻擊，4天後Fortinet發布相關修補資安公告。</p> <p>●微軟修補8個零時差漏洞，其中3個已遭利用，分別是：CVE-2025-21333、CVE-2025-21334、CVE-2025-21335，皆涉及Hyper-NT核心整合VSP的漏洞。<br /> ●Fortinet修補FortiOS零時差漏洞CVE-2024-55591，並表示該漏洞已遭廣泛利用。雖然Fortinet未提及漏洞是由Arctic Wolf通報，但Fortinet資安公告列出的IoC指標與Arctic Wolf的報告吻合。<br /> ●互動式BI系統Qlik Sense在2023年修補的漏洞CVE-2023-48365，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>另還傳出有駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密，研究人員推測可能是駭客透過2年前的零時差漏洞取得，雖然許多防火牆可能早已修補，但因這批資料包含防火牆規則的完整資料，因此研究人員提醒不要忽略這些能夠防範的風險。</p> <p>在威脅態勢上，使用PlugX惡意程式的中國駭客威脅，是資安界與國家網路安全機構關注的重點，不僅有資安業者揭露攻擊態勢，後續我們還發現，有國家執法單位正設法積極移除這類威脅的消息。</p> <p>首先，資安業者Recorded Future揭露中國駭客RedDelta（也叫做Earth Preta、Mustang Panda、TA416）自2023年中旬將網路攻擊目標轉向蒙古、臺灣與東南亞，主要是配合中國外交政策，而且近半年更是擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>其次，美國FBI在1月14日宣布，在與法國執法單位及資安公司Sekoia合作下，經美國法院授權，遠端刪除美國境內4,200電腦上被感染的中國駭客散布的PlugX惡意軟體，並通知受影響使用者。</p> <p>在其他重要威脅態勢與事件上，有兩起是鎖定開發人員與資安研究人員的揭露，包括攻擊者假借提供漏洞偵測工具，或是漏洞驗證工具，但實則暗藏惡意程式；有兩起是勒索軟體威脅的最新動向，其中專門針對AWS S3儲存桶的勒索軟體攻擊值得留意，因為攻擊者濫用了AWS本身提供的資料保護措施。<br /> ●有攻擊者提供偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，宣稱能找出潛在漏洞，實際上該套件暗藏遠端存取木馬Quasar RAT。<br /> ●有駭客假借提供去年12月LDAPNightmare漏洞的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。資安專家提醒，若要研究PoC應從原始揭露來源取得。<br /> ●新興勒索軟體FunkSec出現值得留意，資安業者Check Point指出這是去年12月，不僅會發動雙重勒索，並研判該組織運用了AI輔助開發相關工具。<br /> ●新發現有勒索軟體駭客的攻擊手法，是利用外流或是不慎曝光的AWS金鑰，接著濫用了AWS提供的資料保護措施SSE-C將客戶資料加密，再向使用者勒索。</p> <p>此外，還有兩起關於臺灣上市櫃公司的資安事件，專注於石英頻率控制元件的泰藝電子在1月12日發布重訊，說明有部分資訊系統遭到網路攻擊；國內老牌紡織纖維業者遠東新世紀〈原遠東紡織〉在1月16日發布重訊，說明他們接獲重要資通訊合作廠商通報，與自家公司合作的相關系統有資料外洩疑慮。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166934"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月13日】研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古</span></strong></a></h3> <p>中國駭客組織RedDelta（也被稱為Earth Preta、Mustang Panda、TA416）的攻擊行動最近幾年不斷傳出，這些駭客往往跟隨中國政府的外交策略發動攻擊，1月剛出爐最新的資安廠商調查結果，再度印證這樣的活動方針。</p> <p>值得留意的是，這些駭客兩年前因中國政府聲援俄羅斯攻擊歐洲各國，但自2023年下半，他們將目標轉向臺灣、蒙古，以及其他東南亞國家。</p> <h3><a href="https://www.ithome.com.tw/news/166956"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月14日】Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三</span></strong></a></h3> <p>資安業者Ivanti公布SSL VPN系統Connect Secure重大層級的漏洞CVE-2025-0282，並透露已出現攻擊行動的情況，協助調查的資安業者Mandiant表示攻擊者利用該漏洞長達半個月，但究竟有多少駭客加入利用漏洞的行列？有待進一步的調查。</p> <p>值得留意的是，企業組織應儘速套用修補程式，截至12日，臺灣尚有近80臺伺服器尚未修補，數量僅次於美國和西班牙。</p> <p><a href="https://www.ithome.com.tw/news/166980"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月15日】多組人馬利用零時差漏洞繞過身分驗證，攻擊Fortinet防火牆設備</span></strong></a></p> <p>新的一年零時差漏洞攻擊事故接連傳出，先是Ivanti上週公布VPN系統Connect Secure的重大漏洞CVE-2025-0282出現攻擊行動，協助調查此事的資安業者Mandiant透露攻擊行動的相關細節；接著在1月10日，資安業者Arctic Wolf揭露Fortinet防火牆大規模攻擊事故，本週也引起高度關注，今天Fortinet終於證實攻擊者使用的零時差漏洞確實存在，並登記為CVE-2024-55591。</p> <h3><a href="https://www.ithome.com.tw/news/167008"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金</span></strong></a></h3> <p>勒索軟體通常針對工作站電腦及伺服器主機而來，駭客將其資料加密，要脅受害者必須付錢換取解密金鑰，或是避免資料外流，但如今，有人針對雲端儲存服務發動相關攻擊，引起資安業者的注意。</p> <p>例如，資安業者Halcyon公布針對AWS S3儲存桶攻擊的事故，就是這樣的例子。特別的是，攻擊者並非打造專屬的檔案加密工具，而是透過AWS提供的資料防護機制犯案。</p> <h3><a href="https://www.ithome.com.tw/news/167028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</span></strong></a></h3> <p>這兩個禮拜，針對Ivanti Connect Secure、Fortinet防火牆的零時差漏洞攻擊事故相當受到各界關注，其中又以Fortinet防火牆的事故較引起注意，如今有人公布一批資料防火牆組態的資料，使得該廠牌用戶恐面臨更嚴峻的資安威脅。</p> <p>值得留意的是，雖然這批資料駭客疑似2年多前搜括而得，但由於內含詳細的防火牆政策、組態資料，甚至是VPN帳密資料，很有可能被人用於從事攻擊。</p> <p> </p> </div></div></div>
2025/1/19 18:19作者羅正漢https://www.ithome.com.tw/news/167030
Martech雙周報第69期：Amazon與微軟相繼推出RMN 3.0服務，整合多家零售業者數據及行銷通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0105~0118)</strong></span></p> <p>AWS和微軟相繼推出RMN 3.0相關服務，將自身作為平臺方，提供零售業者及廣告主各自所需的IT支援，以整合更多來源的數據，和更多行銷通路。對零售業者來說，則能降低經營RMN的技術門檻，不需要從頭建置IT系統，只需導入服務並處理數據串接，就能開始用第一方數據經營廣告業務。</p> <p>至此，三大公有雲業者，都有了各自RMN 3.0服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AWS #RMN3.0</span></strong></span><br /> <strong>Amazon推出零售廣告解決方案，提供零售業者IT工具來打造廣告系統並加入Amazon RMN生態系</strong></p> <p><a href="https://advertising.amazon.com/library/news/retail-ad-service-announcement">Amazon推出Retail Ad Service，提供廣告科技</a>，讓零售商能夠在自家通路搜尋頁面、瀏覽頁面及商品頁面上展示Amazon廣告，經營RMN。這是Amazon進軍RMN 3.0的市場做法，將自己作為廣告媒合平臺，提供零售業者打造RMN系統所需IT支援。</p> <p>利用Retail Ad Service搭建的廣告系統，會結合庫存狀態和價格資訊，以及情境化資料，如顧客搜尋關鍵字、瀏覽分類或商品，確保顧客所見廣告為適合且有現貨的商品。零售商可以決定顯示廣告的形式、廣告版位位置及數量。他們也能決定顧客點擊廣告後的反應，如跳轉到商品頁面，還是直接加入購物車。投放廣告後，廣告數據分析會在AWS數據無塵室（DCR）中進行，於加密執行環境中，為零售商及其廣告主產生去識別化的行銷成效報告。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#微軟廣告 #RMN 3.0</span></strong></span><br /> <strong>微軟推出支援零售商打造廣告系統的服務，並開放廣告主能跨微軟和各零售通路投廣</strong></p> <p>無獨有偶的，<a href="https://about.ads.microsoft.com/en/blog/post/january-2025/microsoft-advertisings-new-commerce-media-innovations-unlock-growth-for-brands-and-retailers">微軟也推出了RMN 3.0服務</a>，分別是針對零售商的Curate for Commerce，以及針對廣告主的Sponsored Promotions by Brands。</p> <p>前者運作模式是開放零售商串接數據及廣告版位到Micosoft Advertising平臺，並由平臺處理數據分析、廣告交易等作業。零售業者也可以在平臺上一站式管理專案和各式數據。不過，微軟並沒有解釋技術細節，例如零售業者如何導入或整合所需的Adtech技術，以及零售業者對於廣告操作的選項。</p> <p>後者則是開放廣告主橫跨Edge瀏覽器、Bing搜尋引擎，以及不同零售業者版面投放廣告。此服務收費模式是按銷售付費（Cost Per Sale），這意味著只有當消費者購買被推廣的產品時，廣告主才需要支付費用。能做到這點，意味著微軟有十足信心，能確實追蹤行銷轉換成效──這正是作為RMN 3.0平臺方的優勢，對於數據掌握更全面。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#程序化廣告 #CTV廣告 #DCR</span></strong></span><br /> <strong>持續拓展數位廣告業務，迪士尼推出一系列程序化廣告服務及行銷數據應用</strong></p> <p><a href="https://thewaltdisneycompany.com/tech-data-showcase-disney-advertising/">迪士尼在近日CES上宣布一系列數位廣告新做法。</a>首先，他們將開放廣告主橫跨Disney+和有5,200萬訂閱戶的Hulu，來投放廣告。他們還與30個需求方平台（DSP）整合，使廣告主能從不同DSP來投放廣告到迪士尼通路。另一方面，更計畫為Disney Campaign Manager廣告平臺打造自助式投廣選項，開放廣告主自行投廣到Disney+ 和ESPN+。</p> <p>數據處理方面，迪士尼推出Disney Compass，一個數據協作與分析平臺，提供各式數據存取與分析功能。他們並與AWS和GCP的數據無塵室串聯系統，讓廣告主能用公有雲業者的DCR，匹配第一方數據與Disney紀錄了4.25億人的身分圖譜數據，以支援受眾圈選及轉換追蹤。迪士尼自家DCR內，則新增Disney Select AI Engine功能，利用AI/ML技術來圈選受眾、尋找類似受眾，並精準投放廣告。他們還與測量平臺Lucid和Innovid合作，測量品牌好感度、廣告回憶度、轉化率等數據維度的洞察。</p> <p>Disney+上也開始測試Gateway Shop廣告，這是一種互動式廣告格式，在影片廣告中顯示產品資訊。觀眾可以掃描QR Code或用電視遙控器選擇連結到商品頁面，直接購買商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷策展 #CTV行銷 #品牌安全</span></strong></span><br /> <strong>Yahoo進一步強化行銷策展服務，整合廣告品質與品牌安全的把關技術到自家DSP</strong></p> <p>行銷策展（Curation）是近期數位行銷界熱門做法，由廣告商挑選高品質廣告版位給廣告主，來避免投廣到MFA網站或低曝光度版位。Yahoo也進一步強化行銷策展服務，在今年CES上，宣布與Jounce、Peer39、Scope3等Martech企業合作，來把關Yahoo DSP行銷過程、廣告版位品質、甚至永續性等面向。</p> <p>他們還開始根據ANA/TAG TrustNet程式化廣告透明度基準指標，推出一系列數位行銷流程透明化做法，包括曝光行銷過程的Log檔案以及提升行銷報告細緻度等。</p> <p>另外，Yahoo與CTV大廠Roku進行策略聯盟，讓廣告主可以利用Yahoo受眾數據，投放廣告在Roku通路。CTV也是業界普遍認為廣告版位品質較高的通路。</p> <p>這些措施，都是為了提供更多高成效廣告版位選項、確保廣告品質與廣告主的品牌安全，同時提供廣告主可以自行審查這些廣告品質的管道。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#CTV行銷 #數據協作 #第三方數據交換</span></strong></span><br /> <strong>CTV商Roku推出數據協作平臺，供Martech廠商一站式應用Roku數據，來提供行銷服務</strong></p> <p>聯網電視<a href="https://newsroom.roku.com/news/2025/01/roku-unveils-data-cloud-collaboration-suite/e9xzgag0-1735928755">（CTV）巨頭Roku推出Roku Data Cloud</a>。這是一個數據協作平臺，提供一系列數據處理工具，讓Martech廠商、行銷代理商等廠商能存取、分析及應用Roku生態系的各式數據，以打造CTV行銷服務。</p> <p>Roku近年大力擁抱CTV行銷浪潮，提供各式IT基礎建設，來讓廣告主、廣告商及Martech廠商能存取Roku生態系數據及廣告版位。使用Data Cloud時，廠商可以利用Roku數據無塵室（DCR）來進行數據交換，並透過Roku廣告平臺Roku Exchange來投放廣告。</p> <p>目前透過此平臺來提供行銷服務的廠商包括Omnicom、PMG、Yahoo、Innovid、iSpot.TV等，媒體代理商及Martech廠商。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#反向連結 #SEO #Google搜尋</span></strong></span><br /> <strong>Google搜尋團隊人員表示利用生成式AI製作網站反向連結，會被視為垃圾內容並降低搜尋結果排名</strong></p> <p>近日有網站主表示，發現有SEO廠商利用生成式AI來製作其他網頁內容，並附上了網站主的反向連結，來嘗試提升搜尋排名。</p> <p>反向連結是指，其他網站附上自己網站的連結，通常作為資料來源、延伸資訊等用途。他人附上網站的反向連結，通常意味著網站內容優質、值得背書，因此普遍被認為會提升搜尋排名。</p> <p>不過，Google搜尋服務代表John Mueller回應該網站主，這種做法產出的文章內容通常品質不佳，且為了生成反向連結而生成，幾乎確定會符合Google垃圾內容標準，而降低搜尋排名。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體行銷 #Facebook市集 #商品分類廣告</span></strong></span><br /> <strong>Meta開始強化更多零售商在Facebook市集上的曝光，以降低自身在商品分類廣告的競爭優勢</strong></p> <p><a href="https://apnews.com/article/facebook-meta-ebay-european-union-antitrust-05bac4cf475b65a0687ed062ad79f6f7">Meta開始於美、德、法等地區，開放eBay等外部零售商在Facebook Marketplace曝光商品。</a>這是因應歐洲執法單位對Meta的壟斷指控而祭出的措施，意圖平衡Meta在商品分類廣告的競爭優勢。</p> <p>Facebook Marketplace是Facebook中的一個零售平臺，收錄商品不只能透過商品分類廣告廣告形式，還會在Facebook介面中以平臺原生內容形式呈現。當然，後者也會根據Meta推薦演算法及龐大數據──包括使用者與其他零售廣告互動的數據──來決定呈現內容。這樣一來，等於又用競爭對手相關的數據，又利用自家平臺優勢增加曝光度。</p> <p>開始在Facebook市集上呈現競爭零售商的商品資訊，則意味著不只有Facebook自家商品，其他零售業者的商品也可能作為平臺原生內容曝光，有望平衡原本Meta獨有優勢。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. <a href="https://www.businesswire.com/news/home/20250108143454/en/Stackline-Partners-with-Gigi-to-Enhance-Multi-Retailer-Attribution-and-Audience-Building-Capabilities-for-Streaming-TV">Martech廠商Stackline與Gigi聯手推出跨CTV行銷，讓品牌能於不同CTV投廣並比對多家大型零售商的消費數據來追蹤成效</a></p> <p>2. <a href="https://savemytiktoks.com/">Tiktok於美國遭禁在即，短影音社群媒體平臺Triller推出備份Tiktok影音到自家平臺的工具給創作者使用</a></p> <p>3. <a href="https://news.sap.com/2025/01/sap-nrf-2025-retail-public-cloud-erp-ai-shopping-assistant/">SAP針對零售業者推出跨品牌忠誠度經營與管理的功能</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：AWS</p> <p></p> </div></div></div>
2025/1/17 20:55作者郭又華https://www.ithome.com.tw/news/167001
Payment Passkey成線上安全支付新焦點，兩大發卡組織齊推動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年的交易安全與身分認證發展上，有一項重要發展值得大家留意，包括Visa、萬事達卡等業者都已在推動，該技術稱之為「支付通行密鑰」（Payment Passkey）。</p> <p>簡單來說，Payment Passkey是一種新興的支付認證技術，其目的是取代經常為人詬病的一次性密碼（OTP），讓使用信用卡或簽帳卡的民眾，能以更快速且更安全的方式，透過臉部辨識或指紋辨識就能直接完成線上支付。</p> <h3><strong>Visa與萬事達卡均已宣布自家Payment Passkey機制</strong></h3> <p>具體而言，Payment Passkey與近年我們持續關注的FIDO Passkey技術，是基於同樣的技術原理，能抵抗網路釣魚，避免密碼與OTP碼被竊取的問題。</p> <p>不過，先前這類技術的應用，普遍用於網路服務登入的身分驗證，現在進一步擴展至刷卡交易的身分驗證，目前Visa、萬事達卡已展開行動。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/5v6Xif4v3Z4?si=gK_TB3cK0-kGvEMd" title="YouTube video player" width="560px"></iframe></div> <p>Visa在2025年1月13日，發布了2025支付關鍵趨勢報告，其中一點就是提到這項技術發展，他們表示半年多前公布了Visa支付通行密鑰（Visa Payment Passkey）的項目。</p> <p>原因在於，為了避免持卡人過度依賴OTP，造成因遭遇詐騙而發生主動授權的情形，因此透過Payment Passkey，可讓身分認證轉向符合FIDO標準的生物識別，提升線上購物交易的安全性與便利性。</p> <p>目前，Visa已經與卡達的QNB國家銀行合作，在進階版Visa Click to Pay中結合支付通行密鑰技術。</p> <div class="media_embed" width="560px"> <blockquote class="twitter-tweet" data-media-max-width="560" height="" width="560px"><p dir="ltr" lang="en" xml:lang="en">We are excited to announce the global launch of our Payment Passkey Service. Designed to revolutionize online shopping, this service enhances security by replacing traditional passwords and OTPs with <a href="https://twitter.com/hashtag/biometric?src=hash&ref_src=twsrc%5Etfw">#biometric</a> authentication, such as fingerprints and facial scans.… <a href="https://t.co/YH32UpVWw2">pic.twitter.com/YH32UpVWw2</a></p> <p>— Mastercard News (@MastercardNews) <a href="https://twitter.com/MastercardNews/status/1829142580233199790?ref_src=twsrc%5Etfw">August 29, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width="560px"></script></div> <p>萬事達卡在一個月前，於2024年12月發布年度支付趨勢報告，同樣提到他們推出了Mastercard支付通行密鑰（Mastercard Payment Passkey）服務。</p> <p>他們同樣指出，儘管目前OTP簡訊驗證便利，但消費者還是容易遭到網路釣魚或簡訊攔截等詐欺手段破解，如今透過他們的Payment Passkey，將運用生物辨識技術提升交易安全性與便利性。</p> <p>目前，萬事達卡已於去年8月於印度市場推行，合作夥伴包括當地最大支付業者Juspay、Razorpay與PayU，以及Bigbasket等線上購物平臺與Axis Bank等銀行；10月與中東、北非noon Payments合作；12月再進軍拉丁美洲市場，與巴西Sympla、拉丁美洲支付業者Yuno合作。他們認為，這項技術將於2025年高速發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%81%AF%E5%8D%A1%E4%B8%AD%E5%BF%83OTP%E9%A9%97%E8%AD%89%E9%80%B2%E9%9A%8E%E7%89%88.jpg" style="width: 600px;" /></p> <p>值得注意的是，對於臺灣而言，儘管上述服務尚未在國內提供，但我們發現國內金融領在面對OTP容易被竊取的問題上，也開始有初步對應方式。</p> <p>例如，在半年多前的2024年5月，<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202404300001&dtable=News">金管會當公布強化防範信用卡遭盜刷之措施</a>，提醒民眾當心釣魚網站詐騙信用卡卡號及OTP驗證碼。</p> <p>接著5月底，<a href="https://www.nccc.com.tw/wps/wcm/connect/zh/home/AboutNCCC/News/CNT_01_005_20240529091745">聯合信用卡處理中心（聯卡中心）發布這方面的消息，將逐步導入OTP驗證進階版</a>，也就是民眾在發卡機構提供的OTP驗證簡訊及付款頁面上，還要點選符合的「網頁識別碼」，以核對網站真實性。</p> <p>雖然這並未完全解決OTP的問題，但多增加一道供民眾識別的程序。不過聯卡中心也提到，他們其實還有導入FIDO身分核驗功能，提供發卡機構選擇採用，可以更進一步提升網路交易安全。此外，</p> <p>綜觀上述這些新的線上支付安全機制，都是為了防範傳統OTP碼在線上交易時，可能遭遇網路釣魚、郵件或簡訊攔截的威脅。</p> <h3><strong>從代碼化技術Payment Passkey，一鍵支付可望漸漸趨於普及</strong></h3> <p>回顧線上支付卡（信用卡與簽帳金融卡）購物的演進，在Payment Passkey這項新技術推出之前，國際支付產業標準組織（EMVCo）已針對全球網路交易中可能發生的各種風險，包括線上刷卡，提供多層次的保護，並持續因應新的網路威脅。</p> <p>例如，早年都是手動輸入信用卡資訊，之後商家網站儲存支付憑證雖帶來方便性，但也使駭客將目標鎖定在商家網站，竊取卡片資訊，因此PCI DSS標準的發展也至關重要，規範商家必須符合其規定，才能保護民眾提供的信用卡資訊。</p> <p>隨著2010年代行動應用興起，此時代碼化（Tokenization）技術在2013年出現，成為行動支付發展的重要關鍵。因為這項技術可在行動支付的信用卡綁定時，將卡號置換成另一組16位數字串來存放與傳送，保護用戶的支付資訊。</p> <p>到了2020年代，儘管各式行動支付日益普及，但信用卡仍是線上支付的主要方式之一。因此，為了進一步簡化線上結帳流程，代碼化只是轉型的第一步，這幾年還陸續推出SRC（Secure Remote Commerce）標準、Click to Pay解決方案等，因為當中整合了多種安全機制，並可以統一支付體驗，讓消費者可以更安心且熟悉。</p> <p>如今再加上Payment Passkeys，代表著一鍵線上支付在全球可以變得更普遍。例如，當商家採用Click to Pay解決方案，消費者也建立Click to Pay帳號，之後購物時就會跳轉到特定結帳頁面，只是舊的Click to Pay機制是要輸入OTP驗證碼，如今再加上符合FIDO標準的Payment Passkeys，可以臉部辨識或指紋辨識來完成線上支付，更為方便與安全。</p> <p>事實上，以臺灣環境來說，行動支付已經逐漸成為主流，主因是大型支付平臺經常提供回饋吸引用戶，因此許多人早已習慣這種快速的線上支付。與上述流程很相像，只要商家支援某家業者的行動支付，使用者也建立該行動支付帳號與綁定信用卡，之後消費者在支援的平臺購物時，就會跳轉到特定行動支付的頁面，此時，只要選擇已綁定的信用卡或金融簽帳卡，接著可以透過生物辨識方式（或輸入密碼）來確認支付。</p> <p>不過，有些網路購物服務並未與這些行動支付業者合作，也有一些民眾仍習慣線上刷卡，若是Payment Passkey服務之後在臺推動，是否能帶動一鍵線上支付的進一步發展，值得我們持續關注。</p> <p> </p> </div></div></div>
2025/1/17 16:15作者羅正漢https://www.ithome.com.tw/news/167024
