iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Android將全面改採封閉開發，但依舊開源程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周向<a href="https://www.androidauthority.com/google-android-development-aosp-3538503/" target="_blank">Android Authority證實</a>，下周起所有的Android開發都將於Google內部進行，但完成後依舊會開源程式碼，目的是為了簡化Android的開發流程。</p> <p>Google在2008年發表了Android 1.0與Android開放原始碼專案（Android Open Source Project，AOSP），以開源的方式來打造及提供Android作業系統，大多採用寬鬆的Apache License 2.0授權，讓不同的開發者或裝置製造商都能貢獻程式碼，也能客製化自己的Android作業系統。</p> <p>根據Google對<a href="https://source.android.com/docs/setup/about/faqs" target="_blank">Android開放原始碼平臺的說明</a>，Android的每個平臺版本都有對應的分支，最新的分支便是當前的穩定分支版本，亦即製造商將其移植至裝置上的分支，而且隨時都可使用。</p> <p>此外，Android開源樹中還有一個公開的實驗性分支，以供外界開發推測性的貢獻，像是各種大型的新一代功能，或是與應用程式相容性無關的部分。當前的分支則可根據需求來採用實驗性分支的貢獻或是臭蟲的修補。</p> <p>另一方面，Android有某些部分是由Google內部負責開發，屬於私有分支，主要是核心平臺的各種API，這些API即是新一代Android平臺的主軸。</p> <p>根據Google的說法，一款新裝置的上市可能需要一年以上的時間，製造商期望它可搭載最新的平臺，但開發人員卻不希望在打造應用程式時，不斷追蹤平臺的新版本，把核心平臺的開發私有化，可讓製造商及開發人員都能聚焦在現有的穩定版，避免頻繁的變更。</p> <p>Android Authority則報導，未來Google將把Android開發全數移到內部私有分支進行，公共分支則會收到最終版本，目的是為了提高Android的開發效率，減少合併公共分支與私有分支程式碼的辛勞。不過，也有人認為，少了外部開發人員的貢獻，或許也會影響新版本的開發速度，或是出現更多的臭蟲。</p> <p>Google可望於本周正式發布此事並揭露更多細節。</p> </div></div></div>
2025/3/27 14:54作者陳曉莉https://www.ithome.com.tw/news/168102
【資安日報】3月26日，喬山健康科技遭遇資安事故，疑似CrazyHunter所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織對臺侵擾不斷，我們本週報導了專門針對臺灣關鍵基礎設施的駭客組織UAT-5918，先前攻擊馬偕、彰基，以及科定企業的駭客組織CrazyHunter，再傳對臺灣的上市公司下手。</p> <p>值得留意的是，近來臺灣企業組織接二連三傳出遭到CrazyHunter攻擊，由於這些駭客攻擊行動幾乎全面鎖定臺灣，這種情況並不常見，需要臺灣政府、資安業者、企業共同警戒及應對。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168075"><strong style="font-size: 22px;">喬山健康科技遭遇網路資安事件，疑又是CrazyHunter所為</strong></a></p> <p>臺灣再傳上市公司喬山健康科技（Johnson Health Tech）遭受網路攻擊的事故，疑似又是CrazyHunter勒索軟體的攻擊，該公司在3月25日下午證實發生網路資安事件。</p> <p>25日上午11時，由於近期我們持續追蹤CrazyHunter的消息，進而發現X社群平臺有新的貼文指出，臺灣的喬山健康科技被列為CrazyHunter受害者。為了確認事件狀況，我們於11時20分向該公司發信詢問，後續在下午3時電話聯繫成功，喬山健康科技副總經理暨發言人羅雅芳表示，的確有事故發生、IT單位已在處理，後續若有進一步消息將會發布重大訊息說明。這也證實了有資安事故狀況發生，但並未說明是否與CrazyHunter勒索軟體攻擊有關。</p> <p>到了下午4時12分，喬山於公開資訊觀測站發布重大訊息，公開揭露發生網路資安事件，當中揭露了更多的資訊，他們說明了集團總部與部分海外子公司內網有被企圖登入，以及資訊系統遭受駭客網路攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168088"><strong style="font-size: 22px;">駭客組織Earth Lusca聽令中國資安業者安洵，從事網路間諜活動</strong></a></p> <p>3月初美國司法部針對中國資安業者安洵（i-Soon）員工進行制裁，原因是這些人是中國政府從事全球網路間諜活動的打手。如今資安業者ESET指出，被稱為Earth Lusca、TAG‑22、Aquatic Panda、FishMonger的駭客組織，於2022年從事的攻擊行動Operation FishMedley，背後主導的幕後黑手就是安洵。</p> <p>針對這波攻擊行動，ESET指出駭客針對亞洲、歐洲、美國的政府機關、非政府組織（NGO），以及智庫的垂直產業下手，透過中國駭客經常運用的惡意程式屢屢犯案，這些工具包括：ShadowPad、SodaMaster、Spyder。</p> <p>研究人員彙整這些駭客自2022年1月至10月從事的7起攻擊事故，分別針對臺灣政府組織、匈牙利天主教組織、土耳其、泰國政府組織、美國天主教慈善機構、美國非政府組織，以及法國地緣政治智庫，而這些對象全數都是中國政府感興趣的目標。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174955&SPOKE_DATE=20250325&COMPANY_ID=2505"><strong style="font-size: 22px;">國揚建設遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>3月25日傍晚國揚建設於股市公開觀測站發布重大訊息，表示他們的資安部門察覺遭到勒索軟體攻擊的情況，並啟動相關防禦措施及復原作業。</p> <p>而對於這起事故造成的影響，國揚表示根據他們的初步調查，公司資通系統及網站皆正常營運、提供服務，他們亦尚未發現個資或檔案文件外洩的情況，評估對公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-malware-uses-microsofts-net-maui-to-evade-detection/">微軟跨平臺應用程式框架遭到濫用，安卓惡意程式用來迴避偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/steam-pulls-game-demo-infecting-windows-with-info-stealing-malware/">駭客在Steam上架假的遊戲試玩版，意圖藉此散布竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/encrypthub-linked-to-zero-day-attacks-targeting-windows-systems/">駭客組織EncryptHub利用微軟管理主控臺零時差漏洞犯案</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168082"><strong style="font-size: 22px;">Google發布Chrome 134更新，修補可被用於沙箱逃逸的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" style="width: 300px; float: right;" /></a>3月25日Google發布134.0.6998.177、134.0.6998.178版Chrome更新，修補高風險層級的資安漏洞CVE-2025-2783，這項漏洞出現在Windows版本的Mojo元件，在特定情況下會出現不正確處理的情形，值得留意的是，Google指出，他們掌握這項弱點已有實際攻擊行動出現的情況，而這是今年第2個Chrome零時差漏洞。</p> <p>對於這項漏洞的危險性，通報此事的資安業者卡巴斯基指出，攻擊者有機會用來繞過Chrome的沙箱保護機制，起因是沙箱與Windows作業系統的交會點（intersection）出現邏輯錯誤的現象。</p> <p>卡巴斯基也對這項漏洞的發現做出說明，他們在3月中旬偵測到一系列的釣魚郵件攻擊行動Operation ForumTroll，只要收信人點選駭客提供的連結，就有可能中招，過程中無須收信人額外互動。經過調查，卡巴斯基確認駭客利用了尚未公布的Chrome漏洞而得逞。</p> <p><a href="https://www.ithome.com.tw/news/168084"><strong style="font-size: 22px;">Windows存在NTLM雜湊洩露零時差漏洞，攻擊者可引誘使用者開啟檔案觸發</strong></a></p> <p>專門提供微修補的資安業者0patch指出，他們發現Shell Command File（SCF）檔案可能會洩露NTLM雜湊值的資安漏洞，攻擊者可引誘使用者透過Windows檔案總管，開啟檢視網路共用資料夾或USB外接儲存裝置的惡意檔案，進而觸發此項弱點，從而得到使用者的NTLM雜湊值。這項尚未登記CVE編號的漏洞影響所有工作站及伺服器版本的Windows作業系統，涵蓋Windows 7至Windows 11 24H2，以及Windows Server 2008 R2至Windows Server 2025。</p> <p>0patch向微軟通報此事，並表明他們在微軟正式發布修補之前，將會免費提供微修補程式。