【資安日報】1月17日，駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩個禮拜，針對Ivanti Connect Secure、Fortinet防火牆的零時差漏洞攻擊事故相當受到各界關注，其中又以Fortinet防火牆的事故較引起注意，如今有人公布一批資料防火牆組態的資料，使得該廠牌用戶恐面臨更嚴峻的資安威脅。</p> <p>值得留意的是，雖然這批資料駭客疑似2年多前搜括而得，但由於內含詳細的防火牆政策、組態資料，甚至是VPN帳密資料，很有可能被人用於從事攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ithome.com.tw/news/167027"><strong style="font-size: 22px;">駭客公布1.5萬臺Fortinet防火牆VPN帳密資料，疑為透過2022年零時差漏洞取得</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Bildschirmfoto_2025-01-15_um_15_13_41-e89def95d3944de5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bildschirmfoto_2025-01-15_um_15_13_41-e89def95d3944de5.png" style="width: 300px; float: right;" /></a>上週資安業者Arctic Wolf揭露針對Fortinet防火牆設備的大規模攻擊行動，本週Fortinet證實身分驗證繞過漏洞CVE-2024-55591被用於其中，這幾天又有駭客公布幾年前竊得的Fortinet防火牆組態資料及登入SSL VPN的帳密，再度引發關切。</p> <p>根據1月15日德國新聞新聞網站Heise online的報導，名為Belsen Group的新興駭客組織於暗網的地下論壇公布一批資料，內含超過1.5萬筆記錄，並聲稱他們是透過Fortinet防火牆設備的弱點到手。</p> <p>另一位資安專家Kevin Beaumont也投入調查行列，他分析這批資料並比對物聯網搜尋引擎找到的資料，確認資料的真實性。他表示，外洩的資安產品組態資料不僅依照國家排序，也公開每臺防火牆完整的組態資料config.conf，以及VPN使用者帳密的明文資料vpn-users.txt。究竟駭客如何竊得這批資料？Kevin Beaumont認為，攻擊者透過2022年10月公布的零時差漏洞CVE-2022-40684（CVSS風險評分9.8）而得逞。</p> <p><a href="https://www.ithome.com.tw/news/167006"><strong style="font-size: 22px;">攻擊者偽造Google Ads官方廣告，釣魚攻擊廣告主竊取預算</strong></a></p> <p>Malwarebytes Labs資安研究人員揭露近期一場針對Google Ads廣告主的大規模釣魚攻擊，攻擊者藉由惡意假冒Google Ads的廣告，成功竊取多個廣告帳戶的登入憑證，並利用被盜帳戶挪用廣告預算，進一步擴大其惡意活動範圍。</p> <p>根據資安研究人員的調查，這些惡意廣告偽裝為Google Ads服務的官方廣告，出現在Google搜尋結果中的贊助廣告欄位，誘使用戶點擊並進入假登入頁面。假登入頁面大多託管於Google Sites，利用與Google官方網站類似的域名設計來誘騙受害者，進而繞過廣告顯示URL與最終URL域名必須相符的規定。</p> <p>一旦受害者在假頁面中輸入帳戶憑證，攻擊者便可取得帳戶的完整控制權，進而更改帳戶設定，甚至將自己的電子郵件地址添加為帳戶管理員。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175608&SPOKE_DATE=20250116&COMPANY_ID=1402"><strong style="font-size: 22px;">遠東新世紀合作廠商遭遇網路攻擊，恐有資料外洩疑慮</strong></a></p> <p></p> <p>1月16日遠東新世紀（原遠東紡織）於股市公開觀測站發布重大訊息，表示他們接獲重要資通訊合作廠商的通報，這家資通訊廠商遭遇網路攻擊的情況，兩家公司合作相關的系統存在資料外洩的疑慮。</p> <p>對此，遠東新世紀立即啟動緊急應變處理程序，並協同外部資安業者進行處置。對於這起事故可能會帶來的損失或是影響，遠東新世紀表示根據他們的初步評估，對營運及財務無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/173126/hacking/13000-device-mikrotik-botnet-exploiting-dns-flaws.html">1.3萬臺MikroTik路由器被綁架組成殭屍網路，駭客搭配DNS弱點並透過2萬個網域散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/python-based-malware-powers-ransomhub.html">勒索軟體RansomHub透過Python後門持續存取受害環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/russian-star-blizzard-shifts-tactics-to.html">俄羅斯駭客Star Blizzard鎖定WhatsApp用戶而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/hackers-hide-malware-in-images-to.html">鍵盤側錄工具VIP Keylogger、竊資軟體0bj3ctivity透過惡意圖檔散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/167016"><strong style="font-size: 22px;">SAP修補兩項重大層級漏洞，影響NetWeaver AS for ABAP、ABAP平臺</strong></a></p> <p>本週SAP發布一月份例行更新，總共修補14項漏洞，其中有2個漏洞CVE-2025-0066、CVE-2025-0070，被列為重大層級需特別留意。</p> <p>這些重大漏洞出現在NetWeaver ABAP伺服器及ABAP平臺（ABAP全名為Advanced Business Application Programming，是一種專門用於SAP應用系統環境的程式語言），CVSS風險都達到9.9（滿分10分）。其中，CVE-2025-0066為資訊洩露漏洞，存在於網路通訊框架元件，在特定的環境下，攻擊者有機會藉由不夠充分的存取控制，存取受管制的資訊，而有可能影響應用程式的機密性、完整性，以及可用性。</p> <p>另一個重大漏洞CVE-2025-0070則與權限提升有關，攻擊者在通過身分驗證的情況下，有機會利用驗證不當的弱點提升權限，一旦成功利用，就有可能高度影響機密性、完整性，以及可用性。</p> <p><a href="https://ithome.com.tw/news/167018"><strong style="font-size: 22px;">兆勤針對無線基地臺、資安路由器修補高風險權限提升漏洞</strong></a></p> <p>1月14日兆勤科技（Zyxel Networks）發布資安公告，指出旗下部分無線基地臺及資安路由器的網頁管理介面，存在不當權限控管漏洞CVE-2024-12398，呼籲用戶儘速安裝新版韌體因應。</p> <p>這項漏洞最初是在無線基地臺WBE530、WBE660S發現，攻擊者一旦利用，就有可能在通過身分驗證的情況下將權限提升至管理員層級，並將設定檔傳送到存在弱點的設備，CVSS風險為8.8分。</p> <p>兆勤經過清查，確認有22款無線基地臺受到影響，此外，資安路由器USG LITE 60AX也存在漏洞。</p> <p><a href="https://ithome.com.tw/news/167022"><strong style="font-size: 22px;">UEFI安全開機存在弱點，攻擊者有機會繞過防護機制部署開機工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-7344-figure-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-7344-figure-1.png" style="width: 300px; float: right;" /></a>最近資安業者ESET找到能夠繞過UEFI安全開機的漏洞CVE-2024-7344，這項弱點是從UEFI應用程式找到，而這些檔案皆具備第三方提供的微軟憑證簽章。一旦攻擊者成功利用這項漏洞，就有機會在系統開機階段執行不受信任的程式碼，進而於受害電腦啟用UEFI安全開機的狀態下，部署惡意UEFI啟動工具（bootkit）。</p> <p>ESET惡意軟體研究員Martin Smolár表示，受到這項弱點影響的UEFI應用程式元件，存在於數款即時系統復原軟體套件，這些套件是CES NeoImpact、Greenware GreenGuard、Howyar SysReturn、Radix SmartRecovery、Sanfong EZ-back System、SignalComputer HDD King，以及Wasay eRecoveryRX。</p> <p>關於上述問題，去年6月ESET向卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）通報，並成功通知受影響的廠商進行修補，微軟也在今年1月例行更新（Patch Tuesday）註銷存在弱點的舊版軟體。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/w3-total-cache-plugin-flaw-exposes-1-million-wordpress-sites-to-attacks/">WordPress外掛W3 Total Cache存在SSRF漏洞，百萬網站曝險</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167008"><strong>【1月16日】勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166980"><strong>【1月15日】多組人馬利用零時差漏洞繞過身分驗證，攻擊Fortinet防火牆設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166956"><strong>【1月14日】Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三</strong></a></p> </div></div></div>
2025/1/17 17:59作者周峻佑https://www.ithome.com.tw/news/167028
支援多點部署、DeDupe與防寫隔離，群暉跨入備份應用設備
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/activeprotect-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以NAS這類基本型儲存系統（Primary Storage）起家的群暉科技（Synology），原本就有安裝在該公司儲存作業系統DSM上面的資料備份加值軟體套件，例如：針對存放在Synology NAS資料，提供備份功能的<a href="https://www.synology.com/zh-tw/dsm/7.2/software_spec/hyper_backup">Hyper Backup</a>；針對存放在個人電腦、伺服器、虛擬機器的資料，提供備份功能的<a href="https://www.synology.com/zh-tw/dsm/7.2/software_spec/abb">Active Backup for Business</a>，以及針對存放在微軟與Google這兩大SaaS公有雲服務的資料，提供備份功能的Active Backup for Microsoft 365、Active Backup for Google Workspace，最近他們終於跨足資料保護型儲存系統（Protection Storage）的產品領域，正式推出企業級備份應用設備ActiveProtect。</p> <p>在2024年6月舉行的台北國際電腦展期間，ActiveProtect是群暉此時預先介紹的三大新興解決方案之一，現場也展出2U機架式硬體設備機型DP7400。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-01 ActiveProtect-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-01%20ActiveProtect-WEB.jpg" style="width: 600px;" /></a></p> <p>基本上，ActiveProtect這套產品能保護多種資料存放位置，包含<a href="https://kb.synology.com/zh-tw/APM/help/APM/Back_up_personal_computers?version=1_0">個人電腦</a>、<a href="https://kb.synology.com/zh-tw/APM/help/APM/Back_up_physical_servers?version=1_0">伺服器</a>、<a href="https://kb.synology.com/zh-tw/APM/help/APM/Back_up_virtual_machines?version=1_0">虛擬機器</a>、<a href="https://kb.synology.com/zh-tw/APM/help/APM/Back_up_databases?version=1_0">資料庫系統</a>，以及<a href="https://kb.synology.com/zh-tw/APM/help/APM/Back_up_Microsoft_365?version=1_0">Microsoft 365</a>、Google Workspace這兩大SaaS雲端服務，群暉表示，從初始安裝、定義通用的資料保護規畫設置，到開始備份資料，僅需15分鐘即可完成，企業可藉此保護營運資料，抵禦勒索軟體與其他資安威脅。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-2.jpg" style="width: 600px;" /></a></p> <p>相較於群暉既有的備份解決方案，ActiveProtect最大的差異是支援多個站點／站臺（multi-site），以及多臺備份伺服器的部署（最多可設置2,500臺本地或異地備份伺服器，涵蓋15臺端點與雲端帳號資料的備份），而且提供單一、統合的網頁操作介面，可設置資料防寫／不可竄改（immutability）／<a href="https://kb.synology.com/zh-tw/APM/help/APM/Configure_airgap?version=1_0">離線備份（Air-gap）</a>、長期保存，以及資料保護的政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-5.jpg" style="width: 600px;" /></a></p> <p>同時，企業也能使用ActiveProtect內建的增量備份，以及來源端資料重複刪除（source-side deduplication），資料減量成效號稱可達2比1，能大幅節省網路傳輸頻寬與需要存取的資料量，比起傳統備份解決方案，備份速度提升幅度可達到7倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-8.jpg" style="width: 600px;" /></a></p> <p>群暉表示，依據現行超過2,000萬個工作負載的後臺統計數據，用戶備份資料的重複資料刪除比率，均可達到50％以上，若用戶備份的工作負載版本作業系統相近，重複資料刪除的實測成效可達到80％、甚至90％。</p> <p>到了2024年12月底，群暉宣布ActiveProtect備份專用一體機正式在臺上市，2025年1月8日ActiveProtect進軍全球市場，此時提供的硬體設備機型，除了先前展出的DP7400，還有兩款桌上型產品：DP340、DP320，群暉也公開這三款機型的硬體細部規格，例如，DP7400採用AMD EPYC 7272處理器，搭配10臺3.5吋20TB硬碟；DP340、DP320均採用AMD Ryzen Embedded R1600處理器，分別搭配4臺、2臺3.5吋8TB硬碟，DP7400與DP340還額外搭配2臺2.5吋固態硬碟（容量分別為3,840 GB、400GB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect Appliance models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect%20Appliance%20models.jpg" style="width: 600px;" /></a></p> <p>為何ActiveProtect要額外提供桌上型備份應用設備機型？群暉表示，並非每家企業都適合架設機架式的DP7400，根據他們在一家德國大型連鎖超市實際測試經驗，各個門市通常不會設置IT機房，此時桌上型備份設備更適合部署在此，不需設置專用機櫃，後續維護硬體也方便，有助於這些據點納入企業資料保護的範圍。</p> <p>而在系統軟體方面，每一臺ActiveProtect也稱為ActiveProtect備份應用伺服器，均內建作業系統ActiveProtect Manager（APM），這個平臺提供資料備份與還原作業人員操作的管理中心、由使用者操作的還原網站入口（Recovery Portal），以及讓IT人員得以維護應用伺服器系統的管理主控臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AP-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AP-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-7.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-3.jpg" style="width: 198px;" /></a></p> <p>在APM的管理中心，企業可建立一或多個ActiveProtect站點，而且每個站點涵蓋兩種伺服器。一種是ActiveProtect 應用伺服器，若每個站點有多臺這類伺服器，可指派其中一臺作為管理整個站點的伺服器（若站點本身只有一臺ActiveProtect應用伺服器，會自動將其設為管理伺服器），同時，還能指派一臺ActiveProtect備份應用伺服器作為備援伺服器。</p> <p>除此之外，<a href="https://kb.synology.com/zh-tw/APM/help/APM/Add_NAS?version=1_0">已安裝Active Backup for Business的Synology NAS系統，也能加入ActiveProtect站點</a>，扮演備份應用伺服器的角色，群暉表示，<a href="https://kb.synology.com/zh-tw/UG/Synology_ABB_admin_guide_APM/2">用戶所安裝的Active Backup for Business需更新至3.0版</a>，在主功能選單的底部，會出現集中管理的選項，執行相關設定之後，就能將這臺NAS納入APM管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ActiveProtect-2024-06-9.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/ABB 3_0-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ABB%203_0-web.jpg" style="width: 298px;" /></a></p> <p>另一種是遠端儲存伺服器，企業可將群暉NAS系統設置為這個角色（NAS需先安裝加值軟體套件ActiveProtect Vault，目前適用此功能的機型為搭配60臺硬碟的HD6500，以及搭配12臺硬碟的SA6400、SA3610、SA3410），或是將其他物件儲存系統，像是群暉自家的Synology C2 Object Storage，設為遠端儲存伺服器。</p> <p>若要因應災難復原的應變與演練需求，企業可建立遠端站點，當中可設置ActiveProtect備份應用伺服器，作為備援——可在這個備援系統當中，存放主站點（Protection Site）備份資料的副本。遠端站點也可建置伺服器虛擬化平臺</p> <p>基於上述的多臺備份伺服器部署架構，群暉也說明ActiveProtect計價方式包含兩大因素，一是硬體設備，有不同機型的差異，一是集中管理伺服器（CMS）的授權。基本上，ActiveProtect的購買，內含3臺備份伺服器的CMS管理授權，若企業需要建置超過這個數量的備份伺服器，每增加1臺備份伺服器，就需要多購買1份CMS管理授權，而非根據使用者數量與儲存容量計價，他們強調用戶購買ActiveProtect時，不用考量隱藏費用的因素，例如，企業想要採用此產品提供的特定功能，就不需顧慮是否要額外採購專屬授權。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">群暉ActiveProtect</span><br /> ●原廠：群暉科技<br /> ●建議售價：廠商未提供<br /> ●機型、機箱尺寸、儲存組態：DP7400為2U、12槽（10臺3.5吋20TB硬碟+2臺2.5吋3,840GB SSD），DP340為桌上型、4槽（4臺3.5吋8TB硬碟+2臺2.5吋400GB SSD），DP320為桌上型、2槽（2臺3.5吋8TB硬碟）<br /> ●備份來源容量：DP7400為83.5TB，DP340為14.5TB，DP320為5TB<br /> ●硬體運算資源：DP7400內建AMD EPYC 7272處理器、64GB記憶體（可擴充至512GB），DP340內建AMD Ryzen Embedded R1600處理器、16GB記憶體，DP320內建AMD Ryzen Embedded R1600處理器、8GB記憶體<br /> ●網路介面：DP7400內建2個10GbE埠，DP340內建1個10GbE埠、，DP340內建1個GbE埠<br /> ●備份範圍：電腦與伺服器（Windows、macOS、Linux），伺服器虛擬化（VMware vSphere、微軟Hyper-V）、檔案伺服器（SMB伺服器、NetApp、Nutanix、Synology NAS）、資料庫（Microsoft SQL Server、Oracle Database）、Microsoft 365（Exchange、SharePoint、OneDrive、Teams、Chat、Microsoft 365 Group）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/17 19:19作者李宗翰https://www.ithome.com.tw/review/166954
駭客公布1.5萬臺Fortinet防火牆VPN帳密資料，疑為透過2022年零時差漏洞取得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週<a href="https://www.ithome.com.tw/news/166969">資安業者Arctic Wolf揭露針對Fortinet防火牆設備的大規模攻擊行動</a>，本週Fortinet證實身分驗證繞過漏洞CVE-2024-55591被用於其中，這幾天又有駭客公布幾年前竊得的Fortinet防火牆組態資料及登入SSL VPN的帳密，再度引發關切。</p> <p>根據1月15日<a href="https://www.heise.de/news/Darknet-Konfigurationen-und-VPN-Passwoerter-von-Fortinet-Geraeten-aufgetaucht-10244015.html">德國新聞新聞網站Heise online的報導</a>，名為Belsen Group的新興駭客組織於暗網的地下論壇公布一批資料，內含超過1.5萬筆記錄，並聲稱他們是透過Fortinet防火牆設備的弱點到手。</p> <p>該新聞網站取得這批資料並著手分析，指出駭客提供的ZIP壓縮檔內含145個資料夾，並根據不同國家及地區列出受害的設備，當中最大宗的組態配置資料與三個國家有關，分別是：墨西哥1,603筆，美國679筆、德國208筆。</p> <p>究竟這些是否為真實資料？Heise安全專家Christopher Kunz指出，他們在這些防火牆的資料發現管理者的聯絡方式，其中一名居住在德國南部的男子證實，他的確在管理Fortinet防火牆。Heise online根據這名管理者提供的組態管理資料庫（CMDB）資料，推測相關配置及VPN密碼很有可能在2022年就已經外流。</p> <p>細部探究這當中涉及的Fortinet產品資訊，Christopher Kunz指出，那些防火牆搭配的作業系統FortiOS，涵蓋7.0.0至7.0.6版，以及7.2.0至7.2.2版，其中又以7.2.0版占大多數。這批資料內含超過80種防火牆設備，最多的是防火牆40F、60F，但也有大型的上網安全閘道，以及用於SOHO環境的小型設備。</p> <p>另一位資安專家Kevin Beaumont也投入調查行列，<a href="https://doublepulsar.com/2022-zero-day-was-used-to-raid-fortigate-firewall-configs-somebody-just-released-them-a7a74e0b0c7f">他分析這批資料並比對物聯網搜尋引擎找到的資料</a>，確認資料的真實性。他表示，外洩的資安產品組態資料不僅依照國家排序，也公開每臺防火牆完整的組態資料config.conf，以及VPN使用者帳密的明文資料vpn-users.txt。</p> <p>究竟駭客如何竊得這批資料？Kevin Beaumont認為，攻擊者透過2022年10月公布的零時差漏洞CVE-2022-40684（CVSS風險評分9.8）而得逞。</p> <p>若這位資安專家的判斷正確，由於駭客此次披露的資料是2年前收集而得，許多防火牆可能早就修補上述漏洞，但這不代表管理者可以掉以輕心，還是應該撤查自身資安設備是否都已修補弱點，正因為這批資料相當詳細，當中包含防火牆規則的完整資料，攻擊者後續仍然可以依照這些內容發動攻擊，因為總有人輕忽這些明明可以防範的風險而不願採取行動。</p> </div></div></div>
2025/1/17 17:33作者周峻佑https://www.ithome.com.tw/news/167027
Snowflake開源可縮減LLM推論時間50％的SwiftKV模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Snowflake宣布<a href="https://huggingface.co/collections/Snowflake/swiftkv-models-674f7d7474eb789e185d31cb">開源一系列基於SwiftKV技術強化的Llama 3.1模型</a>，這項創新技術能大幅縮短大型語言模型的推論時間，最高可達50%。<a href="https://www.snowflake.com/en/engineering-blog/swiftkv-llm-compute-reduction/">SwiftKV</a>不僅突破了傳統的鍵值（Key-Value，KV）快取壓縮技術，更針對模型推論階段的計算瓶頸進行全面改進。通過結合模型重組與知識保存自我蒸餾的方法，SwiftKV有效提升吞吐量、降低延遲與運算成本，為企業部署大型語言模型應用提供更高效且經濟的解決方案。</p> <p>SwiftKV的重點在於改進輸入提示的處理過程，研究人員提到，這是企業大型語言模型應用中計算資源消耗的主要來源。在大型語言模型推論過程中，模型會生成大量用於注意力計算的KV快取，這些快取包含關鍵資訊（Key）和相關資料（Value），幫助模型在輸入與輸出之間建立關聯。Snowflake的研究顯示，多數企業工作負載的輸入提示長度約為輸出生成內容的10倍，而現有的KV快取壓縮方法無法有效解決這部分的計算需求。</p> <p>為此，SwiftKV引入了SingleInputKV技術，利用模型層輸出的相對穩定性，允許部分Transformer層跳過計算，直接生成後續所需的KV快取。這一技術不僅大幅降低計算量，還保持了模型的整體準確性，經測試平均僅損失約1％的準確性。</p> <p>實驗結果顯示，SwiftKV在Llama 3.1 80億參數和700億參數模型上表現出色。對於高負載批次處理使用案例，SwiftKV可將總吞吐量提升至基準模型的2倍，而在即時互動使用案例中，則顯著降低了首字元生成延遲（TTFT）與後續生成時間（TPOT）。這種效能提升對需要處理大量長輸入的應用場景，如程式碼完成、文本摘要和檢索增強生成等應用特別適合。</p> <p>此次開源還包含SwiftKV的推論模型檢查點與知識蒸餾工作管線。Snowflake表示，未來將繼續改進相關工具，進一步降低大型語言模型的運算成本與資源需求。對於企業來說，SwiftKV可在不犧牲效能的前提下，大幅提升生成式人工智慧應用的經濟效益。</p> </div></div></div>
2025/1/17 16:26作者李建興https://www.ithome.com.tw/news/167023
推動AI代理人應用，Nvidia提供AI護欄微服務、漏洞掃瞄工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia<a href="https://blogs.nvidia.com/blog/nemo-guardrails-nim-microservices/" target="_blank">宣布</a>推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。</p> <p>最新的NIM AI護欄微服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部份，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可編程的護欄（Guardrails）或管理規則。NeMo Guardrails是Nvidia NeMo管理平臺的一部份。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。其中內容安全微服務是以Nvidia的Aegis Content Safety Dataset訓練而成，包含3.5萬個人員標註的資料樣本。該資料集已在Hugging Face上<a href="https://huggingface.co/datasets/nvidia/Aegis-AI-Content-Safety-Dataset-2.0" target="_blank">公開</a>。</p> <p>Nvidia指出，企業開發人員可在開發AI代理人時使用這些輕量專用的微服務作為護欄，以作為特定AI工作流程的控管，以填補更廣泛安全政策的漏洞。此外，這些模型輕巧，可高速執行、減少延遲性，在遠端辦公室或頻寬不足的地方如醫院或倉庫也能執行，這有助於醫療、汽車、製造業擴大部署AI。</p> <p>Nvidia也提供了其已開源的LLM和應用漏洞掃瞄工具<a href="https://github.com/NVIDIA/garak" target="_blank">Garak</a>來檢測模型及應用程式的安全性，防止資料外洩、提示注入、程式碼幻覺及越獄可能性。</p> </div></div></div>
2025/1/17 14:47作者林妍溱https://www.ithome.com.tw/news/167020
UEFI安全開機存在弱點，攻擊者有機會繞過防護機制部署開機工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>個人電腦、伺服器的UEFI韌體，駭客將其用於埋藏惡意軟體的情況不時傳出，例如：<a href="https://www.ithome.com.tw/news/166285">上個月資安廠商Binarly發現</a>，有人利用一年前公開的UEFI弱點，打造能植入Linux電腦的惡意工具BootKitty。因此，涉及UEFI的資安漏洞，也相當值得關注。</p> <p>資安業者ESET指出，<a href="https://www.welivesecurity.com/en/eset-research/under-cloak-uefi-secure-boot-introducing-cve-2024-7344/">他們發現能夠繞過UEFI安全開機的漏洞CVE-2024-7344</a>，這項弱點是從第三方的UEFI憑證找到。一旦攻擊者成功利用這項漏洞，就有機會在系統開機階段執行不受信任的程式碼，進而於受害電腦啟用UEFI安全開機的狀態下，部署惡意UEFI啟動工具（bootkit）。</p> <p>ESET惡意軟體研究員Martin Smolár表示，受到這項弱點影響的UEFI應用程式元件，存在於數款即時系統復原軟體套件，這些套件是CES NeoImpact、Greenware GreenGuard、Howyar SysReturn、Radix SmartRecovery、Sanfong EZ-back System、SignalComputer HDD King，以及Wasay eRecoveryRX。</p> <p>針對這項弱點出現的原因，在於這些廠商使用自製的PE載入工具，而非透過UEFI的LoadImage及StartImage功能實作。這麼做的結果，就是上述的應用程式可透過任意UEFI程式載入，而這些程式不需具備簽章。</p> <p>去年6月ESET向卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）通報此事，並成功通知受影響的廠商進行修補，微軟也在今年1月例行更新（Patch Tuesday）註銷存在弱點的舊版軟體。</p> </div></div></div>
2025/1/17 15:37作者周峻佑https://www.ithome.com.tw/news/167022
微軟MatterGen模型突破材料設計限制，生成穩定且多樣的創新無機材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella在推特上<a href="https://x.com/satyanadella/status/1879960413082947966">公開</a>了一項名為<a href="https://www.microsoft.com/en-us/research/blog/mattergen-a-new-paradigm-of-materials-design-with-generative-ai/">MatterGen</a>生成式人工智慧模型，該模型專注於新無機材料的設計，微軟已在<a href="https://www.nature.com/articles/s41586-025-08628-5">《Nature》期刊發表相關研究</a>。MatterGen能生成具有目標化學性質、機械、電子或磁性等多種約束的材料，並解決傳統方法在材料穩定性和多樣性上的不足。此項技術被視為推動材料科學進一步發展的重要里程碑。</p> <p>傳統的材料設計往往仰賴大量的試錯實驗，或計算篩選既有材料資料庫，但這些方法需要篩選數百萬個候選材料才能找到滿足需求的少數材料。MatterGen則提供了一種全新的解決方案，透過生成式人工智慧直接生成滿足設計需求的新材料。</p> <p>MatterGen採用專為無機材料設計的擴散模型架構，能處理材料的周期性與三維幾何結構，模仿影像生成模型消除雜訊的過程，從隨機結構中逐步生成穩定且符合特定要求的材料。該模型基於60萬筆穩定材料資料進行訓練，資料來自Materials Project與Alexandria等權威資料庫，其生成性能在穩定性、新穎性與多樣性方面均超越現有方法。</p> <p>MatterGen的核心在於依據材料設計需求進行條件式生成。該模型能針對化學組成進行定向生成，例如指定元素或化學結構來生成特定材料，並可調整晶體的對稱性以滿足應用需求。此外，MatterGen還能針對機械、電子或磁性等物理性質進行優化，支援多重約束條件的材料設計。</p> <p>相較於傳統篩選方法，MatterGen突破既有材料資料庫的限制。研究人員舉例，在尋找高模量大於400 GPa材料時，傳統篩選方法通常在篩選約40個候選材料後達到性能瓶頸，而MatterGen則能持續生成新穎且穩定的候選材料，生成數量是傳統方法的兩倍以上。此外，MatterGen引入了一種全新的結構比對演算法，能處理具有組成無序特性的材料，重新定義新穎性與獨特性的標準，進一步提升生成結果的實用價值與科學意義。</p> <p>微軟MatterGen研究團隊與中國深圳先進技術研究院合作，成功合成了新材料TaCr₂O₆。該材料在設計時設定模量目標為200 GPa，實驗測得模量為169 GPa，誤差低於20％，展現了模型生成結果的高精準度與可行性。這一技術有望廣泛應用於電池、磁性材料等領域，例如MatterGen能加速設計高效太陽能電池材料、成本更低的儲能電池，以及更具選擇性的二氧化碳吸附劑，為應對能源與環境挑戰提供新的解決方案。</p> </div></div></div>
2025/1/17 16:19作者李建興https://www.ithome.com.tw/news/167021
Line Pay準備成立子公司進軍電子支付市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內第三方支付業者Line Pay公告，董事會已通過決議，將籌備成立子公司，外傳子公司將會經營電子支付業務，Line Pay方面證實，但並未說明子公司成立及申請執照的具體時程表。</p> <p>根據金管會的規定，第三方支付線上代理收付日均餘額超過20億元，就必需主動向金管會申請升格為電子支付，身為第三方支付Line Pay由於有不少用戶，受到外界關注，去年就傳出Line Pay將申請成為電子支付，不過因為沒有跨過門檻，最終並未實現傳言。</p> <p>Line Pay本周四公告，董事會已通過籌備子公司，但並未說明子公司經營的業務內容，有媒體報導Line Pay籌備子公司將經營電子支付，對此，Line Pay表示，公告確實是為了申請電子支付作準備，但實際提出申請的時間將視公司的實際規劃發展調整。</p> <p>去年市場就傳出Line Pay即將升格為電子支付，當時金管會表示，將函查第三方支付業者，重點盤查對象為線上代理收付日均餘額超過10億元，但尚未到20億元的7家第三方支付業者，Line Pay就是其中之一，儘管Line Pay在去年最終沒有申請，但顯然在Line Pay上市後，對於在臺灣經營支付業務的下一步發展已有長期的規畫。</p> </div></div></div>
2025/1/17 14:12作者蘇文彬https://www.ithome.com.tw/news/167019
SAP修補兩項重大層級漏洞，影響NetWeaver AS for ABAP、ABAP平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SAP發布一月份例行更新，<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/january-2025.html">總共修補14項漏洞</a>，其中有2個漏洞CVE-2025-0066、CVE-2025-0070，被列為重大層級需特別留意。</p> <p>這些重大漏洞出現在NetWeaver ABAP伺服器及ABAP平臺（ABAP全名為Advanced Business Application Programming，是一種專門用於SAP應用系統環境的程式語言），CVSS風險都達到9.9（滿分10分）。其中，CVE-2025-0066為資訊洩露漏洞，存在於網路通訊框架元件，在特定的環境下，攻擊者有機會藉由不夠充分的存取控制，存取受管制的資訊，而有可能影響應用程式的機密性、完整性，以及可用性。</p> <p>另一個重大漏洞CVE-2025-0070則與權限提升有關，攻擊者在通過身分驗證的情況下，有機會利用驗證不當的弱點提升權限，一旦成功利用，就有可能高度影響機密性、完整性，以及可用性。</p> <p>在上述的重大層級漏洞之外，存在NetWeaver ABAP伺服器及ABAP平臺的SQL 注入漏洞CVE-2025-0063，以及商業智慧平臺BusinessObjects的CVE-2025-0061，也都值得留意，CVSS風險分別為8.8、8.7分。</p> </div></div></div>
2025/1/17 12:19作者周峻佑https://www.ithome.com.tw/news/167016
Google Cloud提供可支援即時資料處理的Axion VM服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud本周<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd" target="_blank">宣布</a>搭載自建Axion Arm處理器的C4A VM with Titanium SSD服務，可支援需要即時處理資料的高傳輸量任務。</p> <p>C4A VM是Google去年10月<a href="https://www.ithome.com.tw/news/165785" target="_blank">推出</a>的VM服務。它採用Google自建Arm架構Axion處理器，號稱性價比比別家VM高 10%，而和x86 CPU-based VM相較，性價比和能源效率都提升65%和60%。Titanium SSD是整合Titanium的第一代Google SSD。Titanium SSD主打提供比傳統本機SSD更高的儲存IOPS、資料傳輸量、更低延遲性及有效管理功能。其原理是從主機CPU卸載網路、儲存和管理負載到Google Cloud特製系統，以提升應用效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-C4A%20VMs%EF%BC%9Agoogle%20cloud%20first%20custom%20Arm-based%20Axion%20CPU.png" style="width: 600px;" /></p> <p>Google指出，C4A with Titanium SSD提供最高72 vCPU、576 GB記憶體及6 TB本地儲存。這服務提供二類，一是每vCPU 4GB記憶體的標準型，另一為8GB記憶體的高記憶型。C4A VM網路連線提供最高50Gbps的標準頻寬，而高流量應用程式則可採用Tier1網路連線，提供最高100Gbps。</p> <p>C4A執行個體還支援Google Cloud最新Balanced和Extreme Hyperdisk存儲，可實現可擴充的高效能儲存，每個VM具有高達350k IOPS和5 GB/s的資料傳輸吞吐量。</p> <p>現在Google Cloud用戶已經可在Compute Engine、Google Kubernetes Engine （GKE）、Batch、Dataproc等服務中使用C4A with Titanium SSD。在Dataflow，可使用這服務的預覽版。Google說很快會支援Cloud SQL、AlloyDB等服務。</p> </div></div></div>
2025/1/17 12:23作者林妍溱https://www.ithome.com.tw/news/167017
兆勤針對無線基地臺、資安路由器修補高風險權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月14日兆勤科技（Zyxel Networks）<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-improper-privilege-management-vulnerability-in-aps-and-security-router-devices-01-14-2025">發布資安公告</a>，指出旗下部分無線基地臺及資安路由器的網頁管理介面，存在不當權限控管漏洞CVE-2024-12398，呼籲用戶儘速安裝新版韌體因應。</p> <p>這項漏洞最初是在無線基地臺WBE530、WBE660S發現，攻擊者一旦利用，就有可能在通過身分驗證的情況下將權限提升至管理員層級，並將設定檔傳送到存在弱點的設備，CVSS風險為8.8分。</p> <p>兆勤經過清查，確認有22款無線基地臺受到影響，此外，資安路由器USG LITE 60AX也存在漏洞。</p> </div></div></div>
2025/1/17 12:36作者周峻佑https://www.ithome.com.tw/news/167018
M365 with Copilot將從臺灣等6國測試漲價，但你可以關閉它
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2025年AI將持續整合到消費及商務應用中，許多Microsoft 365用戶今年將發現訂閱費變貴了，因為多了Copilot。</p> <p>微軟去年將Copilot及Designer加入Microsoft 365（M365）個人及家庭訂閱版，可以幫使用者做很多事，像是改寫或摘要文件、分析圖表、強化簡報、草擬郵件以及編修相片。同時微軟也<a href="https://www.ithome.com.tw/news/165911" target="_blank">預告</a>，由於功能增加，在新的一年，M365個人及家用版訂閱費將漲價。新費率首先在臺灣、新加坡、泰國、馬來西亞、澳洲、紐西蘭等6個地區實施。以臺灣而言，個人版及家用版訂閱費用，將分別從一年新臺幣2,190元和3,190元，漲為3,090元及4,190元，漲幅分別為41%及31%。</p> <p>微軟對The Register<a href="https://www.theregister.com/2025/01/13/m365_price_rise_asia_pacific_test/" target="_blank">表示</a>，這項變更可提供公司「傾聽、學習和改善」的機會。微軟未說明企業版和其他地區的調漲時程。The Register分析，這6個國家相當適合測試，因為他們代表不同水準的經濟繁榮和科技普及率。</p> <p>被漲價的國家應該沒有用戶會開心。微軟10月的公告中並沒有說明是否可移除Copilot，在Office/M365介面上，也找不到關閉或移除Copilot的設定。</p> <p>如果消費者真的不想用Copilot，微軟還是提供了關閉選項。方法是要登入微軟帳號>「管理」、「取消訂閱」>「切換到沒有AI的訂閱」，就會以現有價格訂閱M365。不過用戶必須在前一年度訂閱到期要接續到新一年度訂閱時，以此方法訂閱「傳統型Microsoft 365」。</p> <p>值得注意的是，微軟本周<a href="https://www.ithome.com.tw/news/166995" target="_blank">公告</a>，隨著今年10月14日終止對Windows 10的支援，微軟也不再支援在Windows 10上執行M365及Office。</p> <p>Google Workspace也<a href="https://support.google.com/a/answer/15400543#zippy=%2Cbusiness-starter%2Cbusiness-standard%2Cbusiness-plus" target="_blank">宣布</a>從今年3月17日漲價。所有Workspace企業版各階層都將包含Gemini，為此，Business Starter/ Standard/Plus每人<a href="https://workspace.google.com/pricing?hl=zh-tw" target="_blank">月費</a>分別漲1到4美元不等，分別成為7/14/22美元。</p> <p>Google也未說明是否可關閉Gemini。</p> </div></div></div>
2025/1/17 10:31作者林妍溱https://www.ithome.com.tw/news/167015
中國AI公司MiniMax推出新LLM，支援400萬Token與多模態應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司MiniMax<a href="https://www.minimaxi.com/en/news/minimax-01-series-2">推出MiniMax-01系列模型</a>，其中包含語言模型MiniMax-Text-01和視覺多模態模型MiniMax-VL-01。這兩款模型在超長上下文處理和多模態理解方面表現出色。具有4,560億參數的MiniMax-Text-01支援長達400萬Token的上下文處理能力，並在多項基準測試中與OpenAI、Anthropic等頂尖模型表現接近，而MiniMax-VL-01則專注於文本與影像的多模態應用。</p> <p>MiniMax-Text-01在Hugging Face上所公開的<a href="https://huggingface.co/MiniMaxAI/MiniMax-Text-01#ruler">多項核心基準測試</a>表現引人關注。在通用多任務語言理解MMLU測試中，其得分為88.5，與Claude-3.5-Sonnet和DeepSeek-V3等模型旗鼓相當。而在長文本處理的Needle-In-A-Haystack測試中，官方提到，MiniMax-Text-01在400萬Token的檢索任務中達成100%準確率，展現其對超長文本的穩定處理能力。</p> <p>相比之下，其他模型在處理長文本時的性能下降較為明顯，例如GPT-4o在上下文長度達1.6萬Token時準確率降至89％，Claude-3.5-Sonnet在超過12.8萬Token時，準確率下降至約93.8%。Google主打可處理長上下文的模型Gemini-2.0-Flash，也在25.6萬Token測試中準確率降至79.7％。而MiniMax-Text-01在100萬Token的超長文本環境中，仍能穩定保持91%的準確率。</p> <p>此外，MiniMax-Text-01在翻譯與推理基準測試MTOB和GPQA中，長文本翻譯精度和複雜推理任務均表現穩定。</p> <p>MiniMax-01系列模型採用新架構，結合Lightning Attention、Mixture-of-Experts (MoE) 和Softmax Attention，實現高效計算資源分配。在推理過程中，其計算效率接近線性複雜度，這代表在處理長文本時能以更低的資源成本完成高效推論。</p> <p>官方還公布了MiniMax-VL-01在多模態基準測試中的結果，其在影像與文本整合應用中的能力突出，適用於智慧助理和多媒體內容生成等場景。此外，MiniMax提供具競爭力的API價格，每百萬輸入Token只要0.2美元，每百萬Token輸出僅需1.1美元。</p> <p>不過，MiniMax為一家中國人工智慧公司，其模型在設計和開發過程受到中國政府的審查與政策約束，這可能在處理涉及政策敏感問題的應用場景時產生一定限制。因此，企業在採用MiniMax模型時，應充分考慮其技術特性和可能產生的風險。</p> </div></div></div>
2025/1/17 08:25作者李建興https://www.ithome.com.tw/news/167013
Red Hat推出OpenShift Virtualization Engine專注虛擬機器管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）宣布推出新的虛擬化解決方案<a href="https://www.redhat.com/en/technologies/cloud-computing/openshift/virtualization-engine#does-openshift-virtualization-engine-support-virtual-machine-migration">OpenShift Virtualization Engine</a>，其提供更簡易的虛擬機器管理功能。該產品是基於OpenShift平臺開發的全新虛擬化專用版本，針對企業虛擬化需求設計，移除與虛擬機器無關的功能，專注於虛擬機器的部署、管理與擴展。</p> <p>OpenShift Virtualization Engine的核心特點在於其專注於虛擬機器管理的強化設計，針對僅需虛擬化功能的企業用戶提供更簡化的解決方案。現有的Red Hat OpenShift平臺，例如OpenShift Container Platform和OpenShift Platform Plus，將容器與虛擬化功能整合於一體，適合需要在單一環境中同時管理容器化工作負載與虛擬機器的應用場景。</p> <p>而OpenShift Virtualization Engine則是提供了一個輕量級的選擇，去除容器相關功能，專注於虛擬機器的部署、管理和擴展。OpenShift Virtualization Engine基於企業級驗證的KVM（Kernel-based Virtual Machine）技術，廣泛應用於Red Hat Enterprise Linux。</p> <p>Red Hat提到，OpenShift Virtualization Engine不僅可以在本地資料中心運作，也能在雲端裸機執行個體上執行。這樣的靈活性使得企業可以根據需求，在混合雲架構中自由部署。OpenShift Virtualization Engine同時也內建了Migration Toolkit for Virtualization，這套專門進行虛擬化平臺搬遷的工具，能解決虛擬機器搬遷痛點，盡量縮短停機時間。此外，該引擎與Red Hat Ansible Automation Platform整合，能夠實現虛擬機器的自動化遷移與管理。</p> <p>針對資源分散和管理複雜性問題，Red Hat也同步推出了Red Hat Advanced Cluster Management for Virtualization。該工具擁有集中化的虛擬機器生命周期管理，從配置、監控到法遵控制功能，協助企業最佳化資源分配並提升管理效率。</p> <p>OpenShift Virtualization Engine適用於金融、醫療和電信等產業的高效能應用需求，同時支援獨立軟體供應商（ISV）的傳統企業應用。其藉由更精簡的功能與靈活的部署選項，提供企業更具針對性和成本效益的虛擬化解決方案。</p> </div></div></div>
2025/1/17 06:00作者李建興https://www.ithome.com.tw/news/167000
攻擊者偽造Google Ads官方廣告，釣魚攻擊廣告主竊取預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Malwarebytes Labs資安研究人員<a href="https://www.malwarebytes.com/blog/news/2025/01/the-great-google-ads-heist-criminals-ransack-advertiser-accounts-via-fake-google-ads">揭露</a>近期一場針對Google Ads廣告主的大規模釣魚攻擊，攻擊者藉由惡意假冒Google Ads的廣告，成功竊取多個廣告帳戶的登入憑證，並利用被盜帳戶挪用廣告預算，進一步擴大其惡意活動範圍。</p> <p>該廣告攻擊行動之所以受到矚目，研究人員指出，評估攻擊的規模與精密程度，這場攻擊是目前追蹤到最具破壞力的惡意廣告行動，同時也暴露出全球數位廣告生態系的脆弱性。</p> <p>根據資安研究人員的調查，這些惡意廣告偽裝為Google Ads服務的官方廣告，出現在Google搜尋結果中的贊助廣告欄位，誘使用戶點擊並進入假登入頁面。假登入頁面大多託管於Google Sites，利用與Google官方網站類似的域名設計來誘騙受害者，進而繞過廣告顯示URL與最終URL域名必須相符的規定。</p> <p>一旦受害者在假頁面中輸入帳戶憑證，攻擊者便可取得帳戶的完整控制權，進而更改帳戶設定，甚至將自己的電子郵件地址添加為帳戶管理員。</p> <p>攻擊背後涉及至少三個不同的犯罪團體，分別來自巴西、亞洲以及東歐。惡意攻擊者利用各種技術，包括瀏覽器指紋辨識與流量過濾，來篩選目標並收集詳細的受害者資訊。一些被盜的廣告帳戶原本就已在運作大量合法廣告，攻擊者竊取後，直接挪用這些帳戶的廣告預算來投放更多假廣告，讓攻擊範圍進一步擴大。</p> <p>受影響的廣告主遍及全球，包括個人與企業，甚至臺灣知名電子公司也成為攻擊目標。針對這些問題，Google的應對措施備受質疑。研究人員指出，儘管多次向Google舉報釣魚假廣告，許多惡意廣告仍活躍於搜尋結果中。一些惡意廣告主在被多次舉報後仍未被徹底移除，顯示出Google在帳戶安全與廣告濫用管理機制中的執行效率不足，對廣告生態系的信任度構成挑戰。</p> <p>研究人員建議廣告主提高警覺，避免直接點擊搜尋結果中的廣告，而應透過Google的官方網站登入或操作廣告帳戶。此外，加強雙因素驗證等安全措施也有助於降低帳戶被盜風險。</p> </div></div></div>
2025/1/17 06:00作者李建興https://www.ithome.com.tw/news/167006
北韓駭客Lazarus鎖定Web3開發人員發起攻擊行動Operation 99，意圖散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客假借徵才名義，鎖定開發人員散布惡意軟體的情況，過往駭客組織Lazarus發起的Operation Dream Job攻擊行動相當受到資安圈關注，如今有資安業者發現，這些駭客的手段變得更加複雜，使得求職的開發人員難以察覺有異。</p> <p>資安業者SecurityScorecard指出，他們在1月9日發現<a href="https://securityscorecard.com/blog/operation-99-north-koreas-cyber-assault-on-software-developers/">Lazarus發起的攻擊行動Operation 99</a>，主要目標是想要在Web3或是加密貨幣領域求職的軟體開發者，意圖在他們的電腦植入惡意程式。</p> <p>這些駭客假冒人資主管的名義，在職場社群網站LinkedIn等平臺進行徵才，以專案測試及程式碼檢視為由引誘開發人員上當。一旦開發人員照做，他們就會被要求複製看似無害的GitLab儲存庫，而駭客在其中埋入能連往C2伺服器的程式碼，從而於受害者的環境植入惡意軟體。</p> <p>這些駭客攻擊的目的，主要是原始碼及智慧財產、組態配置資料、API金鑰、帳密資料，以及加密貨幣錢包相關資料。</p> <p>韓駭客假借徵才對開發人員下手的情況，已非首例，SecurityScorecard威脅研究資深副總裁Ryan Sherstobitoff指出，Operation 99之所以能成功引誘受害者上當，原因在於駭客不斷發展手法，而且，這次駭客利用程式碼專案吸引開發人員，並將他們導向惡意GitLab儲存庫，使得這種徵才的誘餌變得看起來更加難以辨別真假。</p> <p>針對這波攻擊行動的範圍，主要目標是義大利，但SecurityScorecard也在阿根廷、巴西、埃及、法國、德國等地發現受害者。</p> <p>一旦開發人員上當，駭客就會運用模組化惡意程式進行多階段攻擊。攻擊者先利用惡意程式下載工具Main99連往C2，取得其他惡意酬載，然後透過Payload99/73、Brow99/73、MClip等元件，監控鍵盤輸入的內容、剪貼簿資料，竊取瀏覽器存放的帳密，然後將資料外洩。</p> <p>Ryan Sherstobitoff指出，駭客使用的惡意軟體框架相當危險，能針對Windows、macOS、Linux等多種平臺發動攻擊，並將攻擊流程嵌入開發人員的工作流程，駭客得以儘可能地隱匿自身活動的蹤跡。</p> <p>研究人員進一步調查此事，發現這波攻擊行動可追溯到去年10月，但到了今年手法加劇。首先，駭客改用不會自我刪除的惡意程式，而能長期監控受害者；再者，他們運用更為複雜的混淆手法，惡意酬載經過65層處理，使得資安鑑識分析也難以察覺有異。</p> </div></div></div>
2025/1/16 18:20作者周峻佑https://www.ithome.com.tw/news/167007
【資安日報】1月16日，勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體通常針對工作站電腦及伺服器主機而來，駭客將其資料加密，要脅受害者必須付錢換取解密金鑰，或是避免資料外流，但如今，有人針對雲端儲存服務發動相關攻擊，引起資安業者的注意。</p> <p>例如，資安業者Halcyon公布針對AWS S3儲存桶攻擊的事故，就是這樣的例子。特別的是，攻擊者並非打造專屬的檔案加密工具，而是透過AWS提供的資料防護機制犯案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166999"><strong style="font-size: 22px;">AWS提供的資料保護措施遭到濫用！勒索軟體駭客將S3儲存桶加密，並向受害者索討贖金</strong></a></p> <p>一般而言，在勒索軟體攻擊事故當中，攻擊者通常是利用加密工具破壞電腦檔案，但有人針對雲端環境發動類似攻擊，而且，作案的工具竟是雲端業者提供的資料保護措施。</p> <p>專門提供勒索軟體防護的資安新創Halcyon揭露一起相當不尋常的勒索軟體攻擊行動，駭客的攻擊目標是AWS的S3儲存桶，而作案的工具，竟是利用AWS供客戶保護資料的措施「伺服器端加密搭配用戶提供的金鑰（Server-Side Encryption with Customer-provided keys，SSE-C）」，將資料加密後，再向使用者勒索，要求支付贖金換取解密資料的AES-256對稱金鑰。</p> <p>針對這種手法的可怕之處，Halcyon資安研究團隊RISE強調，攻擊者無需挖掘AWS系統本身的漏洞，而是事先設法取得其中一個客戶的AWS帳密資料，就有機會得逞。截至目前為止，他們發現只能透過付錢取得解密金鑰，後續才能復原資料，沒有其他回復資料的方法，而此種伎倆的運用，也代表勒索軟體攻擊可能出現重大變化。</p> <p><a href="https://www.ithome.com.tw/news/167007"><strong style="font-size: 22px;">北韓駭客Lazarus鎖定Web3開發人員發起攻擊行動Operation 99，意圖散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-09_17-40-56.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-09_17-40-56.jpg" style="width: 300px; float: right;" /></a></p> <p>北韓駭客假借徵才名義，鎖定開發人員散布惡意軟體的情況，過往駭客組織Lazarus發起的Operation Dream Job攻擊行動相當受到資安圈關注，如今有資安業者發現，這些駭客的手段變得更加複雜，使得求職的開發人員難以察覺有異。</p> <p>資安業者SecurityScorecard指出，他們在1月9日發現Lazarus發起的攻擊行動Operation 99，主要目標是想要在Web3或是加密貨幣領域求職的軟體開發者，意圖在他們的電腦植入惡意程式。</p> <p>這些駭客假冒人資主管的名義，在職場社群網站LinkedIn等平臺進行徵才，以專案測試及程式碼檢視為由引誘開發人員上當。一旦開發人員照做，他們就會被要求複製看似無害的GitLab儲存庫，而駭客在其中埋入能連往C2伺服器的程式碼，從而於受害者的環境植入惡意軟體。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2025/01/the-great-google-ads-heist-criminals-ransack-advertiser-accounts-via-fake-google-ads">惡意攻擊者利用假Google廣告釣魚攻擊廣告帳戶，廣告商資金遭大規模盜用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/multi-layered-attack-formbook-stealer-bypasses-detection-with-memory-based-execution/">竊資軟體Formbook假借採購單散布，於記憶體內執行隱匿行蹤</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sucuri.net/2025/01/stealthy-credit-card-skimmer-targets-wordpress-checkout-pages-via-database-injection.html">WordPress電商網站遭到鎖定，駭客將JavaScript指令碼注入資料庫挾持付款資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cyderes.com/blog/phishing-trend-exploiting-youtube-urls-through-o365-expiry-themes">駭客佯稱M365密碼到期，利用假YouTube連接引誘使用者存取釣魚網站</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166992"><strong style="font-size: 22px;">部分工作站電腦、伺服器無法套用微軟1月例行更新，疑為Citrix資安控管軟體造成</strong></a></p> <p></p> <p>微軟本周發布一月份安全更新，不過部分安裝資安控管軟體Citrix Session Recording Agent（SRA）的電腦出現無法正常安裝的情形，涵括Windows 10、11，以及伺服器作業系統Server 2019、2022、2025等。微軟和Citrix已在調查原因。</p> <p>Citrix SRA 2411是去年11月底釋出。SRA是Session Recording Monitoring服務的元件，可讓企業記錄使用者螢幕上的活動作為資安控管。對此，Citrix呼籲企業用戶停用SRM服務，再安裝微軟安全更新，最後再重啟SRM服務就可避免這問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-660-000-rsync-servers-exposed-to-code-execution-attacks/">開源檔案同步工具Rsync存在重大漏洞，攻擊者有機會越界寫入，66萬伺服器恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166996"><strong style="font-size: 22px;">美國對中國後門程式PlugX進行執法行動，清除逾4千臺受害電腦的惡意軟體</strong></a></p> <p>1月14日美國司法部宣布，他們與聯邦調查局（FBI）及國際合作夥伴聯手，進行數個月的執法行動，從全球數以千計的受害電腦清除中國駭客使用的惡意軟體PlugX，這些駭客組織由中國政府資助，包含匿稱為RedDelta、TA416、Earth Preta的Mustang Panda，以及原本被稱為Tantalum的Twill Typhoon。</p> <p>根據美國法院的文件指出，中國政府付錢給駭客組織Mustang Panda，開發專屬版本PlugX進行電腦入侵工作。可能從2014年開始，駭客就對美國、歐洲、亞洲的政府及企業，以及中國異議人士下手，滲透數千臺電腦。儘管美國政府及資安業者都曾揭露相關攻擊行動，但許多受害者並未察覺自己的電腦感染PlugX，因此美國法院授權執法單位採取行動，對當地受害電腦採取補救措施。</p> <p>FBI數位部門助理局長Bryan Vorndran表示，這項執法行動是透過與法國執法單位之間的合作來進行，他們也藉此宣示保護民眾的決心，以及抵禦國家級威脅的技術專業能力。他們從去年8月開始獲得賓州東區法院授權，展開清理作業，總共成功清除的電腦數量高達4,258臺。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166980"><strong>【1月15日】多組人馬利用零時差漏洞繞過身分驗證，攻擊Fortinet防火牆設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166956"><strong>【1月14日】Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166934"><strong>【1月13日】研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古</strong></a></p> </div></div></div>
2025/1/16 18:28作者周峻佑https://www.ithome.com.tw/news/167008
AWS提供的資料保護措施遭到濫用！勒索軟體駭客將S3儲存桶加密，並向受害者索討贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，在勒索軟體攻擊事故當中，攻擊者通常是利用加密工具破壞電腦檔案，但有人針對雲端環境發動類似攻擊，而且，作案的工具竟是雲端業者提供的資料保護措施。</p> <p>專門提供勒索軟體防護的資安新創Halcyon<a href="https://www.halcyon.ai/blog/abusing-aws-native-services-ransomware-encrypting-s3-buckets-with-sse-c">揭露一起相當不尋常的勒索軟體攻擊行動</a>，駭客的攻擊目標是AWS的S3儲存桶，而作案的工具，竟是利用AWS供客戶保護資料的措施「<a href="https://docs.aws.amazon.com/zh_tw/AmazonS3/latest/userguide/ServerSideEncryptionCustomerKeys.html">伺服器端加密搭配用戶提供的金鑰（Server-Side Encryption with Customer-provided keys，SSE-C）</a>」，將資料加密後，再向使用者勒索，要求支付贖金換取解密資料的AES-256對稱金鑰。</p> <p>SSE-C是S3保護靜態資料的加密機制，使用者利用自己的金鑰並透過AES-256演算法加解密資料，藉此進一步達到保護的效果。值得留意的是，使用者必須自行製作金鑰並妥善保管，AWS不會代為保管。</p> <p>針對這種手法的可怕之處，Halcyon資安研究團隊RISE強調，攻擊者無需挖掘AWS系統本身的漏洞，而是事先設法取得其中一個客戶的AWS帳密資料，就有機會得逞。截至目前為止，他們發現只能透過付錢取得解密金鑰，後續才能復原資料，沒有其他回復資料的方法，而此種伎倆的運用，也代表勒索軟體攻擊可能出現重大變化。</p> <p>發動這波攻擊的駭客組織被稱為Codefinger ，他們濫用公開揭露或外洩的AWS金鑰讀取及寫入S3物件，然後利用AWS原生服務SSE-C加密資料。</p> <p>值得留意的是，由於AWS僅有在加密過程使用金鑰但並未留存，事後在資安事件記錄服務CloudTrail，也只留下雜湊訊息驗證碼（Hash-based Message Authentication Code，HMAC）資訊，而無法用來還原金鑰或是解密資料。</p> <p>為了向受害者施壓，這些駭客還透過S3物件生命週期管理API，將檔案標記在7天後刪除。</p> <p>Halcyon已向AWS通報這起事故，AWS發布聲明表示，他們會基於<a href="https://aws.amazon.com/tw/compliance/shared-responsibility-model/">責任共享的規範（shared responsibility model）</a>來協助用戶保護雲端資源，一旦他們察覺遭曝露的金鑰（exposed keys），就會通知用戶儘速處理。AWS也調查金鑰曝露的通報情形，並採取必要措施因應。</p> <p>究竟用戶該如何自保？Halcyon指出，企業組織應限縮SSE-C的適用範圍，僅能透過授權的使用者對S3儲存桶執行。再者，管理員應監控及稽核AWS金鑰，並啟用進階事件記錄功能，以此偵測S3儲存桶是否出現不尋常行為。</p> </div></div></div>