基本上，駭客利用這項漏洞的方式，與去年12月發現、微軟今年2月修補的URL檔案NTLM雜湊值洩露漏洞CVE-2025-21377類似，都是引誘使用者打開含有惡意檔案的共享資料夾、隨身碟，或是暗中利用惡意網頁進行偷渡式下載（Drive-by download），再要求使用者到下載資料夾檢視。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/netapp-snapcenter-users-at-risk-cvss-9-9-privilege-escalation-alert/">NetApp SnapCenter存在重大層級權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-unauthenticated-access-flaw-immediately/">CrushFTP存在身分驗證繞過漏洞，攻擊者可未經授權存取FTP伺服器</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168077"><strong>【3月25日】中國駭客Weaver Ant埋伏東南亞某電信業者環境4年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168052"><strong>【3月24日】駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168035"><strong>【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</strong></a></p> </div></div></div>
2025/3/26 15:25作者周峻佑https://www.ithome.com.tw/news/168090
Android 16為Tensor GPU-based Pixel手機提升效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reddit.com/r/pixel_phones/comments/1jfs0hb/vulcan_gpu_geekbench_doubled_in_android_16/?rdt=54731" target="_blank">用戶發現</a>，Google<a href="https://developer.android.com/about/versions/16/overview?hl=zh-tw" target="_blank">本月釋出的Android 16 Beta 3版</a>可使搭載Tensor GPU的Pixel手機大幅提升效能。</p> <p>Reddit用戶在為其Pixel 7a升級Android 16 Beta版後，表示在標竿測試中效能大幅成長。根據他貼出的數據，Vulkan GPU Geekbench效能提升了將近1倍，而OpenCL也成長了超過75%。用戶說Android 16使其舊Pixel手機GPU運行效能有如最新的Pixel 9。但新Android似乎並未對CPU帶來改變。</p> <p>另一名用戶測試安裝最新Android Beta的Pixel 6 Pro，跑分結果是提升32%。</p> <p>Tensor是Google自行研發的晶片，用於自家Pixel系列手機。最新的G4用於去年推出的Pixel 9。</p> <p>至於GPU效能提升的原因，用戶相信可能是因為最新作業系統包含最新GPU驅動程式。</p> <p><a href="https://www.androidauthority.com/pixel-phones-gpu-performance-boost-3537248/" target="_blank">Android Authority記者整理出Android 15以後</a>，各代Tensor-based Pixel手機使用的GPU驅動程式版本。按照這個表，Android 15 QPR2（March 2025 Pixel Drop），也包含新版GPU驅動程式。</p> <p>Geekbench GPU等標竿測試的數據，在真實世界也有意義。Geekbench GPU測試可量測包括機器學習、電腦視覺等日常應用，因此Android 16的推出，未來也能提升Tensor-based Pixel手機執行AI應用的效用。</p> <p>此刻安裝Android 16 Beta 3或許可帶來更好的效能，但也可能有風險。Google稱Beta 3是第一個包含最終API和行為的平臺穩定性里程碑（milestone），但可能仍有些未知臭蟲。為保險起見，Android手機用戶最好到6月的穩定版釋出。</p> </div></div></div>
2025/3/24 10:50作者林妍溱https://www.ithome.com.tw/news/168042
Martech雙周報第72期：AI搜尋浪潮到來，不同Martech業者怎麼看廣告流量衝擊與應對方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0302~0315)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #行銷轉換 #SEO</span></span></strong><br /> <strong>Adobe研究：美國去年購物季，從GenAI工具導向零售網站的流量年增1300%</strong></p> <p><a href="https://blog.adobe.com/en/publish/2025/03/17/adobe-analytics-traffic-to-us-retail-websites-from-generative-ai-sources-jumps-1200-percent">Adobe研究顯示，在2024年11月1日到12月31日</a>，也就是購物高峰期間，從生成式AI工具導向零售網站的流量較前一年增加1,300％。Cyber Monday節日當天，甚至來到1,950％。此趨勢在高峰期後依舊，到2025年2月，來自生成式AI來源的流量較2024年7月增加1,200％。不只如此，AI在零售的轉換率也快速追上非AI流量，從去年7月落後0.8%，到現在只有少0.2%。對有意進行行銷漏斗底層（轉換）行銷的廣告主來說，這意味著生成式AI作為行銷通路的重要性逐漸提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aiconveaetadgo.jpg" style="width: 600px;" /></p> <p>Adobe對5,000名美國消費者進行的調查中，39%消費者曾經使用過生成式AI進行線上購物，53%消費者計劃在今年使用。消費者使用生成式AI執行的購物任務包括進行研究、接收產品推薦、尋找優惠、尋找禮物點子、尋找獨特產品以及創建購物清單。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI人才 #媒體創作工具</span></span></strong><br /> <strong>Taboola在臺灣擴大招募AI人才，研發全球級Martech產品的生成式AI應用</strong></p> <p>Martech公司巨頭Taboola於擴大招募AI人才，研發全球產品線的深度學習及生成式AI應用。臺灣是Taboola這是全球第四座、亞洲第一座AI研發中心，目前已經聘有40名臺灣AI人才。</p> <p>Taboola會選擇臺灣設置研發中心，一大原因是先前國科會博士創新之星計畫（X Talent）使他們接觸到臺灣AI人才，因而將台北辦公室作為生成式AI技術研發重地。Taboola資深研發副總裁Tal Sliwowicz表示，他們開發團隊都是跨國協作，臺灣AI人才一加入就會負責全球性的AI類產品開發。</p> <p>目前Taboola的AI和生成式AI產品包括各式給廣告主和出版方的內容製作工具、AI投廣助手與代理人、自動化廣告代投工具等。他們於臺灣的知名客戶包括Uniqlo、Momo、現代汽車、 TVBS、風傳媒等。</p> <p>Tal Sliwowicz也揭露Taboola對現在生成式AI影響網站及廣告流量的看法。他觀察，生成式AI正在改變網路使用者消費網站內容的模式，這會對出版商流量造成影響。出版商可能採用的新做法包括，用生成式AI製作更大量內容，以及積極與生成式AI平臺和工具進行內容授權等合作。Taboola作為廣告代理及科技商，希望在這個轉變中扮演的角色是，用自家科技促成出版商和廣告主，能於生成式AI平臺這個新通路持續獲得曝光，並做到個人化內容推薦。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI代理人</span></span></strong><br /> <strong>Adobe推出AI代理人與模型調度功能，以及更多GenAI行銷功能</strong></p> <p><a href="https://news.adobe.com/news/2025/03/adobe-summit-2025-adobe-ai-platform-unites-creativity-marketing">Adobe在自家年度大會上推出一系列AI與生成式AI類新功能。</a>首先是Experience Platform Agent Orchestrator，行銷人員能一站式管理和調度行銷流程中所使用到的Adobe及第三方AI代理人，來加速整體行銷作業。</p> <p>另一個新功能是Brand Concierge，企業可以用此功能建立和設定引導AI代理人，讓他們引導顧客探索和購買品牌商品。此功能可以製作B2C和B2B代理人，後者可以根據顧客關係提供專屬內容，並處理後續業務作業。</p> <p>行銷內容製作方面，Adobe推出GenStudio Foundation，這是一個串聯內容製作系列產品線及行銷科技產品線的GenAI平臺，可以一站式製作內容並管理行銷規畫、行銷專案、內容素材，以及數據洞察。此平臺和Microsoft Advertising Platform、Google Campaign Manager 360、及LinkedIn Ads等外部平臺串聯，支援快速行銷內容發布，也與第三方平臺整合，包括IntelligenceBank、Acxiom、Lithero、PwC、Saifr和 Stensul等廠商的平臺。