2025/1/16 17:10作者周峻佑https://www.ithome.com.tw/news/166999
國科會揭2026年度科技發展布局、AI基本法草案進展及影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會在14日揭露2026年度科技發展布局，規畫1,800億元科技預算，要來持續推動5大信賴產業和國家希望工程，如淨零科技、晶創臺灣方案等，還要建立晶片臺灣隊、精進臺版大型語言模型TAIDE，發展主權AI。</p> <p>國科會也透露AI基本法草案進展及未來規畫，去年9月結束草案公告後，將原版本小幅修改，尤其將風險分級改為分類，並於去年10月送交行政院，未來將由數位部制定風險分類框架，各事業主管機關再依該框架訂立管理規範，最後由行政院數位法制協調會議盤點，各部會作用法和配套措施。</p> <p><span style="font-size:22px;"><strong>規畫1,800億元預算發展2026年度科技布局</strong></span></p> <p>國科會進一步解釋，部會規畫的2026年1,800億元科技預算，是要來推動明年度科技發展，涵蓋5大信賴產業和國家希望工程，其中，5大信賴產業是指半導體、AI、軍工、安控、次世代通訊，國家希望工程則指中小微型企業數位創新、創新創業雨林生態系、科技創新（如太空科技、量子、資安和生醫及精準健康等）、數位新社會等。</p> <p>具體來說，這兩者所涵蓋的計畫包括淨零科技方案、臺灣運動x科技行動計畫、晶創臺灣方案、大南方-新矽谷推動方案、臺灣AI行動計畫2.0、高齡科技方案，同時，國科會也正規畫次世代通訊科技方案、智慧國家2.0方案，要跨部會與產學研界共同執行。以上都是明年科技預算將用來推動的國家級計畫。</p> <p>在明年科技布局中，AI和晶片是一大發展重點。國科會提出5大方法來塑造臺灣AI主權，包括培養跨領域開創性的系統研發人才、補助中小型公司、打造供需媒合平臺、制定AI基本法草案，以及重新定位高等教育目標等5個手段，來實現3個目標，如強化臺灣AI系統研發能力、形塑臺灣AI系統設計製造和應用的產業，以及養成人民運用AI工具和系統的文化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-01-16%20175433.png" /></p> <p><span style="font-size:22px;"><strong>AI基本法草案小幅調整，國科會將持續精進TAIDE模型</strong></span></p> <p>國科會進一步解釋，繼去年9月結束AI基本法草案的公告後，他們修改了部分草案內容，包括將原本的風險「分級」調整為風險「分類」，來接軌美國等促進創新的國家做法，其他修改之處則為法律文字和用語調整。這是因為，目前國際對於AI風險分級沒有共識，只有歐盟以法律方式將AI風險分級，其餘美國、新加坡、日本等國則以政策文件方式，鼓勵業者自主採取因應風險措施。</p> <p>因此，為因應AI在不同領域快速發展，國科會表示，後續將由數位部參考國際標準或規範，來制定風險分類框架，各目的事業主管機關再依這個框架，來訂定自己的主管業務風險分類和管理規範。最後，各部會的AI作用法和配套措施，則會由行政院數位法制協調會議來統籌、盤點。</p> <p>另一方面，國科會也將持續發展臺灣大型語言模型，將在既有TAIDE模型計畫上精進，比如持續蒐集臺灣本土特色資料集、結合國際最新開源模型，再加上國科會建置的算力資源，來優化TAIDE模型。同時，國科會也會推動公私部門不同領域的應用示範，來凸顯臺灣主權AI優勢。</p> <p><span style="font-size:22px;"><strong>聯手環境部推動AI+低軌衛星監測溫室氣體</strong></span></p> <p>在同一天的會議中，環境部監測資訊司司長謝炳輝說明，2024年，團隊首次與美國太空總署NASA和臺灣專家學者、政府跨部會合作，在高屏地區進行垂直3D空氣品質觀測實驗，解析地面至3,000公尺高的氣象環流場分佈，還透過比對飛機觀測、無人機採樣，更清楚掌握污染物濃度的垂直變化，再加上模式模擬和衛星觀測驗證，可作為空品不良預警和因應措施制定的改善策略參考。</p> <p>於是，環境部這次規畫，要透過跨部會合作，與太空中心研發臺灣第一顆用於溫室氣體和空氣品質變化的監測衛星，來快速掌握境外空污傳輸、溫室氣體影響程度和本地污染的時空變化，建立次世代空氣品質監測網。</p> <p>這個次世代空氣品質監測網有3大目標，一是強化溫室氣體與空氣污染的監測、源解析甚至是預測能力，二是解析氣膠和黑碳對氣候暖化的影響，並發展智慧監測AI預警機制，最後是打造臺灣超細懸浮微粒特徵和氣象因子暴露整合平臺。國科會認為，這項計畫除了能提升環境監測時空解析，還有望擴大衛星應用產業鏈。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8170.JPG" /></p> <p></p> </div></div></div>
2025/1/16 18:02作者王若樸https://www.ithome.com.tw/news/167005
Google、微軟雙雙升級生產力工具，擴展生成式AI應用並更新計價方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與微軟分別宣布了最新的生成式人工智慧工具更新。<a href="https://workspace.google.com/blog/product-announcements/empowering-businesses-with-AI">Google</a>宣布將生成式人工智慧功能全面整合至Workspace商務與企業計畫。同時，<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/copilot-studio/enabling-agents-in-microsoft-365-copilot-chat/">微軟</a>也針對其Copilot工具進行更新，特別強調Copilot Studio在業務流程自動化和人工智慧代理建置上的應用潛力。</p> <p>Google的更新集中於將生成式人工智慧融入Workspace核心應用，逐步開始向Workspace商務與企業用戶釋出生成式人工智慧功能。從Gmail、Docs到Sheets、Meet等，提供用戶撰寫、摘要生成、資料處理等多種輔助功能，例如Gemini可替用戶快速創建文件、簡報和影片，甚至在會議中提供自動記錄與摘要功能。人工智慧筆記本工具NotebookLM Plus則進一步提供更強的分析能力與團隊合作選項，允許用戶上傳資料來源並生成即時分析，還能共享客製化的筆記本以促進團隊學習。</p> <p>這項更新也伴隨Workspace訂閱方案價格調整，Google提到，先前Business Standard方案的用戶需要每位使用者每月額外支付20或是30美元，訂閱Gemini Business或Gemini Enterprise才能使用人工智慧功能，現在Business Standard方案已內建Gemini人工智慧功能。值得注意的是，Business Standard方案的月費從每位使用者12美元上調至14美元。</p> <p>微軟則針對Microsoft 365 Copilot和Copilot Studio進行了一系列功能擴充，並推出全新的計費模式。其中Copilot Chat允許員工在熟悉的工具中直接與人工智慧互動，例如Teams、Outlook和Word等，進一步提升企業內部協作與生產力。</p> <p>此外，Copilot Studio也迎來更新，該工具允許企業建構專屬的人工智慧代理。這些代理能根據預定義邏輯或生成式人工智慧技術，提供用戶互動式回應，例如自動回覆客戶問題、提供產品資訊或協助完成訂單。</p> <p>微軟在Copilot Studio加入三項新代理功能。Tenant Graph grounding利用Microsoft Graph中的企業範圍內資料，例如SharePoint文件和通過Graph連接的外部資料，提升生成式人工智慧在知識檢索中的準確性與相關性。Autonomous actions則作為生成式人工智慧驅動的業務流程自動化工具，能執行包括業務審批、生成分析報告或觸發通知郵件等複雜操作，為企業實現更高效的流程管理。Web grounded answers則擴展了人工智慧的回答能力，允許其整合外部網頁上的公開資訊，動態生成更詳細的答案，例如引用官網內容來回應產品問題，幫助企業提供更準確的回應。</p> <p>Copilot Studio訊息消耗量會根據代理的複雜度、使用頻率和特定功能而有所不同，微軟依據各代理不同的訊息消耗量計價。微軟推出了詳細的成本管理工具，透過Microsoft Power Platform管理中心，供企業靈活分配訊息容量，同時監控代理的使用情況。</p> </div></div></div>
2025/1/16 17:08作者李建興https://www.ithome.com.tw/news/166998
美國對中國後門程式PlugX進行執法行動，清除逾4千臺受害電腦的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月14日<a href="https://www.justice.gov/opa/pr/justice-department-and-fbi-conduct-international-operation-delete-malware-used-china-backed">美國司法部宣布</a>，他們與聯邦調查局（FBI）及國際合作夥伴聯手，進行數個月的執法行動，從全球數以千計的受害電腦清除中國駭客使用的惡意軟體PlugX，這些駭客組織由中國政府資助，包含匿稱為<a href="https://attack.mitre.org/groups/G0129/">RedDelta、TA416</a>、Earth Preta的Mustang Panda，以及原本被稱為Tantalum的Twill Typhoon。</p> <p>根據美國法院的文件指出，中國政府付錢給駭客組織Mustang Panda，開發專屬版本PlugX進行電腦入侵工作。可能從2014年開始，駭客就對美國、歐洲、亞洲的政府及企業，以及中國異議人士下手，滲透數千臺電腦。儘管美國政府及資安業者都曾揭露相關攻擊行動，但許多受害者並未察覺自己的電腦感染PlugX，因此美國法院授權執法單位採取行動，對當地受害電腦採取補救措施。</p> <p>FBI數位部門助理局長Bryan Vorndran表示，這項執法行動是透過與法國執法單位之間的合作來進行，他們也藉此宣示保護民眾的決心，以及抵禦國家級威脅的技術專業能力。</p> <p>事實上，這場全球掃盪PlugX的大規模執法行動，其實是法國政府及資安業者Sekoia主導，由於該公司<a href="https://blog.sekoia.io/plugx-worm-disinfection-campaign-feedbacks/">找到能夠從受害電腦刪除PlugX的命令</a>，再加上多個組織攜手合作，而得以成功，過程中，由美國FBI進行測試並確認相關方法的有效性，並確認不會因此影響電腦的正常功能，或從中收集資料。</p> <p>到了去年8月，美國司法部與FBI從賓州東區法院開始獲得授權，而展開第一波清理作業，前後法院共發出9次授權，最後一次的執行期限為2025年1月3日。他們在這段期間，總共成功清除的電腦數量高達4,258臺。</p> </div></div></div>
2025/1/16 15:35作者周峻佑https://www.ithome.com.tw/news/166996
iChef將電商導購概念加入數位點餐介面，下一步用大數據打造智慧點餐推薦功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以前在餐廳內用導入掃碼點餐，大家都是注重無接觸、缺工議題。但是掃碼點餐不只如此，還可以提供消費者更好的數位體驗。」餐飲POS系統商iChef共同創辦人程開佑說。他們昨日宣布推出「點餐3.0」掃碼點餐應用，將電商導購概念，加入餐廳內用掃碼點餐的情境。未來，iChef更計畫用機器學習等技術，來強化智慧點餐推薦功能，使餐廳能在點菜環節，能用大數據支援行銷。</p> <p>目前做法則是，根據餐飲常見推薦情境，提供餐廳主在點餐介面中加入導購功能的選項，以創造加點機會。具體做法包括：跳出搭配餐點推薦、顯示套餐換購更高價配菜選項、簡化加購流程、支援同桌多人同時點餐等。還有一個設計是，可以換套餐內菜色的團體套餐，讓多人一口氣點餐，以鎖定客單價區間，並降低點餐猶豫時間。這些功能已經上架，商家可在後臺選購啟用。</p> <p>為了確保點餐系統高彈性的加購及推薦功能，不讓後廚手忙腳亂，iChef系統有廚房分類印單功能，可以將同一份套餐的不同菜色，出單到不同工作臺，以利分工。另外，他們數據拋轉的錯誤率相當低，2024年交易資料錯誤率低於3百萬分之一。</p> <p>程開佑表示，這些只是他們發展導購功能的第一步。接下來，他們還會推出更進階的「智慧推薦點餐」功能，根據餐廳主行銷規畫、天氣變化、用餐人數、消費習慣與口味偏好等數據，自動化提供為每桌來客，提供不同的點餐建議。</p> <p>他進一步說明，電商推薦通常會運用大量消費者個人消費資料來給出個人化推薦，餐廳卻難以蒐集個人等級的數據，頂多是桌別等級數據。智慧推薦點餐功能使用的數據，則以門市方數據為主，推薦的邏輯和規則，也是先考慮餐廳主理念和行銷規畫，再用數據輔助。餐廳可以透過自助式平臺，或者與iChef顧問一同討論，來辨認出熱門菜色等關鍵數據，並制定推薦規則。</p> <p>他們還預計利用機器學習技術，打造行銷分析及建議機制，來讓餐廳主評估，規則式機制的智慧推薦點餐功能，究竟成效如何、如何進一步提升成效。預計今年第一季，也會推出由專人一對一客製化輔導服務，教學餐廳主使用新掃碼點餐系統及應用餐廳數據。</p> <p></p> </div></div></div>
2025/1/16 15:43作者郭又華https://www.ithome.com.tw/news/166994
微軟10月不再支援Windows 10上執行Microsoft 365/Office
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10將在今年10月14日起失去支援，微軟<a href="https://support.microsoft.com/en-us/office/what-windows-end-of-support-means-for-office-and-microsoft-365-34e28be4-1e4f-4928-b210-3f45d8215595#ID0EBH=Microsoft_365" target="_blank">本周公告</a>，屆時Microsoft 365及Office應用程式也都不再支援Windows 10，雖然用戶還是能繼續使用。</p> <p>據微軟公告，Windows 10在2025年10月14日來到技術支援的生命周期終點後，也將不再支援Microsoft 365應用程式。微軟呼籲用戶，在10月中以後，要使用M365，用戶電腦應升級到Windows 11，以避免效能和穩定性問題。</p> <p>不過根據<a href="https://support.microsoft.com/en-us/office/what-windows-end-of-support-means-for-office-and-microsoft-365-34e28be4-1e4f-4928-b210-3f45d8215595#ID0EBH=Microsoft_365" target="_blank">微軟支援文件</a>，M365/Office App之後仍然能在不支援的平臺（Windows 10）上運作，但微軟強調，這些應用程式長期下來會有「效能、功能」問題。</p> <p>目前Microsoft 365 （M365） App不再獲得支援的版本，包括Windows 7、8及8.1版。這些電腦上仍然可以存取M365應用程式，但是這些更舊的電腦不會再獲得功能以及安全更新。</p> <p>這顯示微軟決心催促用戶升級。另一方面，光升級不夠，微軟要求用戶換新電腦。微軟上個月<a href="https://www.theverge.com/2024/12/4/24312928/microsoft-windows-11-older-hardware-tpm-support" target="_blank">再度聲明</a>，在不具備信賴平臺模組（Trusted Platform Module，TPM）2.0的舊電腦上執行Windows 11是不可能的，新硬體的要求「不得折扣」（non-negotiable）。</p> </div></div></div>
2025/1/16 12:15作者林妍溱https://www.ithome.com.tw/news/166995
Citrix軟體會導致用戶PC、伺服器無法安裝微軟1月安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.ithome.com.tw/news/166966" target="_blank">發布</a>一月份安全更新，不過部分安裝Citrix軟體的電腦<a href="https://support.citrix.com/s/article/CTX692505-microsofts-january-security-update-failsreverts-on-a-machine-with-2411-session-recording-agent?language=en_US" target="_blank">出現</a>無法正常安裝的情形，涵括Windows 10、11、Server 2019等。微軟目前正在調查中。</p> <p>在Patch Tuesday中，微軟釋出的多版更新如<a href="https://support.microsoft.com/en-us/topic/january-14-2025-kb5049981-os-builds-19044-5371-and-19045-5371-12f3788f-6e7d-4524-8ab3-27d1666e0510" target="_blank">KB5049981</a>、<a href="https://support.microsoft.com/en-us/topic/january-14-2025-kb5049983-os-build-20348-3091-789bf923-7777-419d-9c3a-23f7c814930f" target="_blank">KB5049983</a>及<a href="https://support.microsoft.com/en-us/topic/january-14-2025-kb5050021-os-builds-22621-4751-and-22631-4751-0dabc772-4925-4d47-97c4-a792adb1e6d9" target="_blank">KB5050021</a>，都列出相同的問題。安裝Citrix Session Recording Agent（SRA）2411版本的裝置可能無法完成安裝2025年1月Windows安全更新。有人則是安裝時出現錯誤訊息，然後電腦退回到之前的Windows更新版本。</p> <p>Citrix SRA 2411是去年11月底釋出。SRA是Session Recording Monitoring服務的元件，可讓企業記錄使用者螢幕上的活動作為資安控管。沒安裝這個版本的PC就不會有這情形，家用電腦也不受影響。微軟和Citrix已在調查原因。</p> <p>受這問題影響的安全更新版本及Windows平臺包括：Windows Server 2025（KB 5050009）、Windows Server 2022（KB 5049983）、Windows Server 2019（KB 5050008）、Windows 11 24H2（KB 5050009）、Windows 11 23H2/22H2（KB 5050021）、Windows 10 22H2（KB 5049981）。</p> <p>在此之前，Citrix呼籲企業用戶停用SRM服務，再安裝微軟安全更新，最後再重啟SRM服務就可避免這問題。</p> </div></div></div>
2025/1/16 11:25作者林妍溱https://www.ithome.com.tw/news/166992
微軟合併開發工具、AI平臺部門，由Meta前主管統率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周三<a href="https://blogs.microsoft.com/blog/2025/01/13/introducing-core-ai-platform-and-tools/" target="_blank">宣布</a>組織重整，將開發部門、AI平臺與其他AI部門統整為CoreAI平臺與工具（CoreAI–Platform and Tools）事業群，使所有微軟軟體堆疊支援代理型AI（agentic AI）的實現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-Satya-Nadella-Ignite-2024-agentic%20AI.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Photo by Dan DeLong, 微軟</span></span></p> <p>Nadella首先說明，2025主軸將是模型導向的應用程式，GUI、網路伺服器、雲端原生資料庫等會同時加入應用堆疊中。新趨勢是打造具備記憶體、entitlements、action space的代理應用程式，可從模型獲取強大能力，並將這些能力轉化成效能和安全性支援每種角色、商業流程和產業領域。應用程式的開發部署將以代理程式為依歸。</p> <p>因此，新的應用程式堆疊將是以AI為優先，具備新的UI/UX、開發runtime、能和多個代理程式協同，以及全新的管理和可觀測性（observability）層。對應到微軟產品，Azure是AI基礎架構，上有微軟平臺和開發工具如Azure AI Foundry、GitHub和VS Code，所有AI和平臺和工具都必須密切合作，以開發代理程式、這些代理程式將改變所有類別的SaaS應用，並且打造以軟體驅動的客製應用，他稱為服務即軟體（service as software）。</p> <p>因此，微軟將新增CoreAI平臺與工具（CoreAI–Platform and Tools）事業群。該事業群是整合了開發工具部門、AI平臺技術長辦公室下的重要團隊，包括AI Supercomputer、AI Agentic Runtimes、Engineering Thrive。其任務是為第一方和第三方客戶打造端到端的Copilot及AI堆疊，使其能執行AI應用程式和代理人程式。新事業群也將開發GitHub Copilot，因此AI優先的產品和AI平臺間將形成回饋圈，推進未來的藍圖和堆疊。</p> <p>CoreAI平臺與工具部門將由去年10月加入的執行副總裁Jay Parikh統率，他之前是Meta全球工程部門主管。隨著雲端基礎架構業務持續擴張成為微軟最大營收來源，Cloud+AI副總裁Scott Guthrie職位不變。</p> <p>但Nadella並未說明，原本擁有AI Supercomputer、AI Agentic Runtime的技術長Kevin Scott負責業務會有何變動。</p> <p>代理型AI已是AI大廠的發展重點。Google去年底推出的Gemini 2.0號稱是為代理型AI而設計的模型。OpenAI本周開始測試Tasks功能，讓ChatGPT也成為企業任務自動化的代理人。</p> </div></div></div>
2025/1/16 10:41作者林妍溱https://www.ithome.com.tw/news/166991
前端框架Angular 2025年策略，聚焦開發者體驗與新技術採用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google主導的前端框架Angular，其開發團隊公布了<a href="https://blog.angular.dev/angular-2025-strategy-9ca333dfc334">2025年的策略方向</a>，重點聚焦於進一步提升開發者體驗與促進最新技術的採用，以回應快速變化的技術趨勢與開發者需求。這些策略是Angular團隊根據調查與資料分析，針對開發者需求與框架痛點，所提出的更新方向。</p> <p>根據Angular開發團隊的年度開發者調查結果，超過79%的開發者已採用最新兩個版本的Angular框架，90%的使用者採用了獨立元件、指令與工作管線設計模式，而83%則廣泛應用了內建控制流程等功能。開發團隊指出，這些資料顯示，Angular在推動開發者採用現代化開發模式上有所進展，尤其是對新功能的支持度大幅提升。</p> <p>Angular 2025年的策略聚焦於多項開發者關注的議題，其中包括進一步改善元件撰寫格式、改進初始載入效能，以及強化表單處理的靈活性與可擴展性。開發團隊表示，調查發現開發者對於雙重匯入與重複的樣板程式碼不滿意，因此改進元件的相依性管理，並且降低樣板程式碼的重複性會是接下來的重點工作。</p> <p>Angular開發團隊還計畫推進Signal Forms開發，目標是在現有表單模組的基礎上，提供更高的型別安全性、可擴展性與性能增強，並逐步將其推廣為表單處理的最佳實踐。現有的Template-driven Forms和Reactive Forms也將與Signal Forms緊密整合。同時，針對測試工具的改進，團隊計畫在2025年替換現有的Karma測試框架，並評估包括Web Test Runner和Jest等新選項，以滿足高效測試需求，以及與Angular CLI的整合。</p> <p>在改善開發者體驗的同時，Angular積極推動框架的易用性與擴展性，他們計畫進一步完善官方文件，呈現最佳實踐，協助開發者深入技術細節。此外，團隊將加強與社群開發工具的合作，例如Vite和Rspack套件，使Angular更容易融入現有技術堆疊。開發團隊認為，這些改進將有助於新手開發者快速上手，並吸引其他框架的使用者探索Angular的現代化功能。</p> <p>Angular經歷了數年的陣痛期後，在2024年調整了更新方向，Google逐步合併Angular與其內部框架Wiz，讓Angular在保有豐富互動性功能的同時，也能提供高效能。根據調查，開發人員對Angular整體滿意度有所提升，接近90%的開發人員對框架感到滿意，官方認為Angular已進入所謂的「文藝復興」階段，採用率逐漸上升，表示調整方向正確。同時，團隊也意識到仍需投入更多的教育與推廣工作，讓開發者了解現代化的Angular如何協助他們高效建構應用程式。</p> </div></div></div>
2025/1/15 22:28作者李建興https://www.ithome.com.tw/news/166987
Apple與Synopsys加入UALink聯盟董事會，推動下一代AI加速器傳輸介面抗衡NVLink
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年才成立的Ultra Accelerator Link（UALink）聯盟，宣布<a href="https://www.businesswire.com/news/home/20250114920576/en/Ultra-Accelerator-Link%E2%84%A2-Consortium-UALink%E2%84%A2-Welcomes-Alibaba-Apple-and-Synopsys-to-Board-of-Directors">擴編董事會成員，阿里巴巴、Apple與Synopsys正式加入</a>，共同推動次世代人工智慧加速器傳輸介面UALink。UALink的出現，是因應現今高效能運算與人工智慧應用對資料傳輸日益增加的需求，同時挑戰Nvidia的NVLink在市場中的地位。</p> <p>NVLink為Nvidia所設計的GPU高速通訊技術。這種高頻寬和低延遲，可讓GPU間直接存取對方記憶體的連結，大幅提升了資料傳輸效率，尤其是在訓練大型語言模型時更凸顯其優勢。</p> <p>事實上AMD與英特爾的GPU平臺，也各自有其I/O技術，但現在AMD、英特爾與眾多科技巨頭公司合作創立UALink聯盟，便是要建立一種開放且高效能的GPU連接技術，解決現有各家廠商專有技術在擴展性與相容性方面的限制，以開放標準促進更多硬體與軟體的互通，進一步提升人工智慧叢集內的計算資源分配與資料處理效率，進而提升整體性能表現。</p> <p>此舉被視為業界對Nvidia市場主導地位的挑戰，尤其是在人工智慧加速器叢集的高效能連接技術領域，UALink有望藉其開放性與多方支持，成為Nvidia專有技術的有力競爭者。UALink聯盟成立於2024年5月，並於同年10月正式註冊為非營利組織，主要成員包括AMD、Astera Labs、AWS、思科、Google、HPE、英特爾、Meta與微軟等科技公司。</p> <p>根據UALink的資料，該聯盟已吸引超過65家成員公司，涵蓋雲端、半導體與智慧財產權（IP）供應商、系統OEM與軟體開發商，現在Apple、Synopsys和阿里巴巴的加入，則進一步壯大UALink陣營。UALink預計於2025年第一季發布的UALink 1.0規範，將支援每通道高達200 Gbps的擴充連接，能夠在一個人工智慧節點內連接最多1,024個加速器。</p> </div></div></div>
2025/1/15 22:32作者李建興https://www.ithome.com.tw/news/166988
Mistral更新程式碼完成模型Codestral 25.01，刷新基準測試紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發輕量級、專業化生成式人工智慧模型的公司Mistral AI，升級了其程式碼生成模型Codestral，新的<a href="https://mistral.ai/news/codestral-2501/">Codestral 25.01</a>版本在處理上下文長度，及程式碼完成效率方面表現更好，且該模型上下文長度可達到25.6萬Token，能有效滿足大型專案和複雜程式碼的完成需求。</p> <p>Mistral對少於1,000億參數的程式碼完成模型進行測試，Codestral 25.01在Fill-In-the-Middle（FIM）任務的表現，刷新了多項基準測試紀錄。在HumanEval、MBPP和CruxEval等評估中，該模型在準確率和生成速度方面表現突出，特別是在FIM的Pass@1測試中，平均通過率達95.3％，顯示其在單行程式碼插入和完成的能力。與上一代Codestral 24.05相比，新版的程式碼生成速度約是2倍，同時在多語言支援與程式碼生成的準確性有明顯進步。</p> <p>與其他模型相比，Codestral 25.01在重要指標表現較佳，像是Meta的Codellama 70B instruct，雖然具通用性與多語言支持，但上下文長度僅有4,000個Token，難以滿足處理大型專案的需求。此外，Codellama在FIM測試中的準確率也低於Codestral。</p> <p>其他競爭者DeepSeek Coder系列模型，包括DeepSeek Coder 33B instruct和DeepSeek Coder V2 lite，其中後者在上下文長度方面提升至12.8萬個Token，但整體性能落後於Codestral 25.01，像是HumanEval測試結果DeepSeek系列的表現皆不如Codestral。而OpenAI的GPT 3.5 Turbo FIM API雖在FIM測試水準與Codestral相近，但其上下文長度僅為3萬個Token，在大型專案的應用上將受限。</p> <p>Codestral 25.01的升級重點還有對多語言環境的優化。Codestral 25.01支援超過80種程式語言，涵蓋Python、Java、JavaScript等主流語言，在SQL和Bash等應用案例也有精準的生成能力。測試顯示，該模型在HumanEval各語言測試中的平均準確率達71.4％，在Python等常用語言的表現更是遙遙領先。</p> <p>在輕量級程式碼完成模型領域中，Codestral 25.01展現良好應用潛力。目前開發者已可透過支援的IDE或雲端平臺試用Codestral 25.01，Mistral也提供Codestral 25.01 API支援，供用戶整合至現有的開發環境中。</p> </div></div></div>
2025/1/15 22:20作者李建興https://www.ithome.com.tw/news/166978
Google OAuth身分驗證機制存在弱點，攻擊者有機會存取已停用的帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Truffle Security在<a href="https://trufflesecurity.com/blog/millions-at-risk-due-to-google-s-oauth-flaw">Google提供的OAuth身分驗證機制（以Google帳號登入）發現弱點</a>，假如使用者曾在新創公司任職，而且該公司已結束營運的狀態，那麼他們的資料就有可能遭到洩露。</p> <p>Truffle Security執行長兼聯合創辦人Dylan Ayrey指出，，他起初曾藉此成功登入不屬於自己的帳號，以便向Google展示弱點，但得到的回應竟是這些行為「如預期運作（working as intended）」。</p> <p>之所以存在此項弱點，在於Google對於OAuth身分驗證機制的管制不當，一旦有人試圖買下結束營業的公司網域，並用來重新建立員工的電子郵件帳號，就有機會利用這些帳號登入該公司曾經使用的SaaS服務。</p> <p>為何Dylan Ayrey會察覺OAuth驗證有弱點？因為他曾買下一個棄用的公司網域，並發現能夠用來存取該公司員工的ChatGPT、Slack、Notion、Zoom、人資系統的帳號。其中最敏感的SaaS服務莫過於人資系統，因為內含稅務文件、薪資、保險資訊、社會安全碼等詳細個資。</p> <p>究竟這樣的弱點影響範圍有多大？Dylan Ayrey指出，根據統計，有6百萬美國人在科技新創公司工作，其中有9成失敗、結束營業，而這些新創有半數採用Google Workspaces建置電子郵件系統。而且，根據知名創業公司資料庫網站Crunchbase的記錄顯示，有超過10萬個收山的新創公司閒置網域，假設這些公司平均有10個員工，並採用10種SaaS服務，那麼這項弱點將有可能讓1千萬個帳號資料曝光。</p> <p>去年9月Dylan Ayrey向Google通報此事，並提出緩解措施，起初Google回覆這項問題涉及詐欺與濫用，而非OAuth登入瑕疵，所以，他們不予修補，等到12月9日，Dylan Ayrey確定會在<a href="http://www.shmoocon.org/speakers/#millionaccounts">隔年1月美國駭客大會ShmooCon 2025發表這個漏洞的演講</a>之後，10天後，Google終於改變主意，決定重新啟動調查並頒發1,337美元抓漏獎勵，承諾將修復這項弱點，但究竟他們打算如何處理？Google並未向研究人員透露。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/yIutY_X2FcU?si=f_yaH1XutTJu6PGG&start=19999" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2025/1/15 18:11作者周峻佑https://www.ithome.com.tw/news/166979
【資安日報】1月15日，多組人馬利用零時差漏洞繞過身分驗證，攻擊Fortinet防火牆設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新的一年零時差漏洞攻擊事故接連傳出，先是Ivanti上週公布VPN系統Connect Secure的重大漏洞CVE-2025-0282出現攻擊行動，協助調查此事的資安業者Mandiant透露攻擊行動的相關細節；接著在1月10日，資安業者Arctic Wolf揭露Fortinet防火牆大規模攻擊事故，本週也引起高度關注，今天Fortinet終於證實攻擊者使用的零時差漏洞確實存在，並登記為CVE-2024-55591。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166969"><strong style="font-size: 22px;">Fortinet防火牆傳出遭到零時差漏洞攻擊，多組人馬透過能從網際網路存取的管理介面入侵防火牆</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog_jsconsole.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog_jsconsole.png" style="width: 300px; float: right;" /></a>1月10日資安業者Arctic Wolf提出警告，他們察覺專門針對Fortinet防火牆設備FortiGate的攻擊行動Console Chaos，攻擊者鎖定能公開存取的管理介面下手，過程中很有可能利用零時差漏洞來進行，呼籲企業組織盡速關閉能公開存取防火牆管理介面的管道。</p> <p>究竟這起事故是否為零時差漏洞攻擊？我們昨天下午透過公關公司與Fortinet確認，但得到的回應相當有限。不過，根據資安新聞網站Bleeping Computer、The Hacker News、Dark Reading、SecurityAffairs的報導，攻擊者在上述事故利用的零時差漏洞，後來資安業者Fortinet證實的確存在，並發布資安公告，揭露重大層級身分驗證繞過漏洞CVE-2024-55591。</p> <p>值得留意的是，Fortinet在公告裡表明此漏洞已被用於實際攻擊行動，但並未進一步說明細節，也沒有提及通報者的身分，因此我們無法以此確認本次公告的漏洞與Arctic Wolf稍早揭露事故的關聯。</p> <p><a href="https://www.ithome.com.tw/news/166972"><strong style="font-size: 22px;">駭客透過YouTube等影音共享平臺散布竊資軟體，假借提供軟體安裝教學、利用影片說明或回應隱匿攻擊意圖</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/YouTube-1a.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/YouTube-1a.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避資安系統的偵測，駭客散布惡意程式的做法也變得越來越複雜，其中一種方法就是濫用合法服務來埋藏行蹤，而這樣的情況越來越氾濫，也使得資安業者不斷呼籲使用者提高警覺。</p> <p>例如，最近資安業者趨勢科技公布的攻擊行動，就是典型的例子。他們發現有人利用YouTube及其他社群網站分享檔案下載連結，目的是向使用者假借提供盜版軟體安裝程式、商業軟體破解工具的名義，散布惡意軟體Lumma Stealer、Private Loader、Mars Stealer、Amadey、Penguish、Vidar。</p> <p>究竟攻擊者如何引誘受害者上當？趨勢科技研究人員Ryan Maglaque、Jay Nebre、Allixon Kristoffer Francisco表示，歹徒通常會透過YouTube或同類型的影音共享平臺，假借教學如何使用盜版軟體為誘餌，然後在安裝過程「提醒」受害者點選影片說明或是留言裡的惡意連結。</p> <p><a href="https://www.ithome.com.tw/news/166964"><strong style="font-size: 22px;">知名遊戲《流亡黯道2》管理帳號被駭，玩家資產損失恐無法追回</strong></a></p> <p>受到玩家期待的《流亡黯道2》（Path of Exile 2，PoE 2）近期在搶先體驗的階段，爆發嚴重的資安事件。開發商Grinding Gear Games（GGG）確認，其管理者帳號遭駭客攻破，導致至少66個玩家帳號被未經授權存取，玩家損失高價值的遊戲資產與貨幣，引發社群熱烈討論。</p> <p>PoE 2遊戲總監Jonathan Rogers在接受Youtube頻道GhazzyTV採訪時坦承，事件發生後才補充的安全措施本應該早就到位，並表示他們完全搞砸了。</p> <p>根據Jonathan Rogers解釋，駭客透過取得與管理者帳號相連的舊Steam帳號，成功修改玩家帳號密碼並繞過雙因素驗證（2FA），進而登入玩家帳號竊取遊戲內資產。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/russian-linked-hackers-target.html">俄羅斯駭客APT28鎖定哈薩克，散布惡意軟體Hatvibe</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/fbi-deletes-plugx-malware-from-4250.html">美國對中國後門程式PlugX進行執法行動，清除逾4千臺受害電腦的惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166966"><strong style="font-size: 22px;">微軟發布1月例行更新，修補8項零時差漏洞，其中3項Hyper-V漏洞已被用於攻擊</strong></a></p> <p>1月14日微軟發布本月份例行更新，總共修補了159個漏洞，數量相較於上個月的72個多出一倍，也是繼去年4月修補147個漏洞之後，公布更多漏洞數量的一次。這些漏洞有40個涉及權限提升、14個涉及安全功能繞過、58個可被用於遠端執行任意程式碼（RCE）、24個資訊洩漏漏洞、20個阻斷服務（DoS）漏洞，以及5個能用於欺騙的漏洞。從漏洞的危險程度來看，有11個被列為重大層級，其餘148個評為高風險層級。</p> <p>值得留意的是，這次的零時差漏洞多達8個，僅次於去年8月的10個。</p> <p>在微軟公布的漏洞當中，有3個CVE-2025-21333、CVE-2025-21334、CVE-2025-21335已被用於實際攻擊，這些皆為權限提升漏洞，存在Windows Hyper-V NT Kernel Integration VSP的元件當中，CVSS風險評為7.8分。它們之間的差別在於弱點的類型，CVE-2025-21333是記憶體緩衝區溢位，CVE-2025-21334、CVE-2025-21335則是記憶體釋放後再存取使用（Use After Free）。</p> <p><a href="https://www.ithome.com.tw/news/166979"><strong style="font-size: 22px;">Google OAuth身分驗證機制存在弱點，攻擊者有機會存取已停用的帳號</strong></a></p> <p>資安業者Truffle Security在Google提供的OAuth身分驗證機制（以Google帳號登入）發現弱點，假如使用者曾在新創公司任職，而且該公司已結束營運的狀態，那麼他們的資料就有可能遭到洩露。</p> <p>Truffle Security執行長兼聯合創辦人Dylan Ayrey指出，，他起初曾藉此成功登入不屬於自己的帳號，以便向Google展示弱點，但得到的回應竟是這些行為「如預期運作（working as intended）」。</p> <p>之所以存在此項弱點，在於Google對於OAuth身分驗證機制的管制不當，一旦有人試圖買下結束營業的公司網域，並用來重新建立員工的電子郵件帳號，就有機會利用這些帳號登入該公司曾經使用的SaaS服務。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-critical-code-execution-flaws-in-photoshop/">Adobe發布例行更新，修補Photoshop重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-sap-flaws-revealed-cve-2025-0070-and-cve-2025-0066-with-cvss-9-9-demand-immediate-action/">SAP修補兩項重大層級漏洞，影響NetWeaver AS for ABAP、ABAP平臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/zyxel-urges-patch-application-for-privilege-escalation-vulnerability-cve-2024-12398/">兆勤針對無線基地臺、資安路由器修補高風險權限提升漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166956"><strong>【1月14日】Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166934"><strong>【1月13日】研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166913"><strong>【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</strong></a></p> </div></div></div>
2025/1/15 18:20作者周峻佑https://www.ithome.com.tw/news/166980
Mastodon專案所有權將由創辦人轉移至非營利公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以聯邦協定為基礎開發去中心化社群網路Mastodon，<a href="https://blog.joinmastodon.org/2025/01/the-people-should-own-the-town-square/">宣布</a>其專案的所有權與管理權將從創辦人Eugen Rochko移交至一個全新的歐洲非營利組織。這項改變確保Mastodon不受單一個人控制，以進一步強化其開放性、透明性與可持續性。</p> <p>去中心化社群網路Mastodon供使用者自由選擇伺服器、管理社群與策畫個人時間軸，其去中心化架構使其具有資料隱私、反廣告操縱和避免企業壟斷等優點。相比傳統的集中式社群媒體平臺，Mastodon以及更廣泛的聯邦宇宙（Fediverse）體系，透過ActivityPub協定實現多平臺互通性，其中包括像Pixelfed、PeerTube等不同媒體類型的服務，讓使用者可以在各平臺間自由互動，而不被鎖定在單一企業平臺中。</p> <p>過去Eugen Rochko在開發Mastodon時，以個人所有的形式管理專案，這種模式雖然有效因應平臺的初期發展需求，但隨著社群規模的擴大與影響力增強，其法律與營運結構也需要隨之調整。新成立的非營利組織，將負責持有包括Mastodon名稱與版權在內的核心資產，並制定更適合未來發展的治理框架。</p> <p>同時，當前負責Mastodon平臺日常營運的實體Mastodon GmbH，將成為非營利組織全資擁有的子公司，維持現有的技術開發與用戶支援工作。Eugen Rochko將更專注於產品策略，而不再全面管理Mastodon。雖然組織架構調整，但是官方強調，Mastodon的核心使命和價值觀不變，繼續提供去中心化、無廣告的社交平臺，mastodon.social和mastodon.online伺服器仍將營運，提供公開註冊。</p> <p>未來Mastodon會持續推動技術創新與社群參與，重點包括提升使用者體驗、加強隱私保護與信任安全功能，並推進隱私聯邦搜尋工具Fediscovery，替聯邦宇宙提供更好的可探索性。此外，Mastodon也計畫擴大團隊規模，包括與信任、安全領域專家協作，以確保弱勢社群的使用者，能在安全的環境中交流與互動。Mastodon非營利組織將採用透明的治理模式，並增強社群參與和募款，期望達成每年500萬歐元的營運目標。</p> </div></div></div>
2025/1/15 16:30作者李建興https://www.ithome.com.tw/news/166971
駭客透過YouTube等影音共享平臺散布竊資軟體，假借提供軟體安裝教學、利用影片說明或回應隱匿攻擊意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避資安系統的偵測，駭客散布惡意程式的做法也變得越來越複雜，其中一種方法就是濫用合法服務來埋藏行蹤，而這樣的情況越來越氾濫，也使得資安業者不斷呼籲使用者提高警覺。</p> <p>例如，最近<a href="https://www.trendmicro.com/en_us/research/25/a/how-cracks-and-installers-bring-malware-to-your-device.html">資安業者趨勢科技公布的攻擊行動</a>，就是典型的例子。他們發現有人利用YouTube及其他社群網站分享檔案下載連結，目的是向使用者假借提供盜版軟體安裝程式、商業軟體破解工具的名義，散布惡意軟體Lumma Stealer、Private Loader、Mars Stealer、Amadey、Penguish、Vidar。</p> <p>攻擊者多半使用受到密碼保護的壓縮檔挾帶惡意程式，而能夠逃過沙箱等資安防護機制；再者，他們也濫用Mediafire、Mega等雲端檔案共享服務，使得偵測及清除相關檔案變得更加困難。一旦使用者電腦遭到感染，惡意軟體就有可能從瀏覽器收集敏感資訊，並挖掘帳密資料。</p> <p>究竟攻擊者如何引誘受害者上當？趨勢科技研究人員Ryan Maglaque、Jay Nebre、Allixon Kristoffer Francisco表示，歹徒通常會透過YouTube或同類型的影音共享平臺，假借教學如何使用盜版軟體為誘餌，然後在安裝過程「提醒」受害者點選影片說明或是留言裡的惡意連結。</p> <p>一旦受害者照做，他們就會被導向雲端檔案共享服務下載以密碼保護的壓縮檔，若是執行攻擊者提供的安裝程式，電腦就有可能感染前述的竊資軟體。</p> <p>除了透過影片誘騙下載，趨勢科技也提及攻擊者還會搭配搜尋引擎中毒（SEO Poisoning）的手法，引誘想要搜尋盜版軟體的使用者上當。</p> <p>在其中一個佯稱提供AutoCAD盜版工具的攻擊事故裡，攻擊者先是將使用者導向NFT市集OpenSea、音樂共享平臺SoundCloud，然後要求他們依照指示點選連結，下載ZIP檔案。</p> <p>值得留意的是，在部分攻擊行動裡，駭客還會利用自動化工具AutoIT進行混淆，甚至從C2下載其他惡意軟體。</p> <p>趨勢科技也提及攻擊者運用障眼法的情況，他們看到其中一個偽裝成安裝程式的開源遠端桌面工具執行檔rustdesk.exe，一旦執行，電腦就會跳出錯誤訊息，表示目前發生無法預期的錯誤、應用程式將退出，讓使用者誤以為該程式並未運作，但實際上此執行檔於背景運作，並載入惡意的DLL檔案。</p> </div></div></div>
2025/1/15 17:01作者周峻佑https://www.ithome.com.tw/news/166972
Fortinet防火牆傳出遭到零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月10日Arctic Wolf提出警告，他們察覺<a href="https://arcticwolf.com/resources/blog/console-chaos-targets-fortinet-fortigate-firewalls/">專門針對Fortinet防火牆設備FortiGate的攻擊行動Console Chaos</a>，攻擊者鎖定能公開存取的管理介面下手，過程中很有可能利用零時差漏洞來進行，呼籲企業組織要儘速關閉能公開存取防火牆管理介面的管道來因應。究竟這起事故是否是零時差漏洞攻擊？我們昨天下午透過公關公司與Fortinet確認，但截至目前為止尚未得到回應。不過，根據資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-auth-bypass-zero-day-exploited-to-hijack-firewalls/">Bleeping Computer</a>、<a href="https://thehackernews.com/2025/01/zero-day-vulnerability-suspected-in.html">The Hacker News</a>、<a href="https://www.darkreading.com/threat-intelligence/zero-day-security-bug-fortinet-firewall-attacks">Dark Reading</a>、<a href="https://securityaffairs.com/173050/hacking/attackers-target-zero-day-in-fortinet-fortigate-firewalls.html">SecurityAffairs</a>的報導，攻擊者在上述事故利用的零時差漏洞，就是資安業者Fortinet在14日資安公告揭露的重大層級漏洞<a href="https://fortiguard.fortinet.com/psirt/FG-IR-24-535">身分驗證繞過漏洞CVE-2024-55591</a>。</p> <p>1月14日Fortinet針對CVE-2024-55591發布資安公告，指出這項弱點出現在Node.js的Websocket模組，一旦攻擊者對該模組發送偽造的請求，就有機會得到超級管理員權限，CVSS風險達到9.6分（滿分10分），影響執行7.0.0至7.0.16版FortiOS作業系統的防火牆設備，以及7.0.0至7.2.12版上網安全閘道FortiProxy系統，該公司已發布7.0.17版FortiOS，以及7.0.20與7.2.13版FortiProxy修補。該公司在公告裡指出，此漏洞已被用於實際攻擊行動，但除此之外並未進一步說明細節，也沒有提及通報者的身分，因此光從公告的內容，無從得知是否與Arctic Wolf揭露的事故有關。</p> <p>針對這起事故發現的過程，Arctic Wolf研究人員Andres Ramos<a href="https://arcticwolf.com/resources/blog/arctic-wolf-observes-targeting-of-publicly-exposed-fortinet-firewall-management-interfaces/">曾在12月17日透露</a>，他們在12月上旬察覺攻擊行動，但當時尚未完全確定影響範圍。如今Stefan Hostetler、Julian Tuin、Trevor Daher、Jon Grimm、Alyssa Newbury、Joe Wedderspoon、Markus Neis等研究人員揭露相關細節，指出攻擊者存取FortiGate的管理介面，從而竄改防火牆的組態配置，並利用DCSync挖掘帳密資料。</p> <p>究竟攻擊者如何發動攻擊？研究人員表示他們無法確定，但根據受害組織及受影響的防火牆韌體等資訊，攻擊者很有可能大規模運用零時差漏洞來進行。</p> <p>這波大規模攻擊大致區分成4個階段，分別是漏洞掃描、偵察、竄改SSL VPN組態，以及橫向移動。攻擊者從11月16日至23日進行漏洞掃描，隨後於22日至27日從事偵察工作。</p> <p>接著，他們在12月4日至7日竄改SSL VPN組態，然後在一週後於16至27日於受害組織內部橫向移動。</p> <p>研究人員提及，這些事故的共通點，在於攻擊者來自一組不尋常的IP位址，並透過jsconsole介面發動攻擊，他們針對執行7.0.14至7.0.16版FortiOS作業系統的防火牆下手。有鑑於攻擊事故所運用的基礎設施及工具出現細微差異，Arctic Wolf研判有多組人馬從事這波攻擊。</p> </div></div></div>
2025/1/15 14:32作者周峻佑https://www.ithome.com.tw/news/166969
OpenAI測試ChatGPT Tasks 化身AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正在<a href="https://help.openai.com/en/articles/10291617-scheduled-tasks-in-chatgpt" target="_blank">測試</a>ChatGPT名為Tasks的功能，將讓聊天機器人ChatGPT化身任務自動化的AI代理人。</p> <p>OpenAI描述，Tasks可讓用戶在ChatGPT自動化執行排程任務。這項功能目前已以beta版開放給Plus、Team和Pro方案用戶測試，計畫正式上市時開放給更多人使用。</p> <p>Tasks功能旨在讓ChatGPT設定自動執行的任務。現在在Beta中，用戶已可測試以ChatGPT提示，讓它自我排程並於之後自動執行，例如讓ChatGPT每天下午匯整AI新聞簡報、每天和用戶練習法文、提示母親3月13日生日。在Beta版本，Tasks in ChatGPT不支援語音對話、檔案上傳，也不適用於客製化的GPTs。</p> <p>目前ChatGPT Web、iOS、Android版可測試使用Tasks，第一季稍後可於Windows App支援。</p> <p>用戶可設定任何時間、一次性或是重覆執行的任務，且不論用戶是否在線上ChatGPT都會執行任務。完成後它也會傳送通知或電子郵件給用戶。</p> <p>用戶可以在設定中的<a href="https://chatgpt.com/tasks" target="_blank">Tasks Page頁</a>設定及編輯所有任務，並在<a href="http://chatgpt.com/#settings/Notifications" target="_blank">通知頁</a>啟動或關閉通知。不過這二項功能目前只在Web版ChatGPT支援，要再一陣子才會推向應用程式版本。</p> <p>必須注意的是，Tasks功能使用的是GPT-4o模型，因此ChatGPT方案的使用限制也會套用在Task上。此外，ChatGPT只能設定10項任務，超出者用戶必須暫停或刪除現有任務，或是現有一次性任務結束。</p> </div></div></div>
2025/1/15 14:38作者林妍溱https://www.ithome.com.tw/news/166970
微軟發布1月例行更新，修補8項零時差漏洞，其中3項Hyper-V漏洞已被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月14日微軟發布本月份例行更新，<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jan">總共修補了159個漏洞</a>，數量相較於<a href="https://www.ithome.com.tw/news/166452">上個月的72個</a>多出一倍，也是繼<a href="https://www.ithome.com.tw/news/162223">去年4月修補147個漏洞</a>之後，公布更多漏洞數量的一次。這些漏洞有40個涉及權限提升、14個涉及安全功能繞過、58個可被用於遠端執行任意程式碼（RCE）、24個資訊洩漏漏洞、20個阻斷服務（DoS）漏洞，以及5個能用於欺騙的漏洞。從漏洞的危險程度來看，有11個被列為重大層級，其餘148個評為高風險層級。</p> <p>值得留意的是，這次的零時差漏洞多達8個，僅次於<a href="https://www.ithome.com.tw/news/164472">去年8月的10個</a>。</p> <p>在微軟公布的漏洞當中，有3個<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21333">CVE-2025-21333</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21334">CVE-2025-21334</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21335">CVE-2025-21335</a>已被用於實際攻擊，這些皆為權限提升漏洞，存在Windows Hyper-V NT Kernel Integration VSP的元件當中，CVSS風險評為7.8分。它們之間的差別在於弱點的類型，CVE-2025-21333是記憶體緩衝區溢位，CVE-2025-21334、CVE-2025-21335則是記憶體釋放後再存取使用（Use After Free）。</p> <p>值得留意的是，微軟僅提及一旦攻擊者成功利用這些漏洞，就有機會得到SYSTEM權限，此外並未進一步說明。<a href="https://www.zerodayinitiative.com/blog/2025/1/14/the-january-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）專家Dustin Childs根據微軟的說法進行推測</a>，攻擊者若是藉此從VM端搭配SYSTEM權限於hypervisor層級執行程式碼，這項漏洞有可能變得更加危險；<a href="https://www.rapid7.com/blog/post/2025/01/14/patch-tuesday-january-2025/">資安業者Rapid7資深軟體工程師Adam Barnett指出</a>，這是微軟首度揭露Hyper-V NT核心整合的虛擬化服務供應者（VSP）元件存在漏洞，他認為接下來會有專精容器逃逸領域的人士對此進行研究，並挖掘相關弱點。</p> <p>其餘5項被公開的零時差漏洞分別是：Access遠端程式碼執行漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21186">CVE-2025-21186</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21366">CVE-2025-21366</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21395">CVE-2025-21395</a>，以及<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21275">Windows應用程式套件安裝工具權限提升漏洞CVE-2025-21275</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21308">Windows佈景主題欺騙漏洞CVE-2025-21308</a>，CVSS風險評分介於6.5至7.8。</p> </div></div></div>
2025/1/15 12:17作者周峻佑https://www.ithome.com.tw/news/166966
Meta、微軟擴大組織汰舊換新，裁減績效不佳員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博<a href="https://www.bloomberg.com/news/articles/2025-01-14/meta-is-planning-to-cut-5-of-lowest-performers-memo-shows" target="_blank">報導</a>，Meta將擴大組織新陳代謝，裁減績效最後5%的員工。微軟也將展開類似的裁員。</p> <p>媒體取得Meta執行長祖克柏（Mark Zuckerberg）發出的內部備忘錄報導，他將強化績效管理，更快汰除績效不彰者。他說，過去Meta向來會汰除過去一年無法符合期望的員工，但現在公司將根據績效，進行更廣泛的人員裁減。</p> <p>此外，微軟向<a href="https://www.cnbc.com/2025/01/08/microsoft-confirms-performance-based-job-cuts-across-departments.html" target="_blank">CNBC</a>證實，公司將裁減績效不佳的員工。微軟說致力於協同員工學習成長，當員工表現不佳，公司會採取適當行動。</p> <p>報導引述消息人士指出，微軟這波裁員約占公司員工總數不到1%，約2,000人</p> <p>Techcrunch<a href="https://techcrunch.com/2025/01/14/meta-to-cut-roughly-5-of-its-workforce-based-on-performance/" target="_blank">報導</a>經過2023年和<a href="https://www.ithome.com.tw/news/165586" target="_blank">去年</a>裁員後，截至去年9月底，Meta全球員工為7.2萬人。因此5%裁減行動，意謂可能影響3,600個職位。</p> <p>受到AI開發高沈重投資的負擔，科技巨擘相繼裁員撙節成本。Google去年數波裁員涵括廣告、Assistant、<a href="https://www.ithome.com.tw/news/162586" target="_blank">開發工具</a>以及Pixel、Nest和Fitbit等硬體部門。執行長Sundar Pichai<a href="https://nypost.com/2024/12/20/business/google-ceo-sundar-pichai-says-company-slashed-manager-roles-by-10/" target="_blank">去年說</a>該公司已裁減10%經理職位，以提升內部作業效率。</p> </div></div></div>
2025/1/15 13:05作者林妍溱https://www.ithome.com.tw/news/166967