</p> <p>其他新功能包括行銷內容表現的分析功能，可以提供素材屬性等級（如圖片裡的顏色、物件等）洞察、生成式AI模型Firefly的多個API，以及Firefly新內容處理功能等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #AI搜尋 #影片行銷 #生成式AI</span></span></strong><br /> <strong>Brightedge研究：教學類和示範類Youtube影片最受AI Overviews搜尋功能青睞</strong></p> <p><a href="https://www.brightedge.com/blog/youtubes-growing-impact-google-ai-overviews-what-marketers-need-know">老牌SEO廠商Brightedge研究顯示</a>，Google的AI搜尋功能AI Overviews呈現影片連結時，特別青睞Youtube，其他影片網站幾乎未出現於AI摘要中。從影片形式來看，教學類影片（How-to）跟示範類（Visual demo）類最容易曝光，在所有曝光的Youtube影片中占比分別為35.6%和32.5%。第三名則是產品測試或開箱類影片，占比22.5%。主題方面，則是以醫療保健和電子商務類最容易曝光，兩者加起來超過7成曝光占比。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(66).png" style="width: 600px;" /></p> <p>Brightedge建議，廣告主若要在AI Overviews曝光，最好優先選擇Youtube作為影片平臺。內容策略則是跟著目前曝光占比走，製作商品或服務相關的教學、示範及開箱影片。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電話客服 #AI口音修正</span></span></strong><br /> <strong>Teleperformance開始用AI即時修改客服人員英文口音，來降低溝通障礙</strong></p> <p><a href="https://www.tp.com/en-us/services/digital-cx-and-ai/artificial-intelligence/real-time-speech-understanding/">世界最大電話服務中心營運商Teleperformance開始用AI來「軟化」海外服務中心人員的英文口音，並減少雜音、提升音質。</a></p> <p>英語系國家常常在海外開設電話服務中心，並聘用印度等外籍客服人員，導致客服溝通困難。此做法是希望可以將客服人員聲音轉變成顧客較熟悉的口音，以降低通話時間、增加解決率。儘管部分討論認為，此舉有種族歧視意味，不過Teleperformance及此口音轉化技術的廠商Sanas表示，這反而能降低顧客排斥異國客服人員的情況，有助於降低種族歧視。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #API #第三方平臺</span></span></strong><br /> <strong>Walmart RMN推出可以讓開發者透過第三方程式來投放和測量廣告的API</strong></p> <p>去年RMN營收高達40億美元的Walmart推出Display Advertising API。開發者可以用來打造儀表版、自動化投放工具等應用，或者是結合第三方平臺功能來投放和測量在Walmart RMN的廣告。</p> <p>近年Walmart逐漸開放自家廣告平臺給廣告主。繼推出只能拋轉廣告數據的Reporting API，以及透過Walmart內部數據分析服務Luminate來操作廣告平臺後，現在更進一步，開放開發者可以透過外部程式來與自家廣告平臺互動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #行銷成效追蹤 #瀏覽器行銷</span></span></strong><br /> <strong>回應Honey聯盟式行銷爭議，Google禁止Chrome擴充功能未經同意插入聯盟行銷連結</strong></p> <p><a href="https://www.ithome.com.tw/news/166820">今年年初，我們報導過Honey等Chrome外掛利用聯盟式行銷（Affiliate Marketing）的行銷追蹤機制，</a>來獲取行銷傭金的爭議。回應此爭議，Google更新Chrome Web Store擴充功能的聯盟行銷政策，從6月10日起全面禁止擴充功能未經用戶同意，插入聯盟連結、推廣碼或Cookie。之前，Honey就是透過加入自家追蹤Cookie，來獲得行銷追蹤機制的歸功。</p> <p>此次政策更新明確要求所有涉及聯盟行銷的擴充功能，必須讓用戶在安裝前、介面中，以及Chrome Web Store的擴充功能頁面清楚了解其聯盟行銷行為。並且，只能在對用戶提供直接利益，例如折扣、回饋或即時優惠，才可透過擴充功能引導聯盟連結。（<a href="https://www.ithome.com.tw/news/166820">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網路流量追蹤 #行動裝置</span></span></strong><br /> <strong>Similarweb開始追蹤行動App流量，品牌曝光追蹤範圍更完整</strong></p> <p>知名網站流量分析商Similarweb近期收購App流量分析商42matters後，<a href="https://www.similarweb.com/corp/apps/">推出App Intelligence服務</a>，開始追蹤58個國家中，超過4百萬支iOS和Android App的流量。這是一個基礎但重要的更新。Similarweb能同時分析網站和行動App數位通路的流量，意味著網站主和品牌可以得到更完整的曝光分析結果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p><a href="https://happylee.blog/rs/media-in-ai-organic-search/">91APP產品長李昆謀整理出一系列調查及趨勢，分享AI搜尋時代來臨時，數位媒體等出版方（Publisher）的搜尋流量如何改變、如何應對。</a></p> <p><a href="https://www.ithome.com.tw/news/167675">Salesforce推出AgentExchange，供企業探索、試用與購買AI Agent類功能</a></p> <p><a href="https://status.search.google.com/incidents/zpmwuSwifjDjfrVdaZUx">Google搜尋完成大型演算法更新</a></p> <p>資料來源：iThome整理，2025年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Adobe、Brightedge</p> <p></p> </div></div></div>
2025/3/21 14:29作者郭又華https://www.ithome.com.tw/news/168013
【資安日報】3月20日，PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP-CGI重大漏洞CVE-2024-4577在揭露後很快就傳出災情，不僅有<a href="https://www.ithome.com.tw/news/163417">勒索軟體將其作為入侵受害組織的手段</a>，也有<a href="https://www.ithome.com.tw/news/164597">臺灣的大學被植入後門程式</a>。事隔半年，漏洞利用的事故再度傳出，而且，駭客的主要目標就是臺灣。</p> <p>根據資安業者Bitdefender的調查，他們發現駭客在近一個月相關攻擊出現顯著增加的情況，與過往不同的是，已有駭客將受害主機用來挖礦，或是部署其他惡意軟體從事其他活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167962"><strong style="font-size: 22px;">PHP已知重大漏洞再傳遭到利用，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Mar-17-2025-07-16-06-6475-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Mar-17-2025-07-16-06-6475-PM.png" style="width: 300px; float: right;" /></a></p> <p>去年臺灣資安業者戴夫寇爾揭露PHP-CGI重大漏洞CVE-2024-4577（CVSS風險評為9.8分），今年1月傳出有人用於攻擊日本企業組織、教育及研究機構，現在有資安業者指出，駭客嘗試利用這項漏洞的情況，最近出現大幅增加的現象。</p> <p>資安業者Bitdefender指出，他們在最近一個月發現嘗試利用這項漏洞的情況顯著增加，值得留意的是，臺灣是攻擊者的主要目標，相關漏洞利用嘗試的行為占54.65%，香港、巴西居次，分別是27.06%和16.39%，此外，研究人員也在日本、印度看到相關活動。這些駭客的最終目的，是利用受害伺服器挖礦，或是部署惡意軟體，以便進行後續的攻擊。</p> <p>特別的是，一旦攻擊者成功利用漏洞，就會試圖竄改受害伺服器的防火牆組態，其中包含封鎖曾經發動相關漏洞攻擊的已知IP位址，這樣的情況，在過往鎖定CVE-2024-4577的資安事故未曾出現。</p> <p><a href="https://www.ithome.com.tw/news/167980"><strong style="font-size: 22px;">ClearFake攻擊染指逾9千個網站、散布竊資軟體，也濫用區塊鏈埋藏作案工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ClearFake-Binance-ClickFix.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ClearFake-Binance-ClickFix.png" style="width: 300px; float: right;" /></a></p> <p>駭客先入侵網站並藉此向使用者散布惡意軟體的攻擊行動ClearFake，這樣的活動最早約在2023年7月出現，去年5月結合了社交工程手法ClickFix，要求使用者依照指示複製貼上惡意PowerShell程式碼，促成電腦感染惡意軟體，如今駭客的攻擊手法再度出現變化，使得相關活動變得更加複雜。</p> <p>資安業者Sekoia自12月追蹤新一波攻擊行動，過程裡駭客使用假的reCAPTCHA、Cloudflare Turnstile圖靈驗證機制，以及濫用幣安智能鏈（Binance Smart Chain，BSC），截至2月下旬，駭客至少控制超過9,300個WordPress網站進行相關活動，但研究人員認為，遭到擺佈的網站數量應該更多。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167987"><strong style="font-size: 22px;">數發部警告駭客假冒財政部從事網釣攻擊，對政府機關及企業的財務人員下手</strong></a></p> <p>2月底資安業者Fortinet警告有人對於臺灣政府機關及企業組織發動社交工程攻擊，手法是以財政部名義宣稱要進行稅務抽查，如今數發部資安署也對於這種假借調查稅務的網釣攻擊提出警告。</p> <p>上週資安署發布2月份的資通安全網路月報，當中提及駭客假冒財政部名義寄送釣魚信，佯稱要進行稅務調查，對於臺灣政府機關及企業組織發動社交工程攻擊的情況，正好與資安業者Fortinet於上個月底揭露的惡意程式Winos 4.0攻擊行動相當類似。</p> <p>針對假冒查稅的網釣攻擊，財政部從今年1月開始提出警告，指出已有駭客假冒他們的名義，以稅務抽查涉稅企業名單、稅務通知、賦稅稽查通知書為幌子從事網釣攻擊，台灣電腦網路危機處理暨協調中心（TWCERT/CC）也公布釣魚郵件的相關特徵，供企業組織防範這類攻擊。3月7日高雄國稅局再度針對相關網釣攻擊提出警告，強調只要是涉及稅務調查事項，國稅局會以正式公文書寄送通知，而非透過內含附件的電子郵件處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-arcane-infostealer-infects-youtube-discord-users-via-game-cheats/">竊資軟體Arcane鎖定遊戲玩家，透過YouTube、Discord散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malware-campaign-dollyway-breached-20-000-wordpress-sites/">惡意軟體攻擊DollyWay入侵2萬個WordPress網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/cert-ua-warns-dark-crystal-rat-targets.html">惡意軟體DCRat鎖定烏克蘭國防單位而來，藉由Singal訊息散布</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167963"><strong style="font-size: 22px;">IBM公告AIX風險值10分的遠端指令執行漏洞</strong></a></p> <p>IBM本周發布安全公告，修補AIX二個重大漏洞，其中包含一個漏洞風險值10分的遠端指令執行漏洞。</p> <p>本次修補的漏洞為CVE-2024-56346及CVE-2024-56347，影響AIX OS的管理軟體NIM（Network Installation Manager）。其中CVE-2024-56346源自AIX nimesis NIM master service程序控管不當，可讓遠端駭客執行任意指令。本漏洞CVSS 3.1風險值評分為10分，達到滿分。</p> <p>CVE-2024-56347則是出在AIX Nimsh Service的SSL/TLS防護機制的程序控管不當，也可能引發遠端任意指令執行，風險值亦高達9.6。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/critical-myscada-mypro-flaws-could-let.html">工控系統mySCADA myPRO存在重大漏洞，恐導致整個系統遭到挾持</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/whatsapp-patched-zero-day-flaw-used-in-paragon-spyware-attacks/">WhatsApp修補已遭間諜軟體利用的零時差漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167975"><strong style="font-size: 22px;">Chrome改用Rust重寫字型處理程式庫Skrifa，取代FreeType提升安全性</strong></a></p> <p>Google宣布逐步將Chrome字型處理程式庫從FreeType搬遷至Skrifa。Skrifa是以Rust開發的新程式庫，目的是提升字型處理的記憶體安全性，減少安全漏洞，並提升開發效率。這項變更已在Chrome 133上開始，首先應用於Linux、Android和ChromeOS的網頁字型處理，計畫之後擴展至其他層面的字型渲染。</p> <p>促使Google尋求新字型程式庫的主要動機，在於以C語言開發的FreeType程式庫，其低層記憶體管理機制使得安全性維護成本不斷攀升。Google在內部安全評估中發現，僅是透過模糊測試（Fuzzing）發現與修復FreeType漏洞，每年至少需要0.25位全職工程師的資源投入，即使如此，仍有部分漏洞無法及時攔截，甚至在漏洞已進入用戶端後才被發現。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/google-releases-major-update-for-open-source-vulnerability-scanner/">Google發布開發人員漏洞掃描工具OSV-Scanner大改版2.0</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167940"><strong style="font-size: 22px;">Google正式宣布將以320億美元買下資安新創Wiz</strong></a></p> <p>3月18日Google宣布，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，併購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。而這是2022年該公司先後以5億美元、54億美元買下資安業者Siemplify、Mandiant之後</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> </div></div></div>
2025/3/20 17:58作者周峻佑https://www.ithome.com.tw/news/168004
Chrome改用Rust重寫字型處理函式庫Skrifa，取代FreeType提升安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google逐步將Chrome字型處理函式庫從FreeType搬遷至<a href="https://developer.chrome.com/blog/memory-safety-fonts">Skrifa</a>。Skrifa是一款以Rust開發的新函式庫，目的是提升字型處理的記憶體安全性，減少安全漏洞，並提升開發效率。這項變更已在Chrome 133上實行，首先應用於Linux、Android和ChromeOS的網頁字型處理，計畫之後擴展至作業系統字型處理上。</p> <p>Rust語言的記憶體安全特性，被認為能有效解決由C語言開發的FreeType，長期存在的記憶體管理問題，如陣列越界存取、使用後釋放（Use-After-Free）及整數溢位等安全漏洞。</p> <p>FreeType字型處理函式庫長期以來廣受使用，負責解析、轉換和渲染字型，使其適用於各種螢幕與解析度。Chrome過去在Android、ChromeOS及Linux平臺上都依賴FreeType進行字型運算，如字距調整、輪廓載入，與字型顯示最佳化處理TrueType字型微調（Hinting）等。</p> <p>隨著網路應用的蓬勃發展，瀏覽器需要能更安全地處理來自未知來源的網頁字型，而以C語言開發的FreeType函式庫，其低層記憶體管理機制使得安全性維護成本不斷攀升。Google在內部安全評估中發現，僅是透過模糊測試（Fuzzing）發現與修復FreeType漏洞，每年至少需要0.25位全職工程師的資源投入，即使如此，仍有部分漏洞無法及時攔截，甚至在漏洞已進入用戶端後才被發現。</p> <p>這些問題促使Google尋找新的解決方案，而Rust內建的記憶體安全機制成為理想選擇，以Rust開發的Skrifa屬於Fontations函式庫家族的一部分，並與Chrome的圖形函式庫Skia整合。Skrifa的開發以幾個核心原則為基礎，其資料結構設計為不可變，提升程式的可讀性與可維護性，同時提高多執行緒運算的效率。</p> <p>Google由於要確保Skrifa與FreeType的字型品質相符，還開發了一款名為fauntlet的工具，以大亮字型測試比對Skrifa與FreeType的輸出，確保新系統能夠維持既有的字型顯示品質。此外，Google在Skia內部進行了廣泛的像素對比測試，以驗證不同字型渲染模式，如反鋸齒與字型微調模式下，Skrifa的表現仍與FreeType一致。</p> <p>Skrifa自2024年6月開始持續進行模糊測試，至今已發現39個錯誤，不過這些錯誤皆非安全性漏洞，僅影響視覺呈現或導致受控的崩潰，不會造成可利用的安全風險。Google在開發中選擇使用Rust bytemuck函式庫，執行安全的型別轉換，避免Rust內部不允許的直接位元轉換操作，進一步保證記憶體存取的安全性。</p> <p>目前，Skrifa已全面取代Chrome 133上的網頁字型處理功能，並計畫在未來進一步擴展至作業系統字型的解析工作，首先從Linux與ChromeOS開始，接著擴展至Android。</p> </div></div></div>