英特爾計畫分拆投資部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾周二<a href="https://www.businesswire.com/news/home/20250114487691/en/Intel-Capital-to-Become-Standalone-Investment-Fund" target="_blank">宣布</a>最新公司瘦身計畫，分拆全球創投部門Intel Capital為獨立公司。</p> <p>分拆Intel Capital從英特爾的核心業務分離出來，讓它可以像一般創投公司運作，自主決定投資策略，不受母公司的整體業務方向限制。英特爾臨時共同執行長暨財務長David Zinsner指出，成為獨立運作的基金後，Intel Capital將能引入外部的投資者，擴大資金來源，進一步提升其投資能力和規模，提升雙方利益。</p> <p>創立於1991年的Intel Capital，作為英特爾的創投部門，管理資產超過50億美元。30多年來Intel Capital投資過1,800多家企業，並投入了200多億資金。英特爾聲稱Intel Capital過去10年來創造的市值超過1,700億美元。</p> <p>Intel Capital分拆行動預計在2025年下半展開，期間業務運作如常。分拆完成後將改成新公司名，而現有Intel Capital團隊也會轉移到新公司。英特爾將成為新公司的錨定投資人（anchor investor）。</p> <p>這也是英特爾在歷經去年執行長Pat Gelsinger下臺、業務虧損下，最新的公司瘦身計畫。這家晶片大廠去年秋天<a href="https://www.ithome.com.tw/news/165051" target="_blank">分拆</a>了晶圓製造廠Intel Foundry，2022年則分拆並<a href="https://www.ithome.com.tw/news/149751" target="_blank">IPO</a>車用元件部門MobileEye。</p> </div></div></div>
2025/1/15 11:35作者林妍溱https://www.ithome.com.tw/news/166965
Android Studio Ladybug功能更新，強化AI輔助與Wear OS開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新穩定版本的<a href="https://android-developers.googleblog.com/2025/01/android-studio-ladybug-feature-drop-is-stable.html">Android Studio Ladybug（2024.2.2）的重大功能更</a>新，這次更新在原有功能基礎上，進一步強化內建的人工智慧助手Gemini，加入了智慧轉換、智慧命名、文件生成等功能，並新增多項開發者工具改進，助開發者快速完成應用程式開發任務。</p> <p>Android Studio在之前版本整合Gemini之後，具備了程式碼生成與優化功能。而在最新的Ladybug版本中，Gemini功能進一步擴充，例如智慧轉換功能可以根據開發者的描述，生成程式碼變更建議，簡化複雜邏輯或對程式碼最佳化。此外，智慧命名功能不僅支援單一變數、類別或方法的命名建議，也能對整個檔案進行命名分析，提供更具語意和直覺的名稱建議，進一步提升程式碼的可讀性與維護性。</p> <p>除了人工智慧功能強化外，Android Studio Ladybug還針對Wear OS開發提供了更多工具支援，包括動畫預覽功能和Wear Health Services模擬器。動畫預覽讓開發者能夠即時檢視Wear OS Tiles的動畫效果，並動態調整動畫參數；而Wear Health Services模擬器則簡化了健康與健身應用的測試流程，讓開發者能以模擬參數直接測試心率、距離等功能，而不再需要實體裝置。</p> <p>本次更新的另一亮點還有App Links助手，該工具能自動生成和檢查深層連結設定所需的JSON檔案，協助開發者快速修復連結問題，並簡化整體設定流程。同時，Android Studio現在也整合了 Google Play SDK Index，提供Google Play政策遵循和安全性警告，助開發者更新過時或不符合規定的SDK，確保應用程式的穩定性與安全性。</p> <p>Google在本次更新中修復超過770個已知問題，並導入IntelliJ 2024.2平臺，提供Java與Kotlin更直覺的程式碼完成建議及日誌管理功能。</p> </div></div></div>
2025/1/15 08:00作者李建興https://www.ithome.com.tw/news/166953
Rust 1.84升級Cargo相容性，強化Trait Solver與指標安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust開發團隊<a href="https://blog.rust-lang.org/2025/01/09/Rust-1.84.0.html">發布</a>了最新穩定版本1.84，更新重點包括強化Cargo工具鏈的相容性管理、導入新一代Trait Solver，以及提升指標操作的安全性。此次改進聚焦於開發流程優化、型別系統可靠性提升及低階操作安全性，提供開發者多項實用功能與更完善的開發體驗。</p> <p>Cargo的相依版本選擇機制引入了最低支援Rust版本（Minimum Supported Rust Version，MSRV）感知解析器。該功能可自動篩選出與專案宣告的Rust版本相容的相依版本，解決過去需要手動調整相依版本以支援舊工具鏈的問題。</p> <p>啟用MSRV感知解析器後，專案在使用cargo add或執行相依更新時，系統會自動避開需要更高Rust版本的相依套件，減輕開發者維護多版本工具鏈負擔。MSRV感知解析器將成為即將穩定的2024 Edition預設功能。</p> <p>Rust 1.84編譯器開始搬遷至新一代的Trait Solver，以改善型別系統的正確性與靈活性。Trait Solver是Rust處理型別推理與Trait實作相容性檢查的核心元件。本次更新修正了舊版本存在的數個正確性相關問題，並提升了系統判斷Trait實作是否相容的能力，部分過去被視為衝突的實作模式，在新版本中都已獲得支援。</p> <p>Rust 1.84進一步推進指標（Pointer）操作的安全性，向低階開發者提供新的Pointer Provenance API。Rust一直以來以其嚴格的型別與記憶體安全聞名，而指標的操作安全性是其核心挑戰之一，在低階程式開發中，指標與整數的互轉是一種常見行為，但也可能導致潛在的未定義行為。</p> <p>這套API目的在於取代傳統的指標與整數互轉操作，解決指標衍生過程中的不確定性問題，特別是在利用指標最低位元儲存額外資訊的場景。透過此功能，程式邏輯不僅更容易被分析與驗證，也能更好地支援像CHERI等重視指標安全的新興硬體架構。</p> </div></div></div>
2025/1/15 08:00作者李建興https://www.ithome.com.tw/news/166957
知名遊戲《流亡黯道2》管理帳號被駭，玩家資產損失無法追回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣受玩家期待的《流亡黯道2》（Path of Exile 2，PoE 2）近期在搶先體驗階段爆發嚴重的資安事件。開發商GGG（Grinding Gear Games）確認，其管理者帳號遭駭客攻破，導致至少66個玩家帳號被未經授權存取，玩家損失高價值的遊戲資產與貨幣，引發社群熱烈討論。</p> <p>PoE 2遊戲總監Jonathan Rogers在接受Youtube頻道GhazzyTV採訪時<a href="https://youtu.be/WjxzTAcJqAM?si=I5oPCsSpcNVLBeyo&t=2035">坦承</a>，事件發生後才補充的安全措施本應該早就到位，並表示他們完全搞砸了。</p> <p>根據Jonathan Rogers解釋，駭客透過取得與管理者帳號相連的舊Steam帳號，成功修改玩家帳號密碼並繞過雙因素驗證（2FA），進而登入玩家帳號竊取遊戲內資產。具體來說。該管理者帳號與一個舊有的Steam帳號相關聯，駭客透過社交工程攻擊，利用部分已知的個人資訊，成功說服Steam支援團隊重設帳號憑證，進而掌握該Steam帳號的控制權。隨後，駭客藉此取得PoE 2的管理系統存取權，進一步竄改玩家帳號密碼並盜取遊戲資產。</p> <p>受害玩家反映，他們在重新取得帳號控制權後發現遊戲內稀有資產已被清空且無法追回。而且由於系統設計上的漏洞，這些密碼修改操作並未被正確記錄於不可更改的稽核日誌，而是被標記為可刪除的註解，使駭客能輕易抹除其行為，給事後調查帶來極大挑戰。</p> <p>Jonathan Rogers承認後端安全措施的不足，並宣布了一系列改進，包括取消Steam帳號與管理者帳號的連結，以及加強系統日誌的記錄完整性。儘管如此，開發團隊坦言由於資訊不足無法恢復受害玩家的損失物品，這一點引發了玩家社群的不滿。</p> <p>在<a href="https://www.pathofexile.com/forum/view-thread/3667200/page/1">論壇</a>上，許多受害者批評GGG的應對措施，呼籲公司進一步提升帳號安全防護和內部管理流程，避免類似事件再次發生。儘管有不少負面聲音，但也有部分玩家對GGG透明化處理此事的態度表示肯定，認為他們願意承認錯誤並主動採取行動是值得支持的一步。</p> </div></div></div>
2025/1/15 08:00作者李建興https://www.ithome.com.tw/news/166964
三星手機音訊解碼器存在漏洞，攻擊者有機會藉由Google簡訊服務觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Google Project Zero團隊揭露三星手機的記憶體越界寫入（OBW）高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-49415">CVE-2024-49415</a>，此漏洞存在於Monkey's Audio（APE）音訊解碼器元件libsaped.so，影響執行Android 12至14版作業系統的三星手機，三星於9月接獲通報，並<a href="https://security.samsungmobile.com/securityUpdate.smsb?year=2024&month=12">在12月發布SMR Dec-2024 Release 1更新修補</a>。</p> <p>值得留意的是，雖然這項漏洞的CVSS風險評分為8.1，三星卻將其列為重大層級，這項決定可能與該漏洞無須透過使用者互動就能觸發有關。</p> <p>Project Zero為何會找到這項弱點？<a href="https://project-zero.issues.chromium.org/issues/368695689">他們起初是在S24手機發現相關問題</a>，並強調在Google Messages配置為預設豐富通訊服務（RCS）應用程式的手機上，此漏洞可用來發動零點擊攻擊（0-click），攻擊者能夠遠端利用。由於Google Messages是S24預設的RCS應用程式，這代表大部分用戶都必須套用更新程式，否則就有可能曝險。</p> <p>為了確認這項漏洞是否也影響三星其他手機，Project Zero也在S23、S24手機進行驗證，結果確認這些裝置都曝露在相同的風險之中，攻擊者藉由Google Messages可發送特製的聲音檔案，導致解碼器元件libsaped.so當機，而有機會遠端執行任意程式碼。</p> </div></div></div>
2025/1/14 17:24作者周峻佑https://www.ithome.com.tw/news/166955
【資安日報】1月14日，Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti公布SSL VPN系統Connect Secure重大層級的漏洞CVE-2025-0282，並透露已出現攻擊行動的情況，協助調查的資安業者Mandiant表示攻擊者利用該漏洞長達半個月，但究竟有多少駭客加入利用漏洞的行列？有待進一步的調查。</p> <p>值得留意的是，企業組織應儘速套用修補程式，截至12日，臺灣尚有近80臺伺服器尚未修補，數量僅次於美國和西班牙。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166944"><strong style="font-size: 22px;">Ivanti旗下SSL VPN系統Connect Secure存在零時差漏洞，臺灣曝險數量全球第三</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" style="width: 300px; float: right;" /></a></p> <p>1月8日資安業者Ivanti發布資安公告，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282、CVE-2025-0283，當時該公司透露，他們已經掌握有部分Connect Secure系統遭到CVE-2025-0282攻擊的情況。</p> <p>協助調查的資安業者Mandiant指出，他們確認CVE-2025-0282在12月中旬就有人當做零時差漏洞用於實際攻擊，其中一組人馬的身分是與UNC5221有關的中國駭客組織UNC5337，究竟有多少駭客鎖定這項漏洞下手，他們也尚未取得足夠的資料而不能確定。</p> <p>目前有多少臺Connect Secure系統曝險？根據Shadowserver基金會的掃描，12日約有800臺未修補漏洞。但值得留意的是，此時臺灣仍有79臺尚未修補，數量為全球第三，僅次於美國和西班牙的192、113臺。</p> <p><a href="https://www.ithome.com.tw/news/166952"><strong style="font-size: 22px;">電子賀卡網站GroupGreeting遭遇zqxq攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_249e18.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_249e18.png" style="width: 300px; float: right;" /></a></p> <p>隨著新的一年到來，許多企業組織都會透過電子賀卡表達祝福，但也有攻擊者伺機而動，利用相關平臺散布惡意程式。</p> <p>資安業者Malwarebytes揭露名為Zqxq的攻擊行動，駭客針對電子賀卡網站GroupGreeting下手，散布ndsw及ndsx型態的惡意軟體，根據調查，GroupGreeting約有超過2,800個網站受到類似的惡意程式碼攻擊，隨著聖誕節及新年的使用量增加，使得攻擊者有機可乘，能暗中在網頁注入惡意程式，使得想要接受祝福的使用者成為目標。GroupGreeting接獲通報後，已著手處理。</p> <p>研究人員指出，攻擊者在受害網站注入經混淆處理的JavaScript程式碼，並與網站的正常檔案混在一起，為了迴避偵測，攻擊者加入額外的變數（其中一個是zqxq），以及自訂功能。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-domain-registry-nominet-confirms-breach-via-ivanti-zero-day-vulnerability/">英國網域名稱註冊機構Nominet傳出遭到Ivanti零時差漏洞攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-aviatrix-controller-rce-flaw-in-attacks/">Aviatrix Controller重大層級RCE漏洞被用於攻擊行動，駭客用於部署後門及挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-abuses-amazon-aws-feature-to-encrypt-s3-buckets/">勒索軟體駭客濫用AWS提供的功能，將S3儲存桶加密</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166951"><strong style="font-size: 22px;">微軟通報macOS系統完整性保護元件漏洞，攻擊者可乘機植入核心層級惡意驅動程式</strong></a></p> <p>去年12月蘋果發布macOS Sequoia 15.2，當中修補存在StorageKit元件的漏洞CVE-2024-44243，在改版公告裡面，蘋果僅簡略提到攻擊者有機會用其竄改受到保護的檔案系統元件，以及這是由微軟通報的問題，相關細節最近被公開。</p> <p>微軟威脅情報中心指出，蘋果在macOS作業系統內建的系統完整性保護（System Integrity Protection，SIP）機制，會因為這個漏洞而被繞過，攻擊者可藉由載入第三方的核心延伸套件來觸發，CVSS風險為5.5。</p> <p>雖然CVE-2024-44243危險程度僅被評為中等，但研究人員指出，由於SIP的功能是限制可能破壞系統完整性的行為，一旦被繞過，影響將有可能非常嚴重，例如：攻擊者植入rootkit的成功率增加，或是利用惡意軟體持續於在受害電腦活動，甚至能繞過該作業系統另一項防護機制Transparency, Consent, and Control（TCC）。</p> <p><a href="https://www.ithome.com.tw/news/166955"><strong style="font-size: 22px;">三星手機音訊解碼器存在漏洞，攻擊者有機會藉由Google簡訊服務觸發</strong></a></p> <p>近期Google Project Zero團隊揭露三星手機的記憶體越界寫入（OBW）高風險漏洞CVE-2024-49415，此漏洞存在於Monkey's Audio（APE）音訊解碼器元件libsaped.so，影響執行Android 12至14版作業系統的三星手機，三星於9月接獲通報，並在12月發布SMR Dec-2024 Release 1更新修補。</p> <p>值得留意的是，雖然這項漏洞的CVSS風險評分為8.1，但三星將其列為重大層級，這項危險層級的認定，很有可能與這項漏洞無須使用者互動就能觸發有關。</p> <p>針對漏洞的發現，Project Zero指出，他們起初是在S24手機上找到這項弱點，並強調在Google Messages配置為預設豐富通訊服務（RCS）應用程式的手機上，此漏洞可用來發動零點擊攻擊（0-click），攻擊者能夠遠端利用。由於Google Messages是S24預設的RCS應用程式，這代表大部分用戶若不套用更新程式，就有可能曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-22777-cvss-9-8-critical-security-alert-for-givewp-plugin-with-100000-active-installations/">供用戶贊助經營者的WordPress外掛程式GiveWP存在重大漏洞，若不處理攻擊者有機會接管網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-12847-cvss-9-8-netgear-router-flaw-exploited-in-the-wild-for-years-poc-published/">Netgear路由器存在重大漏洞，未經授權的攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166916"><strong style="font-size: 22px;">強化MDR戰力，防火牆業者WatchGuard買下資安新創ActZero</strong></a></p> <p></p> <p>防火牆業者WatchGuard宣布已併購AI資安新創ActZero，以補強代管偵測與回應（MDR）產品線，並朝向代管服務供應商（managed service provider，MSP）發展。</p> <p>代管偵測回應（MDR）方案能持續監控企業多種IT環境（如雲端、本地、端點、身份）以因應入侵活動及隱蔽的惡意軟體。ActZero以結合AI及安全專家提供MSP、安全監控服務中心（SOC）聞名。其機器學習可協助自動化分析，減少誤判及噪音（noise），而其開放架構也可整合多種端點安全技術，除了WatchGuard方案、代管Firebox防火牆外，也能整合Microsoft Defender等第三方服務。</p> <p>雙方已在2024年12月達成協議，在合併後，ActZero的SOC、員工及流程未來將主導WatchGuard MDR服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166934"><strong>【1月13日】研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166913"><strong>【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166890"><strong>【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</strong></a></p> </div></div></div>
2025/1/14 17:34作者周峻佑https://www.ithome.com.tw/news/166956
電子賀卡網站GroupGreeting遭遇zqxq攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著新的一年到來，許多企業組織都會透過電子賀卡表達祝福，但也有攻擊者伺機而動，利用相關平臺散布惡意程式。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2025/01/groupgreeting-e-card-site-attacked-inzqxq-campaign">名為Zqxq的攻擊行動</a>，駭客針對電子賀卡網站GroupGreeting下手，散布ndsw及ndsx型態的惡意軟體，根據調查，GroupGreeting約有超過2,800個網站受到類似的惡意程式碼攻擊，隨著聖誕節及新年的使用量增加，使得攻擊者有機可乘，能暗中在網頁注入惡意程式，使得想要接受祝福的使用者成為目標。GroupGreeting接獲通報後，已著手處理。</p> <p>研究人員指出，攻擊者在受害網站注入經混淆處理的JavaScript程式碼，並與網站的正常檔案混在一起，為了迴避偵測，攻擊者加入額外的變數（其中一個是zqxq），以及自訂功能。</p> <p>針對這波攻擊，攻擊者也運用過往大規模JavaScript注入事故的典型手法，像是利用Token和重新導向手法來掩蓋惡意連結，或是透過特定屬性來確認受害者是否曾經存取，避免相同電腦重覆感染，減少被發現的機會，再者，攻擊者也利用XMLHttpRequest（XHR）物件暗中存取其他指令碼，或將受害者重新導向，從而利用工具包、惡意網站。</p> <p>針對這波攻擊的手法，Malwarebytes認為與名為<a href="https://www.ithome.com.tw/news/150343">Parrot的惡意流量導向系統（Traffic Direction System，TDS）</a>存在共同之處，都使用經過混淆處理的重新導向指令碼、流量重新導向的行為，並大規模感染網站。</p> </div></div></div>
2025/1/14 16:33作者周峻佑https://www.ithome.com.tw/news/166952
微軟通報macOS系統完整性保護元件漏洞，攻擊者可乘機植入核心層級惡意驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月蘋果發布<a href="https://support.apple.com/en-us/121839">macOS Sequoia 15.2</a>，當中修補存在StorageKit元件的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-44243">CVE-2024-44243</a>，在改版公告裡面，蘋果僅簡略提到攻擊者有機會用其竄改受到保護的檔案系統元件，以及這是由微軟通報的問題，相關細節最近被公開。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2025/01/13/analyzing-cve-2024-44243-a-macos-system-integrity-protection-bypass-through-kernel-extensions/">微軟威脅情報中心指出</a>，蘋果在macOS作業系統內建的系統完整性保護（System Integrity Protection，SIP）機制，會因為這個漏洞而被繞過，攻擊者可藉由載入第三方的核心延伸套件來觸發，CVSS風險為5.5。</p> <p>雖然CVE-2024-44243危險程度僅被評為中等，但研究人員指出，由於SIP的功能是限制可能破壞系統完整性的行為，一旦被繞過，影響將有可能非常嚴重，例如：攻擊者植入rootkit的成功率增加，或是利用惡意軟體持續於在受害電腦活動，甚至能繞過該作業系統另一項防護機制Transparency, Consent, and Control（TCC）。</p> <p>這項漏洞之所以浮上檯面，源自微軟研究名為storagekitd的處理程序時的發現，storagekitd本身是Storage Kit框架用來掌管磁碟狀態的元件。Storage Kit本身就具備多種能繞過SIP的功能，因此，微軟決定針對storagekitd子處理程序進行調查，他們試著利用磁碟公用程式diskutil觸發漏洞並繞過SIP，也覆寫蘋果核心延伸元件的排除名單，藉此證明漏洞的危險性。</p> <p>研究人員強調，並非這類磁碟工具存在共通的弱點，問題的癥結在於storagekitd能在未通過適當驗證或是取得權限的情況下，呼叫任意處理程序。</p> </div></div></div>
2025/1/14 15:08作者周峻佑https://www.ithome.com.tw/news/166951
OpenAI點名中國為民主AI頭號勁敵，敦促美政府加強基礎設施投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表<a href="https://cdn.openai.com/global-affairs/ai-in-america-oai-economic-blueprint-20250113.pdf">經濟藍圖政策文件</a>，向美國政府提出多項政策建議，主張美國政府應加速投入人工智慧基礎設施，包括晶片製造、資料中心建設及能源網路升級，以應對全球人工智慧競爭。同時，OpenAI呼籲美國政府應制定統一的國家規範，並確保技術發展的公平性與廣泛效益，以應對全球人工智慧競賽。</p> <p>這份藍圖的核心強調美國必須鞏固在人工智慧領域的領導地位，並將此視為攸關國家競爭力與安全的重要戰略。OpenAI認為，美國應積極擁抱人工智慧技術，透過公私部門的緊密合作，共同推動產業發展。OpenAI以歷史上的汽車產業發展為例，指出過度監管可能扼殺新興產業的潛力，因此提倡在保障安全與公平的前提下，以明確的規範來引導人工智慧產業健全發展。</p> <p>OpenAI在經濟藍圖中，建議美國政府加大對人工智慧基礎設施的投資，包含晶片製造、資料中心與能源供應等，以奠定產業發展的基礎。此外，他們也呼籲制定全國性的人工智慧規範，取代現行分散的州級政策，避免削弱美國的技術競爭力，並確保人工智慧技術的應用符合美國的民主價值觀。同時，經濟藍圖也強調人工智慧教育與人才培養的重要性，讓人工智慧的利益能夠惠及美國社會各階層。</p> <p>OpenAI預估全球目前約有1,750億美元的資金待投入人工智慧相關專案，美國應透過政策吸引這些資金，防止其流向如中國等競爭對手。OpenAI執行長Sam Altman強調，人工智慧進步不僅與經濟利益有關，也涉及民主價值的保護。</p> <p>為應對國際競爭壓力，OpenAI建議美國加強與盟友的合作，共同建構人工智慧生態系。文件中特別點名中國是美國在人工智慧技術領域的重要競爭對手。因此，OpenAI建議政府採取相應政策，協助盟國推動技術創新，同時對技術輸出進行審慎管控，確保人工智慧技術的安全性與公平性。Sam Altman指出，政府的角色不僅在於推動技術進步，還需確保技術公平分配，避免資源集中於少數企業或國家。</p> <p>除了推動國際合作，OpenAI也正視人工智慧技術可能帶來的社會與安全風險，例如對就業市場產生的衝擊，部分產業可能面臨大規模的人力需求減少。此外，資料隱私保護和人工智慧技術在軍事與情報領域的應用，同樣是政府需謹慎面對的挑戰。OpenAI呼籲美國政府與產業界共同努力，透過政策引導與技術創新，最大程度降低這些風險，確保人工智慧的發展能夠真正造福社會。</p> <p>OpenAI計畫於1月底在華盛頓舉行「美國創新」活動，向政策制定者與公眾進一步說明藍圖中的建議。</p> </div></div></div>
2025/1/14 15:35作者李建興https://www.ithome.com.tw/news/166950