2025/3/20 14:06作者李建興https://www.ithome.com.tw/news/167975
Firefox憑證過期本周將導致瀏覽器外掛失效、Mozilla籲用戶儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.mozilla.org/en-US/kb/root-certificate-expiration" target="_blank">Mozilla本周警告</a>，Firefox瀏覽器一項用於驗證多項Mozilla專案的根憑證（root certificate）近日過期，Firefox用戶需更新到最新版本以避免功能無法使用。</p> <p>這項用於Firefox、Thunderbird等軟體驗證簽發內容及附加程式的根憑證，於2025年3月14日過期。這會對瀏覽器附加功能、內容簽發及DRM技術保護的媒體內容播放造成「重大問題」，所有平臺，包括Windows 7/8/8.1、macOS 10.12–10.14、Linux及Android平臺的舊版Firefox都會受影響。如Firefox用戶使用過程中被訊息引導要求下載128版本，表示瀏覽器版本已經太舊。</p> <p>Mozilla呼籲Firefox用戶應更新到Firefox 128（或ESR 115.13以上）。如不更新，所有仰賴遠端更新的Firefox功能，及已安裝的外掛功能都會被關閉，並顯示錯誤訊息：「could not be verified for use in Firefox（無法驗證在Firefox中的使用）」。例如串流服務將因更新失敗而停止運作。此外，仰賴內容驗證的系統也可能運作出現問題。</p> <p>升級Firefox並不影響瀏覽器書籤、儲存的密碼及其他設定，或是個人資料。不過Mozilla還是建議用戶同步Mozilla帳號，確保更新後的照常運作。</p> </div></div></div>
2025/3/20 11:53作者林妍溱https://www.ithome.com.tw/news/167969
【資安日報】3月19日，11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天最受到關注的資安新聞，莫過於一項被利用8年以上的零時差漏洞，將其用於攻擊行動的國家級駭客就有11組人馬，但這項發現受到矚目的原因，在於研究人員通報後廠商表示不會進行修補。</p> <p>這種情況已非首例，企業或許能透過入侵防禦系統（IPS）的虛擬修補（Virtual Patching）機制來因應，但對於個人用戶而言，可能就難以尋求其他防護機制自保。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167944"><strong style="font-size: 22px;">11組國家級駭客共散播上千個惡意LNK捷徑檔，劍指Windows尚無修補的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" style="width: 300px; float: right;" /></a>一項曝露超過8年、至少有11個國家級駭客利用的零時差漏洞，因為微軟決定不予修補，在研究人員公布相關發現後，引起各界高度關注。</p> <p>趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們去年9月發現利用零時差漏洞ZDI-CAN-25373攻擊行動，這波攻擊最早可追溯到2017年，來自北韓、伊朗、俄羅斯、中國的11個國家級駭客利用這項漏洞，針對北美洲、南美洲、歐洲、亞洲、澳洲從事相關攻擊，範圍涵蓋政府機關、金融機構、電信業者、軍事單位、能源產業等領域。除此之外，也有以經濟利益為動機的駭客加入漏洞利用的行列。</p> <p>這些駭客使用LNK檔案未公布的命令列參數來觸發漏洞，從而在不被偵測到的情況下執行惡意酬載。研究人員總共找到接近1千個駭客使用的捷徑檔（Shell Link檔案，副檔名為LNK），並研判駭客實際使用的惡意檔案數量遠大於此。ZDI向微軟通報這項弱點並得到確認，但微軟起初表示該弱點並未達到服務條件，決定不予修補。在資安媒體廣泛報導ZDI的發現後，微軟發言人也做出新的說明，表示雖然該弱點雖然未達到該公司立即處理的標準，但他們將考慮在未來的功能發布當中緩解。</p> <p><a href="https://www.ithome.com.tw/news/167946"><strong style="font-size: 22px;">超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" style="width: 300px; float: right;" /></a></p> <p>去年12月德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，全球有多個國家也出現災情，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，指出駭客發起新一波的攻擊行動，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167954"><strong style="font-size: 22px;">中國駭客MirrorFace從事新一波攻擊，散布惡意程式ANEL、AsyncRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" style="width: 300px; float: right;" /></a></p> <p>2025世界博覽會即將於下個月在日本大阪市舉辦，但在此之前傳出中國駭客想要藉此攻擊與會歐洲外交單位的情況。</p> <p>資安業者ESET於去年8月偵測到中國駭客組織MirrorFace的攻擊行動，主要目標是想要參與世界博覽會的中歐外交機構。研究人員指出，這些駭客過往長期針對日本而來，這是他們首度看到攻擊歐洲相關單位的情況。這波攻擊延續去年該公司揭露的攻擊行動Operation AkaiRyū，但戰略、手段、流程（TTP）有所調整，包含使用自製的AsyncRAT變種、來自另一個中國駭客組織APT10的惡意程式Anel（也被稱做UpperCut），並採用更為複雜的攻擊步驟。</p> <p>另一方面，這些駭客也濫用開發工具Visual Studio Code（VS Code），建立遠端隧道機制，從而秘密地存取受害電腦，執行任意程式碼，或是傳送其他作案工具。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpt-vulnerability-exploited-against-us-government-organizations/">ChatGPT存在漏洞，傳出被用於對美國政府及組織下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html">供應鏈攻擊出現新手法Rules File Backdoor，恐波及AI編輯器用戶</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-android-vapor-apps-on-google-play-installed-60-million-times/">安卓惡意軟體Vapor透過逾300個App散布，於Google Play市集被下載6千萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/clickfix-widely-adopted-by-cybercriminals-apt-groups/">駭客透過ClickFix手法散布各式竊資軟體</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-ami-megarac-bug-can-let-attackers-hijack-brick-servers/">AMI旗下MegaRAC BMC存在重大漏洞，恐導致伺服器遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167940"><strong style="font-size: 22px;">Google正式宣布將以320億美元買下資安新創Wiz</strong></a></p> <p>3月18日Google宣布，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，併購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。而這是2022年該公司先後以5億美元、54億美元買下資安業者Siemplify、Mandiant之後</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> </div></div></div>
2025/3/19 18:03作者周峻佑https://www.ithome.com.tw/news/167955
超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月<a href="https://www.ithome.com.tw/news/166548">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox</a>，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，<a href="https://www.ithome.com.tw/news/166649">全球有多個國家也出現災情</a>，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-disruption-badbox-2-0/">指出駭客發起新一波的攻擊行動</a>，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家，其中，有超過三分之一裝置位於巴西（37.82%）最多，美國近五分之一（18.21%）居次，但墨西哥、阿根廷、哥倫比亞等國也都出現受害裝置。</p> <p>與BadBox相同的是，BadBox 2.0也是在低價連網裝置植入後門程式，使得攻擊者能夠遠端載入詐欺模組從事活動，而且，駭客散布惡意程式的管道，主要是透過軟體或硬體供應鏈下手，或是藉由看似良性的應用程式挾帶惡意程式載入工具，從而使用後門程式感染受害裝置。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p>Human強調，遭到感染的裝置涵蓋平板電腦、連網電視、數位投影機等多種類型，且是低價且未經過Google驗證的白牌設備，執行的是以安卓開源專案（Android Open Source Project，AOSP）打造的作業系統，並非採用Google官方認定的Android TV作業系統的連網電視，或是通過Play Protect驗證的安卓裝置。此外，這些裝置全數為中國製造，並在全球各地銷售。</p> <p>在市面上的安卓裝置當中，有不少白牌裝置開發商直接以AOSP開發作業系統，並未通過Play Protect驗證等Google相關的檢驗流程，甚至部分裝置在生產的過程裡，就可能已經被埋入惡意軟體。</p> <p>針對BadBox 2.0的發現，Satori研究人員與Google共同合作，中斷其基礎設施的運作。其中，Google在安卓裝置內建的惡意軟體防護機制Play Protect當中，能夠識別並封鎖這種惡意軟體的行動，再者，Google也終止駭客使用的Google Ad帳號。</p> <p>而從事這起攻擊的駭客，Human指出就是過往散布BadBox的那批人馬，他們確認至少有4組人馬從事BadBox 2.0攻擊行動，這些駭客包括：SalesTracker Group、MoYu Group、Lemon Group，以及LongTV。</p> <p>這些駭客各司其職，其中，SalesTracker Group管理C2基礎設施、MoYu Group負責開發後門程式BadBox 2.0並散布；Lemon Group透過殭屍網路提供代理伺服器租用服務。</p> <p>至於LongTV，則是經營一家馬來西亞的網際網路與多媒體公司，但實際上，過往該公司多款App曾被用於廣告詐欺攻擊。</p> <p>值得留意的是，這4組人馬共用C2伺服器及基礎設施，而且有緊密的業務往來。</p> </div></div></div>
2025/3/19 16:02作者周峻佑https://www.ithome.com.tw/news/167946
Google釋出Chromecast、Chromecast Audio無法運作的修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周起釋出最新版韌體，解決第2代Chromecast和Chromecast Audio暫停運作的問題。但Google回應太慢引發用戶不滿。</p> <p>上周起有戶<a href="https://www.reddit.com/r/Chromecast/comments/1j7dx8p/all_of_my_chromecast_audios_stopped_working/?rdt=64585" target="_blank">在Reddit論壇上反映</a>家中Chromecast忽然無法運作，不論是筆電或手機都無法將媒體內容利用Chromecast傳到電視。另一些用戶則通報Chromecast Audio也無法運作，重設也無效。通報案例用戶眾多，促使Google調查並於當天說明，發生問題的是第2代Chromecast及Chromecast Audio裝置，並預告正在製作修補方案。</p> <p><a href="https://www.googlenestcommunity.com/t5/Streaming/Regarding-an-issue-with-Chromecast-2nd-gen-and-Chromecast-Audio/m-p/693751#M70976" target="_blank">Google Nest團隊上周說明</a>，已開始釋出第2代Chromecast及Chromecast Audio裝置的修補程式，並從周末起逐漸部署完成。</p> <p>雖然Google於事發當天就回應，仍然引起用戶不滿。這是因為當天Google在Reddit討論區呼籲用戶不要將裝置執行回復出廠設定（factory reset）。但是用戶抱怨已經太遲，因為他們已按照Google官方支援網頁執行無效的重設，還有用戶以為產品壞掉又買了新產品。</p> <p>根據Google說明，已經回復出廠設定的用戶必須將Google Home App升級到最新版（Android為3.30.1.6版，iOS為3.30.106版）來設定第2代Chromecast及Chromecast Audio裝置。但完成App的部署需時數日，用戶可能需稍等。未重設的用戶手中的Chromecast/Chromecast Audio應該已經恢復正常運作。</p> <p>Google沒有解釋引發Chromecast、Chromecast Audio停止運作的原因，但<a href="https://www.reddit.com/r/Chromecast/comments/1j7caui/comment/mgzdt1u/" target="_blank">一名用戶判斷</a>可能是出於Chromecast產品內的憑證過期，導致出現「未受信任的裝置」的錯誤訊息。</p> <p>Chromecast問題可能也出在它已是舊產品。Google已不再開發Chromecast，<a href="https://www.ithome.com.tw/news/164341" target="_blank">去年8月Google發表TV Streamer取代</a>。</p> </div></div></div>
2025/3/18 09:08作者林妍溱https://www.ithome.com.tw/news/167908
【資安日報】3月17日，Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet今年1月公布重大層級的防火牆漏洞CVE-2024-55591，但在事隔一個月後在同一則公告提及，還有另一項身分驗證漏洞CVE-2025-24472也遭到利用，但究竟新漏洞如何遭到利用？最近有資安業者公布新的攻擊行動，並指出上述兩項漏洞都遭到利用。</p> <p>針對這項漏洞利用攻擊事故，資安業者Forescout透露是勒索軟體SuperBlack的攻擊行動，值得留意的是，他們發現駭客使用不同管道來攻擊防火牆設備，但實際上都是為了觸發相同的漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167900"><strong style="font-size: 22px;">Fortinet身分驗證繞過漏洞再傳遭濫用，勒索軟體SuperBlack藉此並串連新漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" style="width: 300px; float: right;" /></a>1月上旬資安業者Arctic Wolf提出警告，他們察覺專門針對Fortinet防火牆設備FortiGate的攻擊行動，攻擊者鎖定能公開存取的管理介面下手，駭客利用重大層級身分驗證繞過漏洞CVE-2024-55591（CVSS風險為9.6）而得逞，如今再傳有駭客組織將其串連其他漏洞的情況。</p> <p>資安業者Forescout揭露名為SuperBlack的勒索軟體，他們從1月下旬至3月初看到使用俄文的駭客組織Mora_001鎖定Fortinet防火牆而來，利用前述提及的作業系統漏洞CVE-2024-55591，以及2月份公布的CVE-2025-24472（CVSS風險為8.7）來取得初始入侵管道。</p> <p>駭客這波利用漏洞的手法致可分成兩種，一種是直接透過jsconsole介面觸發存在於WebSocket的弱點，另一種則是發送HTTP請求來進行。</p> <p><a href="https://www.ithome.com.tw/news/167886"><strong style="font-size: 22px;">國軍官兵手機遭竊被賣到中國惹議，國防部表示未有機密資料外洩</strong></a></p> <p>根據中央社、NOWnews、壹蘋新聞網等多家媒體報導，近期PTT網站上轉傳，有中國人士於社群網站微博宣稱，他在二手平臺購得臺灣國軍官兵的手機，這名官兵疑似在臺南後備137旅服役，手機受到國軍的行動裝置管理平臺（MDM）控管，內有自走炮開火，以及士兵大合照的照片，通訊錄內有部分國軍單位的聯絡資料，這樣的消息傳到臺灣，讓外界懷疑國軍內部管理不當，軍情機密可能外洩，對此，國防部也提出說明。</p> <p>3月12日國防部陸軍第八軍團指揮部發布新聞稿做出回應，證實這支手機是137旅前吳姓士兵在2023年遺失，該名士兵發現後主動到警局備案，並將手機進行註銷。對於網路流傳的資料，陸軍第八軍團經過初步確認，包含了營外訓練照片，以及群組對話內容，都沒有涉及機敏資訊。對此，他們已成立專案小組釐清。</p> <p>13日國防部長顧立雄到立法院接受質詢時也被問到此事，他指出根據外流的照片並非官兵自己用手機在營區拍攝，而是單位專責攝影人員拍攝的可公開照片，代表國軍的MDM系統確實能防止官兵在營區拍攝機密資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/new-obscurebat-malware-targets-users-fake-captchas/">惡意軟體攻擊Obscure#BAT透過社交工程手法散布，使用假的圖靈驗證讓使用者上當</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/north-korean-hackers-distributed-android-spyware-via-google-play/">北韓駭客APT37透過Google Play市集散布惡意軟體KoSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/playpraetor-malware-targets-android-users/">安卓木馬PlayPraetor藉由冒牌Google Play市集網站散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/microsoft-copilot-spoofing-a-new-phishing-vector">駭客假借提供微軟人工智慧聊天機器人服務，從事網路釣魚攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167904"><strong style="font-size: 22px;">GitHub修補SAML程式庫ruby-saml重大漏洞，並公布問題細節</strong></a></p> <p>上週GitLab針對社群版（CE）及企業版（EE）發布安全更新，修補重大層級的資安漏洞CVE-2025-25291、CVE-2025-25292（4.0版CVSS風險評分為8.8），這些漏洞出現於名為ruby-saml的程式庫，發現此事的GitHub，也在同一天透露這兩項漏洞的細節。