提供1,920顆CPU與32T記憶體，AWS推二代巨量記憶體執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_u7i-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對需要配置較多記憶體容量的應用系統建置與執行需求，全球三大公有雲業者都提供記憶體最佳化的運算服務，單就這類型的虛擬機器／執行個體而言，記憶體容量最大可配置到何種程度，以便因應超大型記憶體內資料庫系統的工作負載？</p> <p>以微軟Azure為例，<a href="https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/memory-optimized/mdsv3-very-high-memory-series">Mv3系列</a>提供1,792顆vCPU與30,400 GiB記憶體的虛擬機器，<a href="https://techcommunity.microsoft.com/blog/sapapplications/m-series-announcements-%E2%80%93-ga-of-mv3-high-memory-and-details-on-mv3-very-high-memo/4235719">在去年9月正式推出</a>，採用英特爾第四代Xeon Scalable處理器（Xeon Platinum 8490H）；若是<a href="https://cloud.google.com/compute/docs/memory-optimized-machines">Google Cloud，X4系列</a>提供1,920顆vCPU與32,768 GiB記憶體的虛擬機器，是在<a href="https://cloud.google.com/blog/products/compute/compute-engine-c3-bare-metal-and-x4-machine-types-now-ga">去年8月</a>正式推出，採用英特爾第四代Xeon Scalable處理器（Xeon Platinum 8490H）；對於AWS而言，EC2的U7i系列提供896顆vCPU與32,768 GiB記憶體的虛擬機器，在<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases/">去年5月正式推出</a>，同年12月增設U7inh組態（u7inh-32tb.480xlarge），提供1,920顆vCPU與32,768 GiB記憶體的裸機系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-protfolio-2024-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-protfolio-2024-12-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Intel-protfolio-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Intel-protfolio-2024-12.jpg" style="width: 600px;" /></a></p> <p>回顧過去，AWS先前針對大型記憶體內資料庫系統提供的雲端執行個體，最早是2016年5月發表的<a href="https://press.aboutamazon.com/2016/5/amazon-web-services-announces-availability-of-x1-instances-for-amazon-ec2">EC2 X1系列</a>，搭配Haswell架構的Xeon E7 8880 v3處理器，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2016/05/now-available-x1-instances-the-largest-amazon-ec2-memory-optimized-instance-with-2-tb-of-memory/">記憶體容量提供1,952 GiB</a>，隔年推出配備3,904 GiB記憶體的執行個體選擇；接著是2018年9月發表的<a href="https://press.aboutamazon.com/2018/9/aws-announces-new-amazon-ec2-high-memory-instances-for-large-in-memory-databases">EC2 U1系列</a>，搭配Skylake架構的Xeon Scalable處理器Xeon Platinum 8176M，<a href="https://www.businesswire.com/news/home/20180927005961/en/AWS-Announces-New-Amazon-EC2-High-Memory-Instances-for-Large-In-Memory-Databases">執行個體可配備12 TB記憶體</a>，隔年10月U1<a href="https://aws.amazon.com/tw/about-aws/whats-new/2019/10/now-available-amazon-ec2-high-memory-instances-purpose-built-run-large-in-memory-databases/">執行個體可配備24 TB記憶體</a>，搭配Cascade Lake架構的Xeon Scalable處理器Xeon Platinum 8280L。</p> <p>接下來，則是2023年11月底發表的EC2 U7i系列，可支援多種大型記憶體內資料庫系統，像是SAP HANA、Oracle、SQL Server的部署，AWS此時宣布開放U7i系列的預覽測試，提供記憶體容量分別為16 TiB、24 TiB、32 TiB的執行個體，也就是u7in-16tb.224xlarge、u7in-24tb.224xlarge、u7in-32tb.224xlarge，而且正在發展12 TiB的執行個體u7i-12tb.224xlarge，這些虛擬機器都採用英特爾第四代Xeon Scalable處理器（代號Sapphire Rapids）的專屬訂製款式，每一臺均搭配896顆vCPU。</p> <p>關於效能表現的增長，<a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases-preview/">根據AWS當時的預告</a>，比起第一代記憶體最佳化執行個體U-1系列，U7i系列處理器運算效能可提升25％，記憶體效能提升20％，存取雲端區塊儲存服務的網路頻寬大多都提升至2.5倍（25 Gbps vs. 100 Gbps，u7i-12tb.224xlarge的EBS頻寬為60 Gbps）。</p> <p>隔年5月AWS宣告U7i系列正式上線，提供4個執行個體組態，比起U1系列，運算效能提升幅度上修為35％，記憶體效能提升幅度改為15％，<a href="https://aws.amazon.com/about-aws/whats-new/2024/05/amazon-ec2-high-memory-u7i-instances/?nc1=h_ls">性價比增加45％</a>，EBS存取頻寬的增長大多與先前預告一致，執行個體重新啟動速度則為U1系列的2.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/U7i-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/U7i-2024-12.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-2.jpg" style="width: 600px;" /></a></p> <p>而在網路規格的部分，去年11月預告U7i系列提供100 Gbps的頻寬，等到5月正式上線之後，u7in-16tb.224xlarge、u7in-24tb.224xlarge、u7in-32tb.224xlarge的網路頻寬，均提高至200 Gbps，u7i-12tb.224xlarge維持100 Gbps。關於網路配接卡，<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-high-memory-u7i-instances-for-large-in-memory-databases/">U7i系列全都支援ENA Express</a>，可支援每個流向配置25 Gbps頻寬，若以執行個體之間的存取而言，P99.9存取延遲指標（呈現極端或特殊狀況性能）的表現可因此改善85％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-6.jpg" style="width: 600px;" /></a></p> <p>在此同時，AWS EC2 U7i系列也獲得SAP認證，可用來執行SAP旗下多種商用軟體，像是：SAP Business Suite on HANA（SoH）、SAP Business Suite 4 SAP HANA（S/4 HANA）、SAP Business Warehouse on HANA （BW/4HANA），作為正式的生產環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-7.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，AWS這項雲端服務上線時，也標榜他們是第一家<a href="https://aws.amazon.com/about-aws/whats-new/2024/05/amazon-ec2-high-memory-u7i-instances/?nc1=h_ls">基於8路運算架構</a>，而能提供巨量DDR5記憶體執行個體組態的雲端業者。</p> <p>到了12月，AWS接連宣布U7i系列增設更多執行個體組態，而且在這個月之內陸續通過SAP硬體驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Certified and Supported SAP HANA Hardware-6TB-32TB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Certified%20and%20Supported%20SAP%20HANA%20Hardware-6TB-32TB.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-5.jpg" style="width: 298px;" /></a></p> <p>首先是在12月9日，AWS開始正式提供記憶體容量為6 TiB與8 TiB的U7i執行個體：u7i-6tb.112xlarge、u7i-8tb.112xlarge，vCPU數量均為448個；一週之後，AWS開始正式提供記憶體容量為32 TiB的U7inh執行個體：U7inh-32tb.480xlarge，vCPU數量增加至1,920個，EBS儲存頻寬也躍升1.6倍、來到160 Gbps。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/U7inh-2024-12.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-4.jpg" style="width: 600px;" /></a></p> <p>令人意外的是，AWS特別表明此處採用其他廠商的16路伺服器：HPE Compute Scale-up Server 3200，並且將其建置在AWS Nitro System當中，以便與其他EC2執行個體完全整合、提供一致的管理方式，而且U7inh-32tb.480xlarge仍是虛擬機器，並非裸機。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20SAP-2024-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS SAP-2024-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EC2%20Memory%20Optimized-Nitro.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro-2024-12.jpg" style="width: 298px;" /></a></p> <p>不過，AWS為何刻意採用HPE Compute Scale-up Server 3200建置U7inh？他們並未詳細說明這麼做的考量，只提到兩件事：首先，這是他們與HPE合作建置而成的雲端運算服務，以及可執行最大型的記憶體內資料庫工作負載，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-high-memory-u7inh-instance-on-hpe-server-for-large-in-memory-databases/">或將原本執行在HPE硬體系統的工作負載遷移到AWS使用</a>。對比於Google Cloud在2024年8月正式推出的X4，雖然他們僅提供3種組態，但當時已能提供1,920顆vCPU與32,768 GiB記憶體的裸機系統，可惜並未透露所用的硬體設備來源。</p> <p>就產品特色而言，HPE Compute Scale-up Server 3200有何能耐是AWS可能必須仰仗的？基本上，這是專門針對大型關鍵應用系統建置需求的產品，於2023年底正式推出，本身是可透過多臺模組化機箱擴充執行規模的機架式伺服器系統。</p> <p>在處理器方面，企業可搭配8至60顆核心的英特爾第四代Xeon Scalable，並且支援多種安裝數量的組態：4顆（單臺5U機箱）、8顆（2臺5U機箱）、12顆（3臺5U機箱）、16顆（4臺5U機箱）；記憶體方面，企業可在此搭配單支容量為32 GiB至128 GiB的DDR5-4800。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/oly1yO5pKNc?si=LxTa4P8fk_-ULqKC" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>單就每顆處理器而言，這套系統的設置是各自對應16個記憶體插槽，因此，整臺伺服器最大能提供32 TB容量的共享記憶體（16顆處理器x 16個記憶體插槽 x 128 GiB記憶體 = 32,768 GiB），符合AWS EC2 U7inh-32tb.480xlarge的32,768 GiB記憶體配置。。</p> <p>而在伺服器的處理器的配置上，由於HPE Compute Scale-up Server 3200最高可搭配60顆核心、120個執行緒的Intel Xeon-Platinum 8490H，若採用16路運算配置，整臺伺服器系統可提供960顆核心、1,920個執行緒，而能對應到AWS EC2 U7inh-32tb.480xlarge的1,920顆vCPU配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 3200-1-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%203200-1-2023.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 3200-2-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%203200-2-2023.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 U7i系列</strong></span><br /> ●原廠：AWS<br /> ●建議售價：隨需定價模式，美國西部（奧勒岡）區域，u7i-6tb.112xlarge每小時62.79美元（448顆vCPU、6TiB記憶體）<br /> ●採用處理器：英特爾第四代Xeon Scalable系列 <br /> ●提供服務規模選擇與最大組態：<br /> u7inh-32tb.480xlarge，1,920顆虛擬處理器、32TiB記憶體、網路頻寬為200 Gbps，硬碟儲存搭配AWS雲端區塊儲存服務EBS，EBS存取頻寬為160 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/14 14:44作者李宗翰https://www.ithome.com.tw/review/166917
Ivanti旗下SSL VPN系統Connect Secure存在零時差漏洞，臺灣曝險數量全球第三
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月8日<a href="https://www.ivanti.com/blog/security-update-ivanti-connect-secure-policy-secure-and-neurons-for-zta-gateways">資安業者Ivanti發布資安公告</a>，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282、CVE-2025-0283，CVSS風險分別為9.0、7.0，一旦遭到利用，攻擊者就有機會遠端執行任意程式碼，或是在本機提升權限。</p> <p>值得留意的是，當時該公司透露，他們已經掌握有部分Connect Secure系統遭到CVE-2025-0282攻擊的情況，不過，Policy Secure及Neurons for ZTA閘道用戶並未傳出類似事故。Ivanti已為Connect Secure用戶發布22.7R2.5版修補上述漏洞，但另外兩款產品的部分，該公司預計在1月21日才會提供相關更新。</p> <p>對此，美國網路安全暨基礎設施安全局（CISA）也<a href="https://www.cisa.gov/news-events/alerts/2025/01/08/ivanti-releases-security-updates-connect-secure-policy-secure-and-zta-gateways">將CVE-2025-0282納入已遭利用的漏洞（KEV）列表</a>，並要求聯邦機構必須於15日前完成修補。</p> <p>針對這起事故，<a href="https://cloud.google.com/blog/topics/threat-intelligence/ivanti-connect-secure-vpn-zero-day">協助調查的資安業者Mandiant指出</a>，他們確認CVE-2025-0282在12月中旬就有人當做零時差漏洞用於實際攻擊，其中一組人馬的身分是與UNC5221有關的中國駭客組織UNC5337，他們於受害系統部署一系列的惡意程式，其中包含了惡意程式部署工具Spawnant、隧道工具Spawnmole、SSH後門程式Spawnsnail。</p> <p>此外，研究人員發現過往未曾公布的惡意程式Dryhook、Phasejam，但無法確認背後的攻擊者身分。究竟有多少駭客鎖定這項漏洞下手，他們也尚未取得足夠的資料而不能確定。</p> <p>一旦駭客找到存在漏洞的Connect Secure，便會停用SELinux、防止系統事件記錄發送，然後重新掛載磁碟取得讀寫權限、寫入指令碼並執行、植入Web Shell，最終下達sed命令移除特定的事件記錄資料，然後再重新啟用SELinux並重新掛載磁碟。</p> <p>值得一提的是，研究人員特別提及後門程式Phasejam會竄改Connect Secure的元件，在特定CGI檔案植入Web Shell，並竄改指定檔案封鎖正常的系統更新管道。但在此同時，攻擊者也提供假的系統更新了愚弄管理員，使得相關作案工具及後門程式能持續留在受害系統。</p> <p>究竟有多少Connect Secure曝險？根據Shadowserver基金會的掃描，<a href="https://x.com/Shadowserver/status/1877635751984111870">他們在9日看到約有2048臺伺服器存在漏洞</a>，其中最多的是美國、法國、西班牙、英國，值得留意的是，臺灣有84臺，曝險數量全球排名第五。</p> <p>該基金會後續再度掃描，12日指出<a href="https://x.com/Shadowserver/status/1878792657889341829">尚未修補的伺服器數量已大幅減少</a>，剩下約800臺未修補漏洞。但值得留意的是，<a href="https://dashboard.shadowserver.org/statistics/combined/tree/?day=2025-01-12&source=exchange&source=exchange6&source=http_vulnerable&source=http_vulnerable6&tag=cve-2025-0282%2B&geo=all&data_set=count&scale=log">此時臺灣仍有79臺尚未修補</a>，數量為全球第三，僅次於美國和西班牙的192、113臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" style="width: 580px;" /></a></p> </div></div></div>
2025/1/14 12:02作者周峻佑https://www.ithome.com.tw/news/166944
研究人員開源效能比美o1 Preview的推理AI模型，訓練成本僅450美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國柏克萊大學研究人員上周<a href="https://novasky-ai.github.io/posts/sky-t1/" target="_blank">開源</a>他們自建的推理（reasoning）AI模型，訓練成本只要450美元。</p> <p>柏克萊大學（UC of Berkeley）Sky Computing實驗室下的NovaSky團隊，上周發表了Sky-T1-32B-Preview推理模型，宣稱在常見的理解及程式標竿測試效能，和OpenAI的o1-preview相當。</p> <p>研究團隊的動機在於，推理模型如OpenAI o1或<a href="https://www.ithome.com.tw/news/166597" target="_blank">Gemini 2.0 Flash Thinking Mode</a>能內部產生很長的思維鏈（chain of thought），擅長解決複雜問題。但是這些模型技術細節及模型權重不對外開放，難為學術及開源社群使用。現有Still-2、Journey開源推理模型較側重數學領域，研究團隊因此希望能開發出涵蓋更廣領域的開源推理模型。</p> <p>研究團隊是以QwQ-32B-Preview模型生成訓練資料。經過拒絕採樣（rejection sampling），最後的訓練資料集為約17,000筆資料，包括APPs和TACO資料庫的5,000行程式、NuminaMATH資料集下的AIME、MATH及Olympiads子資料集，以及約1,000筆STILL-2生成的科學和解題資料，以求涵蓋各領域。</p> <p>新模型是以QwQ- 32B-Instruct作為基礎模型微調。在8顆H100的平臺上使用DeepSpeed Zero-3 offload優化技術，並以Llama-Factory花了19小時訓練完成。</p> <p>完成的Sky-T1-32B-Preview模型在數學和編碼基準測試中，效能表現與OpenAI的o1-preview相當。而且所有測試項目結果也優於基礎的Qwen-2.5-32B-Instruct。</p> <p class="rtecenter"><a href="http://novasky-ai.github.io/posts/sky-t1/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0114-Sky-T1-32B-Preview-Evaluation.png" style="width: 600px;" /></a></p> <p>若不計算硬體，這個模型訓練成本不到450美元，研究人員說，這顯示低成本訓練方法也能有效複製高階推理能力。Sky-T1-32B-Preview模型程式碼、權重等資源已經開源於<a href="https://github.com/NovaSky-AI/SkyThought" target="_blank">GitHub</a>上。</p> </div></div></div>
2025/1/14 12:48作者林妍溱https://www.ithome.com.tw/news/166945
拜登政府祭AI出口管制法規，Nvidia等業界批評自廢武功
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部工業和安全局（Bureau of Industry and Security，BIS）昨（13）日<a href="https://public-inspection.federalregister.gov/2025-00636.pdf" target="_blank">發布</a>《人工智慧擴散出口管制框架》（The Export Control Framework for AI Diffusion）暫行最終規則（Interim final rule，IFR），限制美國進階AI技術及GPU出口，以防範流向敵國。但此規則引發美國資訊業界，包括Nvidia、甲骨文等業者的批評，指該規則可能效果不彰，且將削弱美國在AI的領導地位，反而助長中國實力。</p> <p>商務部的管制框架針對運算IC（晶片）及最進階AI模型權重的出口或境內移轉建立全球許可制，這些技術的出口、境內轉移，美國政府都要根據目的地敏感性、運算效能數量、AI模型效能，以及安全要求加以審查。首先，該框架劃定了20個出口盟國，美國企業可以自由出口。這20個盟國包含主要西方盟國、以及臺灣、南韓、日本。</p> <p>非盟國就面臨一些限制。和美國有密切往來的140多個國家，包括以色列、新加坡、巴西、印度、印尼、馬來西亞和墨西哥，將受到出口上限的限制，必須申請許可才能獲得先進的AI技術，且完全禁止向美國對手出口。</p> <p>供應鏈活動可被豁免，因此晶片可以移動到需要封裝或測試的地方。大學、醫療、研究機構採購晶片在一定總處理效能（TPP）以下不需授權，也不計入國家採購晶片限額。</p> <p>另外，企業要在全球建立資料中心，美國和某些夥伴國家/地區的公司只需要美國商務部工業和安全局的單一授權。而擁有資料中心營運商欲建立國家資料中心，則必須向BIS申請取得授權。二種資料中心營運商授權分別名為UVEU（Universal Verified End-User）及 NVEU（National Verified End-User）授權。</p> <p>最後，進階模型的模型權重禁止轉移到「不受信任的參與者」，但該規則不適用於開源模型。</p> <p>商務部給企業一年的時間遵守這些規則，本規則開放120天的評論，商務部長Gina Raimondo表示，這將給下一任（即川普）政府收集意見的機會。</p> <p><span style="color:#B22222;"><strong>反對意見</strong></span></p> <p>科技業者對此規則表達了強烈反對意見。Nvidia<a href="https://blogs.nvidia.com/blog/ai-policy/" target="_blank">批評</a>世界各地的公司、初創公司和大學都在利用主流AI來推動醫療、農業、製造、教育和眾多領域的發展。AI以美國技術為基礎，在全球推動了國內外產業成長。在任期的最後幾天，拜登政府現在試圖通過其前所未有的「誤導性」AI擴散規則限制對主流運算應用程式的存取，可能破壞全球創新和經濟增長，且削弱美國的領導地位。</p> <p>甲骨文則<a href="https://www.oracle.com/news/announcement/blog/export-control-diffusion-confusion-2025-01-05/" target="_blank">指出</a>，商務部的規則草案過於複雜且過於廣泛，以國家安全的名義監管人工智慧和 GPU。甲骨文批評IFR無視GPU及其嵌入系統都是由美國雲端供應商部署及密切監控，所謂不受限制濫用GPU，及轉移或集合使用的擔憂毫無根據，IFR企圖監管全球幾乎所有的商業雲端運算，是前所未見，他們相信該規則可導致美國流失高達80%的AI晶片市占率，拱手交給中國。</p> <p>資訊科技及創新基金會（Information Technology & Innovation Foundation）也<a href="https://itif.org/publications/2025/01/07/export-controls-on-ai-chips-bidens-overreach-risks-us-leadership-in-tech/" target="_blank">指出</a>監控國家出口的運算總量，既不切實際、也無法公平。他們還指出，IFR忽略了，即使中國無法取得最高階GPU進行AI運算，也能用更多一般GPU來達到同樣效能。他們認為為AI運算建立全球化的國家上限系統，與對藥品進行價格管制一樣糟糕，也阻礙下一任政府對核心挑戰以及應對的評估。</p> </div></div></div>
2025/1/14 10:59作者林妍溱https://www.ithome.com.tw/news/166943
開發者該懂的商用英語
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gong_cheng_shi_ying_yu_shi_yong_shou_ze_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">EZ叢書館</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員最困難的工作之一是估算開發進度。開發人員通常會被專案經理或客戶要求估算整體開發進度。以下是一篇英文電子郵件範例，假設情境是要求估算開發進度和相關回覆。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>請求估算開發進度的信件</strong></span></span></p> <p><span style="color:#000000;"><em> Request for </em></span><strong><span style="color:#008000;"><em>Development Timeline Estimation</em></span></strong><span style="color:#000000;"><em><strong> </strong>for [Feature/Project Name] </em></span></p> <p><em> 請求估算[功能/專案名稱]<span style="color:#008000;"><strong>開發進度</strong> </span></em></p> <p><em><strong><span style="color:#008000;">Dear </span></strong>Justin,</em></p> <p><em><strong><span style="color:#008000;">致</span></strong> 賈斯丁，</em></p> <p><em>I hope this email finds you well. We are currently in the planning phase for [feature/project name] and<strong> <span style="color:#008000;">would appreciate it if </span></strong>you could provide an estimated timeline for its development.</em></p> <p><em>希望您能順利收到這封電子郵件。我們目前正處於[功能/專案名稱]的規劃階段，如果您能提供開發的預估時程表，我們<strong><span style="color:#008000;">將萬分感激</span></strong>。</em></p> <p><em>Could you please review the project scope and <strong><span style="color:#008000;">deliverables</span></strong> and give us an estimate on <strong><span style="color:#008000;">how long it will take</span></strong> to complete?</em></p> <p><em>您是否能評估專案範圍和<strong><span style="color:#008000;">可交付成果</span></strong>，並估計完成<strong><span style="color:#008000;">所需時間</span></strong>？</em></p> <p><em>Thank you for your time. We<strong> </strong><span style="color:#008000;"><strong>look forward </strong>to</span> your response.</em></p> <p><em>感謝您抽出時間。我們<strong><span style="color:#008000;">期待</span></strong>您的回覆。</em></p> <p><em>Best regards,</em></p> <p><em>John Smith</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>請求估算開發進度的回覆信件</strong></span></span></p> <p><em><strong><span style="color:#008000;"> Re</span>: </strong>Request for <strong><span style="color:#008000;">Development Timeline Estimation</span></strong> for [Feature/ Project Name] </em></p> <p><em><strong> <span style="color:#008000;">回覆</span>：</strong>請求<strong><span style="color:#008000;">估算</span></strong> [功能/專案名稱] <strong><span style="color:#008000;">開發進度 </span></strong></em></p> <p><em>Dear Steven,</em></p> <p><em>致史帝芬，</em></p> <p><em>Thank you for<span style="color:#008000;"> </span><strong><span style="color:#008000;">reaching out.</span> </strong>After a<strong><span style="color:#008000;"> thorough</span></strong> review of the project scope and deliverables, our estimate for the development of [feature/project name]<strong> <span style="color:#008000;">is as follows</span></strong>.</em></p> <p><em>感謝您的<strong><span style="color:#008000;">聯絡</span>。</strong>經過<strong><span style="color:#008000;">充分</span></strong>評估專案範圍和可交付成果後，我們對 [功能/專案名稱] 的開發估算<strong><span style="color:#008000;">如下</span></strong>。</em></p> <p><em>Key Points:</em></p> <p><em>要點：</em></p> <p><em>• Estimated Timeframe: <strong><span style="color:#008000;">approximately</span> </strong>6-8 weeks</em></p> <p><em>預計時程：<strong><span style="color:#008000;">大約</span></strong>6-8週</em></p> <p><em>• Scope: [brief description of the<strong><span style="color:#008000;"> project scope</span></strong>]</em></p> <p><em>範圍：[<strong><span style="color:#008000;">專案範圍</span></strong>的簡要描述]</em></p> <p><em>• Deliverables: [list of <strong><span style="color:#008000;">deliverables</span> </strong>to be provided]</em></p> <p><em>可交付成果：[提供<strong><span style="color:#008000;">可交付成果</span></strong>的清單]</em></p> <p><em>Please Note:</em></p> <p><em>請注意：</em></p> <p><em>• This is a <strong><span style="color:#008000;">preliminary</span></strong> estimate.