</p> <p>針對這些漏洞的處理過程，最初GitHub是在去年11月透過漏洞懸賞專案獲報相關漏洞，然後向ruby-saml維護者通報此事，並進行一連串的嘗試修補及反覆驗證，最終1.18.0修正版ruby-saml於3月12日發布。他們強調，這項漏洞也同時影響omniauth-saml等其他運用ruby-saml的程式庫，也必須調整引用新版本的ruby-saml來避免曝險。</p> <p>而對於漏洞形成的原因，GitHub指出起因是ruby-saml在簽章驗證當中，採用了兩種不同的XML解析器REXML、Nokogiri，一旦攻擊者能使用相同的XPath查詢，觸發上述解析器處理不同的簽章元件，就有機會讓ruby-saml驗證錯誤的簽章，藉由特定的解析器差異（Parser Differential）達到繞過身分驗證的目的。</p> <p><a href="https://www.ithome.com.tw/news/167905"><strong style="font-size: 22px;">產生JSON事件記錄的Python程式庫存在高風險漏洞，恐導致任意程式碼執行</strong></a></p> <p>已經下架、刪除的Python、NPM套件，一旦攻擊者重新註冊相同的套件名稱，就有機會從事供應鏈攻擊，對引用原本套件的其他套件用戶下手，因此，這種相依性套件因「退場」機制設計不良而可能造成的資安風險，引起研究人員高度關注。</p> <p>例如，資安研究員Kartik Singh近期通報的資安漏洞，就是這種類型的例子。他指出自去年12月30日至今年3月4日發布的3.2.0、3.2.1版事件記錄轉換套件Python JSON Logger當中，存在潛在的遠端程式碼執行（RCE）漏洞CVE-2025-27607，起因是特定的相依性套件msgspec-python313-pre下架造成，CVSS風險評為8.8，開發團隊也發布3.3.0版緩解這項弱點。由於Python JSON Logger每個月的下載次數超過4,600萬，影響的範圍可能會相當廣泛。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167897"><strong style="font-size: 22px;">蘋果預告iOS將支援RCS 3.0全程加密，提升與安卓訊息互通安全性</strong></a></p> <p>蘋果透露即將於iOS支援RCS Universal Profile 3.0所新增的全程加密（E2EE）功能，強化與安卓裝置的訊息互通安全性。根據GSMA剛正式發布的端對端加密規格，RCS訊息將導入基於Messaging Layer Security（MLS）協定的加密標準，確保訊息在發送與接收的過程，不被第三方存取或竄改，並能支援多家服務供應商互通實作。</p> <p>RCS自2024年隨著iOS 18整合進蘋果生態系，提供跨平臺用戶較SMS/MMS更豐富的訊息功能，如群組聊天、高畫質圖片與影片傳輸、已讀與輸入中提示等。雖然RCS在安卓系統的實作如Google Messages早已支援加密，但iOS用戶還無法在RCS跨平臺通訊時，獲得相同層級的安全防護。</p> <p>蘋果發言人向科技新聞網站The Verge證實此事，將會在iOS、iPadOS、macOS、watchOS等作業系統推送相關功能。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/alleged-israeli-lockbit-developer.html">勒索軟體LockBit以色列籍開發人員被引渡到美國，即將接受司法審判</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> </div></div></div>
2025/3/17 17:25作者周峻佑https://www.ithome.com.tw/news/167906
iOS將支援RCS 3.0端對端加密，提升與Android訊息互通安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple即將於iOS支援<a href="https://www.gsma.com/newsroom/article/rcs-encryption-a-leap-towards-secure-and-interoperable-messaging/">RCS Universal Profile 3.0</a>所新增的端對端加密（E2EE）功能，強化與Android裝置的訊息互通安全性。根據GSMA剛正式發布的端對端加密規格，RCS訊息將導入基於MLS（Messaging Layer Security）協定的加密標準，確保訊息在發送與接收的過程，不被第三方存取或竄改，並能支援多家服務供應商互通實作。</p> <p>RCS自2024年隨著iOS 18整合進Apple生態系，提供跨平臺用戶較SMS/MMS更豐富的訊息功能，如群組聊天、高畫質圖片與影片傳輸、已讀與輸入中提示等。雖然RCS在Android系統的實作如Google Messages早已支援加密，但iOS用戶還無法在RCS跨系統通訊時，獲得相同層級的安全防護。</p> <p>而<a href="https://www.theverge.com/news/629620/apple-iphone-e2ee-encryption-rcs-messaging-android">外媒已向Apple發言人Shane Bauer確認</a>，Apple將會在iOS、iPadOS、macOS和watchOS之後的軟體更新，支援端到端加密RCS訊息。根據GSMA規格，RCS 3.0採用的MLS是一種針對大規模群組傳訊環境設計的加密協定，具備金鑰輪替、自動更新群組成員加密狀態等能力，能處理多人群組對話、成員加入與退出等複雜情境，並使每一位成員所接收的訊息都符合當下的最新加密狀態。</p> <p>也就是說，之後無論是在iOS或Android裝置建立的RCS群組，所有訊息交換都能維持動態一致且安全的加密通道。此外，這套規格進一步定義了異常狀況下的錯誤處理方式，包含加密狀態同步失敗或金鑰失效時的應對程序，避免訊息丟失或無法解讀等問題。</p> <p>跨服務供應商的互通性是這次RCS E2EE的設計重點，針對不同電信業者、系統平臺與裝置品牌間的訊息交換，規格明確制定金鑰分發與認證的標準作法。透過各家RCS服務供應商的金鑰交付服務，系統能協調不同來源的用戶在互傳訊息時，自動取得對方的公鑰並完成加密，而無須仰賴第三方伺服器存取訊息內容。</p> <p>此外，RCS 3.0的端對端加密與既有的SIM卡驗證機制整合，確保每位參與訊息交換的用戶身份，均來自有效的電信服務註冊，降低冒充或詐騙的風險。</p> </div></div></div>
2025/3/17 14:35作者李建興https://www.ithome.com.tw/news/167897
Gemini聊天機器人將在今年全面取代Google Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周五（3/14）<a href="https://blog.google/products/gemini/google-assistant-gemini-mobile/" target="_blank">宣布</a>，將在今年全面以Gemini取代Google Assistant，屆時大多數的行動裝置將無法再存取Google Assistant服務，也無法再自應用程式商店下載Google Assistant。只有無法支援Gemini的低階裝置才能繼續使用Google Assistant，像是執行Android 10以前的作業系統，以及記憶體不足2GB的裝置。</p> <p>Google於2016年推出的Google Assistant是款語音數位助理，支援Android、ChromeOS、iOS、Raspberry Pi及Ubuntu等眾多平臺。至於Gemini則是款基於AI的聊天機器人，奠基在Google於2023年發表的同名大型語言模型，早期名為<a href="https://www.ithome.com.tw/news/161254" target="_blank">Google Bard</a>，且當時Google便打算用它來取代Google Assistant，現在的Gemini支援包括繁體中文在內的逾40種語言及超過200個市場。</p> <p>迄今已有數百萬用戶從Google Assistant轉換到Gemini，Google將在未來幾個月把更多行動裝置用戶從Google Assistant升級到Gemini。只要使用者的裝置是手機或是平板電腦，具備2GB以上的記憶體，位於Gemini所支援的市場，採用Android 10或iOS 16及以上的作業系統，裝置上的Google Assistant便會在未來幾個月自動升級成Gemini。</p> <p>不只是行動裝置，Google亦計畫將平板電腦、車載系統，以及諸如耳麥與智慧手錶等可連結手機的裝置皆升級至Gemini，也將藉由Gemini改善喇叭、顯示器與電視等家用裝置的體驗，預計於未來幾個月揭露細節。在此之前，這些裝置上的Google Assistant將如常運作。</p> <p>Google列出了Google Assistant與Gemini的<a href="https://gemini.google/assistant/#comparing-gemini-with-google-assistant" target="_blank">比較表</a>，顯示出Gemini不僅能執行熱門的Google Assistant功能，像是取得答案、提供日曆/提醒與清單功能、連結地圖/Gmail/雲端硬碟、詢問YouTube內容、播放音樂、控制手機及管理智慧住宅裝置等，還能在AI的助益下以更自然的語言與Gemini交談，或是同時連結不同的應用程式以解決更複雜的任務。</p> </div></div></div>