</em></p> <p><em>這是<strong><span style="color:#008000;">初步的</span></strong>估算。</em></p> <p><em><strong>• <span style="color:#008000;">Subject to </span></strong>change based on<span style="color:#008000;"> f</span><strong><span style="color:#008000;">urther</span> </strong>discussions and clarification of requirements.</em></p> <p><em>根據<strong><span style="color:#008000;">進一步</span></strong>的討論和明確的需求，<strong><span style="color:#008000;">可能</span></strong>有所變動。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>會議請求和日程確認的信件</strong></span></span></p> <p>無論規模或預算如何，明確訂定專案需求是一項艱鉅的任務。因此，一旦有需要明確訂定的需求，就要召集相關人員開會。以下是會議請求電子郵件範例，用於明定專案需求。</p> <p><em> Request for <strong><span style="color:#008000;">Meeting to Discuss</span> </strong>Requirements for [Feature/Project Name] </em></p> <p><em><strong><span style="color:#008000;"> 討論</span></strong>[功能/專案名稱]需求的<strong><span style="color:#008000;">會議</span></strong>請求 </em></p> <p><em>Dear Steven,</em></p> <p><em>I hope you’re having a good day. As we are in the planning phase of the [feature/project name], I believe<strong><span style="color:#008000;"> it's crucial</span> </strong>for us to have a clear understanding of the requirements.</em></p> <p><em>希望你今天過得愉快。由於我們正處於[功能/專案名稱]的規劃階段，我認為清楚了解需求對我們<strong><span style="color:#008000;">至關重要</span></strong>。</em></p> <p><em>So, I would like to propose <strong><span style="color:#008000;">a meeting to discuss</span> </strong>the following:</em></p> <p><em>因此，我提議召開一次<strong><span style="color:#008000;">會議</span></strong>，<strong><span style="color:#008000;">討論</span></strong>以下問題：</em></p> <p><em>•<strong> <span style="color:#008000;">Detailed </span></strong>requirements for features</em></p> <p><em>功能<strong><span style="color:#008000;">詳細</span></strong>需求</em></p> <p><em>• <strong><span style="color:#008000;">Expected</span> </strong>deliverables</em></p> <p><em><strong><span style="color:#008000;">預期</span></strong>交付成果</em></p> <p><em>•<span style="color:#008000;"> <strong>Potential </strong></span>challenges and solutions</em></p> <p><em><strong><span style="color:#008000;">潛在的</span></strong>挑戰和解決方案</em></p> <p><em><strong><span style="color:#008000;">Would you be available</span></strong> for a meeting on [date] at [time]? If not, please suggest <strong><span style="color:#008000;">alternative</span> </strong>dates and times that work for you.</em></p> <p><em>[日期] [時間]<strong><span style="color:#008000;">您可以</span></strong>參加會議嗎？如果不行，請建議適合您的<strong><span style="color:#008000;">替代</span></strong>日期和時間。</em></p> <p><em><strong><span style="color:#008000;">Looking forward to </span></strong>your response.</em></p> <p><em><strong><span style="color:#008000;">期待</span></strong>您的回覆。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p>會議日程確定後，通常會在2～3天前發送電子郵件，確認是否能如期參加會議。以下是確認是否出席會議的英語電子郵件範例。</p> <p><em><span style="color:#008000;"><strong> Confirmation </strong></span>for Meeting on [Date] to Discuss [Feature/Project Name] </em></p> <p><em> <span style="color:#008000;"><strong>確認 </strong></span>[日期] <span style="color:#008000;"><strong>會議</strong></span>日程以討論 [功能/專案名稱] </em></p> <p><em>Dear Steven,</em></p> <p><em>I hope all is well with you. As we have a scheduled meeting <span style="color:#008000;"><strong>on [date] at [time] </strong></span>to discuss the requirements for [feature/ project name], I wanted to confirm if <span style="color:#008000;"><strong>we are still on track</strong></span> for this meeting.</em></p> <p><em>希望您一切都好。由於我們計劃<span style="color:#008000;"><strong>於 [日期] [時間] </strong></span>召開會議，討論[功能/項目名稱]的需求，我想確認我們<span style="color:#008000;"><strong>是否仍按計劃</strong></span>進行本次會議。</em></p> <p><em>Please let me know if the date and time<span style="color:#008000;"><strong> still work for you</strong></span> or if there are any changes needed.</em></p> <p><em>請告訴我該日期和時間<span style="color:#008000;"><strong>是否仍然適合您</strong></span>，或是否需要進行任何更改。</em></p> <p><em>Best regards,</em></p> <p><em>Justin Choi</em></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>[NOTE]估算開發時程的方法</strong></span></span></p> <p>估算開發時程的方法有三種，由上而下(top-down)、由下而上(down-top)、類比 (analogous)估算法和三點(tree-point)估算法等。如果了解以下與開發時程估算有關的用語和英語表達，可使溝通更加順暢。</p> <p><em><strong>• <span style="color:#008000;">Top-down estimating</span></strong><span style="color:#008000;"> </span>involves breaking down the work from <strong><span style="color:#008000;">the highest level of deliverables </span></strong>and expertise to estimate the duration and cost.</em></p> <p><span style="color:#008000;"><em><strong>由上而下估算法</strong></em></span>是從<em><strong><span style="color:#008000;">最高階段的可交付成果</span></strong></em>拆解工作，以專業知識估算任務工期和成本。</p> <p><em><strong>•<span style="color:#008000;"> Bottom-up estimating</span> </strong>starts with<strong> <span style="color:#008000;">the most detailed level of tasks</span></strong><span style="color:#008000;"> </span>and aggregates them to give an overall estimate.</em></p> <p><span style="color:#008000;"><em><strong>由下而上估算法</strong></em></span>是從<span style="color:#008000;"><em><strong>最細部的任務層級</strong></em></span>開始，再匯整之後進行總體估算。</p> <p><em><strong>• <span style="color:#008000;">Analogous estimating</span><span style="color:#000000;"> </span></strong><span style="color:#000000;">uses</span> data from past projects that are similar to the current project to estimate duration and cost.</em></p> <p><em><strong><span style="color:#008000;">類比估算法</span></strong></em>是參考與目前專案<em><strong><span style="color:#008000;">相似的以往專案</span></strong></em>，根據其資料來估算任務工期和成本。</p> <p><em><strong>• <span style="color:#008000;">Three-point estimating</span> </strong>uses optimistic, pessimistic, and most likely <span style="color:#008000;"><strong>scenarios </strong></span>to provide a range of estimates.</em></p> <p><em><strong><span style="color:#008000;">三點估計法</span></strong></em>使用樂觀、悲觀和最可能的<em><strong><span style="color:#008000;">情境</span></strong></em>來提供估算的範圍。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體工程師的英語使用守則》，EZ叢書館提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E5%B7%A5%E7%A8%8B%E5%B8%AB%E8%8B%B1%E8%AA%9E%E4%BD%BF%E7%94%A8%E5%AE%88%E5%89%87-600(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_EZ叢書館</span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">軟體工程師的英語使用守則（English for Developers）</span></strong></span></p> <p>崔煕哲／著；謝宜倫／譯</p> <p>EZ叢書館出版</p> <p>定價：420元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E8%8B%B1%E8%AA%9E%E4%BD%BF%E7%94%A8%E5%AE%88%E5%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%B4%94%E7%86%99%E5%93%B2.png" style="width: 150px;" /></p> <p><a href="https://yozm.wishket.com/magazine/@wisizkai/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_崔熙哲</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>崔熙哲</strong></p> <p>崔熙哲是一名軟體開發人員，現正經營Gomcine IT等多個部落格。自2010年起，於LG CNS擔任軟體工程師，參與LG電子物流系統建置、智慧電視作業系統開發以及LG化學行動專案等業務。他於2017年移居美國，成為一名軟體開發自由工作者，目前為拓展人工智慧和機器學習領域的經歷，正在美國麻薩諸塞州立大學攻讀電腦工程碩士學位。</p> </div></div></div>
2025/1/14 10:13未署名https://www.ithome.com.tw/article/166942
甲骨文拒絕撤銷JavaScript商標，Deno準備開打官司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deno向美國專利商標局<a href="https://www.ithome.com.tw/news/166238">提出請願</a>，要求撤銷甲骨文（Oracle）對JavaScript商標的所有權，理由是該名稱已成為全球通用技術名稱，且甲骨文多年未有效使用商標。然而，<a href="https://x.com/deno_land/status/1876728474666217739">甲骨文拒絕自願撤回商標</a>，並將提交正式答辯，案件進入法律程序。雙方的法律攻防預計圍繞在商標的通用化、詐欺行為及未使用狀態上，整體訴訟流程可能持續至2026年，訴訟結果可能會對JavaScript名稱的使用產生重大影響，進一步影響全球技術社群。</p> <p>美國專利商標局（USPTO）於2024年11月收到Deno提交的請願，要求取消甲骨文對JavaScript商標的所有權。Deno指出，JavaScript該名稱已成為全球技術社群的通用語言名稱，商標應回歸公共領域，避免法律限制影響技術社群的發展。</p> <p>Deno同時指控甲骨文在2019年商標續展過程中提交虛假證據，使用與Node.js相關的內容作為商業使用的證明，但Node.js與甲骨文完全無關。此外，Deno認為甲骨文多年未實際使用該商標，違反了美國法律對商標使用的最低要求。</p> <p>甲骨文近期回應，明確拒絕撤回商標，並計畫於2025年2月3日前提交正式答辯書。Deno創辦人Ryan Dahl表示，訴訟的核心將聚焦在商標通用化（Genericide）、詐欺與未使用三大主張。訴訟程序將於2025年3月5日進入證據揭露階段（Discovery），雙方交換證據並進行調查，該階段預計持續至9月。</p> <p>Deno的行動獲得技術社群廣泛支持，包括JavaScript主要創造者Brendan Eich在內，已有超過1.4萬名開發者簽署公開信，呼籲甲骨文放棄商標權。一旦訴訟成功，JavaScript名稱將成為開放資產，允許技術活動、標準名稱和商業應用中自由使用該名稱，不再受限於商標規範。</p> </div></div></div>
2025/1/14 08:08作者李建興https://www.ithome.com.tw/news/166932
Git 2.48加速版本控制與建置效能，引入Meson支援跨平臺開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Git在2025年初推出了<a href="https://github.blog/open-source/git/highlights-from-git-2-48/">2.48版本</a>，這是今年的首次更新，涵蓋多項提升效能並改善內部結構的功能強化，提供開發者更穩定的版本控制工具。該版本的重要更新包括改進SHA-1校驗碼的計算方式，並解決長期存在的記憶體洩漏問題，以及進一步改進range-diff的功能支援，提供更高效與精確的版本控制功能。</p> <p>Git的SHA-1校驗碼計算方式是其維持資料完整性的重要基礎，Git的資料封包結構包含了所有被打包物件的內容，並在封包結尾附加了一個SHA-1校驗碼，可用於驗證整個封包的完整性，確保資料在傳輸過程沒有毀損。</p> <p>新版本Git中，針對資料封包尾部的校驗碼計算進行了性能強化。由於尾部校驗碼的主要功能是驗證資料完整性，而非防禦安全性攻擊，因此這項改進能夠在不犧牲安全性的情況下，顯著縮短運算時間。測試顯示，此改進在處理大型儲存庫，如Linux核心程式碼的複製過程，效能提升可達10%至13%，對於需要頻繁操作大型專案的開發者特別有幫助。</p> <p>本次更新的另一重點在於解決記憶體的洩漏問題。雖然官方指出，記憶體洩漏對Git這類短時間執行的命令列工具影響有限，但其存在的確是阻礙了將內部邏輯模組化為可呼叫的函式庫。因此從Git 2.34版本開始，開發團隊花費大量努力消除記憶體洩漏，最終在2.48版本中完成工作。此更新讓Git測試環境能在啟用記憶體檢測的情況下完整通過測試，並簡化了測試基礎設施，也替未來的架構轉型奠定了基礎。</p> <p>在功能強化方面，Git 2.48將--remerge-diff與range-diff兩大指令整合。range-diff功能在2.19版本加入，主要用於比較兩組提交紀錄的差異，包括提交順序、提交訊息及內容變更。而2.36 版本則是推出remerge-diff，能讓開發者在檢視重整提交的變更時，能同時深入分析合併提交中衝突的細節及其解決方式。Git藉由將兩功能合併，進一步提升版本變更分析的精確性與實用性。</p> <p>Git 2.48也添加了Meson作為編譯系統替代選項，Meson是一種較GNU Make更為現代化的建置選項。Git一直以來都是採用GNU Make作為主要建置工具，但隨著專案規模的擴大，其Makefile已變得過於龐大且複雜，Meson的加入將有助於改善此情況。Meson提供更簡單的建置流程，並支援跨平臺與IDE整合。目前，Git同時提供Meson與GNU Make，保留對CMake和Autoconf的支援，確保不同開發者群體的需求能被滿足。</p> </div></div></div>
2025/1/14 08:13作者李建興https://www.ithome.com.tw/news/166935
Linux基金會啟動Chromium支援計畫，推動瀏覽器生態系創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-launch-of-supporters-of-chromium-based-browsers">宣布</a>啟動一項名為支持Chromium瀏覽器生態系的新倡議，目的是要透過資金支援和協作平臺，促進Chromium相關開放開發專案，確保技術創新與生態系的持續發展。該倡議以建立一個中立平臺為核心，吸引業界、學術界及開源社群參與，共同解決當前開放開發中的挑戰。</p> <p>Chromium專案是Google在2008年時推出，作為Chrome瀏覽器的核心基礎，並以開放原始碼的方式釋出。Chromium是一個高擴展性的程式碼庫，其影響力已超越瀏覽器領域，廣泛應用於其他技術開發中，例如LG的智慧家電、Electron應用程式框架，以及SpaceX太空艙的控制軟體。<a href="https://blog.chromium.org/2025/01/announcing-supporters-of-chromium-based.html">Google提到</a>，他們在2024年對Chromium專案做出了超過10萬次提交，占整體貢獻的94%，同時每年投入數百萬美元維護其基礎設施，包括數千臺測試伺服器，以支撐龐大的測試與開發需求。</p> <p>Linux基金會執行長Jim Zemlin指出，這項計畫的推出是基於對開源社群的持續承諾，希望能透過協作和資源共享，進一步推動開源技術的普及與進步。Chromium生態系在現代瀏覽器技術中占據重要地位，涵蓋了多家主流瀏覽器的核心技術，因此，這項倡議被認為有助於整體網頁技術發展。</p> <p>該專案將由Linux基金會負責執行，但現有的Chromium專案治理結構不會因此改變。專案將採用透明、包容的開放治理模式，並成立技術諮詢委員會（TAC）來指導專案發展，確保滿足廣泛開源社群的需求。Google、Meta、微軟和Opera等瀏覽器公司已經表態支持此倡議，並將積極參與相關合作，共同推動生態系統內的技術創新。</p> </div></div></div>
2025/1/14 08:18作者李建興https://www.ithome.com.tw/news/166941
【資安日報】1月13日，研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織RedDelta（也被稱為Earth Preta、Mustang Panda、TA416）的攻擊行動最近幾年不斷傳出，這些駭客往往跟隨中國政府的外交策略發動攻擊，1月剛出爐最新的資安廠商調查結果，再度印證這樣的活動方針。</p> <p>值得留意的是，這些駭客兩年前因中國政府聲援俄羅斯攻擊歐洲各國，但自2023年下半，他們將目標轉向臺灣、蒙古，以及其他東南亞國家。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166933"><strong style="font-size: 22px;">中國駭客RedDelta鎖定臺灣、蒙古、東南亞散布惡意程式PlugX</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedDelta-UOFWXPwLaa.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedDelta-UOFWXPwLaa.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Recorded Future指出，被稱為RedDelta、Earth Preta、Mustang Panda、TA416的中國駭客組織，從2023年7月至2024年12月，鎖定臺灣、蒙古、緬甸、越南、柬埔寨下手，散布特製的PlugX後門程式。</p> <p>這些駭客運用的誘餌涉及各種時事，例如2023年底曾宣布參選總統的鴻海創辦人郭台銘、越南的國定假日、蒙古洪水防治，以及東南亞國家協會（ASEAN）的會議邀請等。研究人員指出，蒙古國防部、越南共產黨疑似分別於去年8月、11月遭駭。</p> <p>根據此次調查結果，研究人員認為RedDelta近兩年的攻擊目標有了重大調整，因為2022年這群駭客主要鎖定歐洲從事相關攻擊。他們認為，攻擊目標的轉移與中國政府的戰略變化有關。</p> <p><a href="https://www.ithome.com.tw/news/166929"><strong style="font-size: 22px;">以AI打造的勒索軟體FunkSec向受害者進行雙重勒索，聲稱已有85個企業組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QZW5JB4KMR-image16.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/QZW5JB4KMR-image16.png" style="width: 300px; float: right;" /></a>人工智慧當紅，駭客也將其用於網路犯罪，其中最常見的是產生幾可亂真的釣魚信內容，或是用於製作假訊息網站，甚至也有人用於軟體開發的部分，使得攻擊者所需的門檻大幅降低，如今有缺乏相關技術的駭客運用AI打造勒索軟體。</p> <p>資安業者Check Point揭露名為FunkSec的勒索軟體，該惡意程式大約從去年底開始出沒，駭客12月底聲稱已有85個企業或組織遇害。這波攻擊行動所用的技術並不高，研究人員研判當中運用的工具，應該是運用AI輔助開發而成。</p> <p>研究人員根據攻擊者發布的內容與工具，研判裡面運用AI幫忙生成，例如，在攻擊者公開的指令碼當中，研究人員看到裡面的註解用了相對完美的英文，在其他媒體卻用非常基本的英文，這些註解很可能是由大型語言模型（LLM）代理產生的。</p> <p><a href="https://www.ithome.com.tw/news/166928"><strong style="font-size: 22px;">LDAPNightmware概念驗證程式碼遭人複製而冒用，在GitHub散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LDAPNightmare-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LDAPNightmare-fig1.png" style="width: 300px; float: right;" /></a>本月初資安業者SafeBreach針對微軟12月修補的CVE-2024-49113公布細節及概念驗證（PoC）程式碼，此漏洞為高風險層級，涉及LDAP服務，攻擊者有機會導致Windows伺服器服務中斷，有鑑於這項漏洞帶來的衝擊相當嚴重，研究人員將這項漏洞命名為「LDAPNightmare」，如今有人假借這項漏洞的名義發動攻擊。</p> <p>資安業者趨勢科技提出警告，他們發現有人在GitHub假借提供LDAPNightmare的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。根據該公司的調查，這些惡意儲存庫多半是SafeBreach儲存庫的分叉（fork），攻擊者將原本的Python檔案更換為以UPX打包的執行檔案poc.exe，意圖引誘研究人員下載。</p> <p>對此，趨勢科技提醒資安研究人員，若要研究概念驗證程式碼，應該要從情報最原始揭露的來源取得相關資料，而非透過分叉的儲存庫。</p> <p><a href="https://www.ithome.com.tw/news/166915"><strong style="font-size: 22px;">NPM套件假冒以太坊工具，暗藏Quasar RAT木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9ef4fd4dd5a97f2e660aa7be4fc8a07f.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/9ef4fd4dd5a97f2e660aa7be4fc8a07f.jpg" style="width: 300px; float: right;" /></a>資安平臺Socket研究人員發現一個偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，實際上暗藏了遠端存取木馬Quasar RAT。Quasar RAT是一個功能強大的遠端控制工具，一旦入侵成功，攻擊者便可遠端操控受感染的電腦，竊取機密資料、監控使用者行為，甚至完全掌控受害者的系統，對開發者造成資料外洩和經濟損失。</p> <p>Socket研究人員發現NPM平臺上名為ethereumvulncontracthandler的套件，表面上宣稱能協助開發者找出智慧合約中的潛在漏洞，不過在開發者不慎安裝此套件之後，惡意程式碼便會在開發者的電腦上執行，進而植入Quasar RAT。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=230633&SPOKE_DATE=20250112&COMPANY_ID=8289"><strong style="font-size: 22px;">泰藝電子發布資安重大訊息，揭露部分資訊系統遭到攻擊</strong></a></p> <p>1月12日石英頻率控制元件製造商泰藝電子於股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭到網路攻擊，該公司察覺此事後全面啟動相關防禦機制，以及復原作業，並委請外部資安業者技術專家共同處理。</p> <p>對於這起事故可能會帶來的損失或是影響，泰藝表示根據他們初步的評估，對於公司營運尚無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phishing-texts-trick-apple-imessage-users-into-disabling-protection/">蘋果手機用戶當心！有人藉由網釣手法突破iMessage防護措施</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/macos-vulnerability-cve-2024-54527-unveiled-tcc-bypass-poc-exploit-code-released/">研究人員揭露能繞過macOS安全機制TCC的漏洞細節</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/paypal-phishing-scam-exploits-ms365-genuine-emails/">駭客鎖定PayPal用戶從事網釣攻擊，利用M365網域繞過資安防護措施</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gitlab-tackles-critical-security-flaws-in-latest-patch-release/">GitLab發布更新，修補多項資安漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-54006-cve-2024-54007-command-injection-flaws-in-hpe-aruba-devices-poc-publicly-available/">HPE修補Aruba裝置的命令注入漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166913"><strong>【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166890"><strong>【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166875"><strong>【1月8日】駭客企圖利用惡意WordPress外掛挾持購物者信用卡資料</strong></a></p> </div></div></div>
2025/1/13 16:57作者周峻佑https://www.ithome.com.tw/news/166934