2025/3/17 09:18作者陳曉莉https://www.ithome.com.tw/news/167889
重新定義資安預防準度與效率，Deep Instinct開闢AI資安新局
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/deep_instinct_for_endpoint-tw-main3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從進階持續威脅（APT）橫行，有不少專家提出防毒軟體無用論，認為著重在特徵碼比對的防毒產品成效不彰，於是，在企業資安市場上，出現多種主打「事中察覺」與「事後清理、阻斷、復原」解決方案，例如，進階威脅防護系統（ATP）、使用者行為分析系統（UBA）／使用者與實體行為分析系統（UEBA），以及針對威脅進行偵測與應變的端點防護方案（EDR）、網路防護方案（NDR）、橫跨多種防護的方案（XDR）。</p> <p>僅有少數廠商仍然持續強調事前預防仍大有可為，因為建立「預想被駭（Assumed Breach）」的思維固然重要，但資安預防不能因此偏廢，目前有哪些廠商積極向市場推廣這項主張？老牌資安公司Check Point正是其中一家，他們長期宣傳「預防優先（Prevention-First）策略的必要，近年來，我們看到還有另一家同樣出身以色列的資安新創公司Deep Instinct，他們也強調預防優先，宣揚資安預防是可行的，表明旗下產品提供即時預防已知與未知惡意威脅，以及詮釋這些危機的能力，海威資訊已將這個品牌引進臺灣。</p> <h3><span style="color:#0000FF;"><strong>實施快速、精準資安預防，去年擴增與整合AI資安解釋引擎</strong></span></h3> <p>關於資安解決方案的成效，Deep Instinct表示，他們運用專屬的深度學習資安框架，能夠在20毫秒內精準阻止惡意軟體的侵入，相較於目前加密資料動作最快的勒索軟體，資安預防速度可達到750倍，可及早攔阻多種元件的部署，像是負責植入或遞送惡意軟體酬載的木馬（Dropper）、維持惡意軟體存在與運作的組件（Artifact）、繞過正常身分驗程序而非法存取系統的後門程式（backdoor）等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Position.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-DI-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-DI-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-3.jpg" style="width: 298px;" /></a></p> <p>2022年下半之後，Deep Instinct也經常引用另一家資安公司Unit 221B的產品評估報告，標榜自家產品的準確率號稱超過99％（99.78％），誤判率低於0.1％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-DI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-DI-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-DI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-1.jpg" style="width: 298px;" /></a></p> <p>到了2024年5月，Deep Instinct發表首款基於生成式AI技術而成的資安助手DIANNA，全名為Deep Instinct’s Artificial Neural Network Assistant，提供解釋未知資安威脅的能力，可透過專家級的惡意軟體分析機制，強化既有的資安解決方案。</p> <p>基本上，這當中運用大型語言模型的技術，形成虛擬的AI惡意軟體分析團隊，以及事故應變專家群，能夠產生所有攻擊行為的深層分析完整敘述，揭露敵方使用的伎倆與檔案的行為，可促使資安團隊理解網路威脅的運作方式，並在資料外洩之前得以進行緩解作業。</p> <p>Deep Instinct認為，配備DIANNA之後，可結合大量資安專家的集體知識、將這些資訊嵌入大型語言模型，針對未知的指令碼、文件、原始的雙位元檔案、捷徑檔，以及其他可用來傳遞網路威脅的檔案，提供深層的惡意軟體洞察分析能力，並且經由靜態分析的方式，相當精確地找出裡面是否存在已知或未知的為非作歹意圖，並以清楚、容易理解的形式產生報告內容。DIANNA能夠解譯採用多種程式語言寫成的雙位元程式碼與指令碼，分析內容之餘，也理解當中的意圖與潛藏的動作，並解讀程式碼設計的目的，藉此判斷是否有惡意，以及如何衝擊系統的正常運作，最終整理成為以自然語言表達的分析報告。</p> <p>同時，DIANNA不只是列出分類結果，還能使資安團隊在充分知情的狀態下，制定正確的決策、有效率地排定網路威脅處理的優先順序，自動執行許多單調的分析任務，分攤資安團隊的人力負擔，提升資安維運中心（SOC）的績效，而且，因為能藉此降低誤判浪費的時間，企業與組織對於網路威脅事故的平均修復時間（MTTR）也隨之減少，進而改善資安服務與工作的滿意度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DIANNA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DIANNA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-3.jpg" style="width: 600px;" /></a></p> <p>相較於傳統採用機器學習的AI工具，Deep Instinct也點出目前的技術瓶頸，突顯自家產品優勢。例如，通常針對既有的事件記錄與網路信譽引擎，進行類似人工操作的資料摘要處理，此種作法先天上無法因應未知攻擊、提供判定當中具有惡意的洞察分析，而且只能根據有限的前後文脈絡產生回溯分析。</p> <p>對比市面上其他的資安AI對話機器人應用，在原本需仰賴深層網路威脅專業知識的惡意軟體分析工作上，Deep Instinct強調DIANNA這套威脅解釋引擎可大幅壓縮作業時間，幾秒鐘就能產生全方位的資安威脅態勢解讀報告，而且有能力分析未知資安威脅，判斷指令碼、文件、雙位元檔案是否具有惡意。</p> <h3><strong><span style="color:#0000FF;">採用專屬深度學習資安框架，一套技術通吃四大IT環境的資安預防</span></strong></h3> <p>在2024年11月之後，Deep Instinct將旗下的多種資安解決方案，從原本掛上的品牌Prevention換成Data Security X（DSX），簡而言之，目前可涵蓋端點、應用程式、NAS，以及雲端服務這四大環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DSX overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSX%20overview.png" style="width: 600px;" /></a></p> <p>舉例來說，發展時間最久、也是代理商海威資訊主打的資安解決方案，是端點防護平臺（EPP）類型的產品，先前稱為Deep Instinct for Endpoint或Deep Instinct Prevention for Endpoint（DPE），原廠網站現在統一稱為DSX for Endpoint，但上述名稱還是會使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Endpoints.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Endpoints.png" style="width: 600px;" /></a></p> <p>關於專攻應用程式防護的產品，是2022年8月推出的Deep Instinct Prevention for Applications（DPA），現稱為Deep Instinct DSX for Applications，該公司區分為DSX for Applications – Middleware、DSX for Applications – Secure File Transfer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Applications.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Applications.png" style="width: 600px;" /></a></p> <p>針對儲存系統提供防護的產品，是2023年10月推出Deep Instinct Prevention for Storage（DPS），原本涵蓋DPS for Network Attached Storage，以及DPS for Cloud Storage，前者現稱為Deep Instinct DSX for NAS，細分為DSX for NAS – Dell EMC，以及Deep Instinct DSX for NAS – NetApp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Storage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Storage.png" style="width: 600px;" /></a></p> <p>至於為雲端服務提供防護的產品，是2024年11月推出Deep Instinct DSX for Cloud，該公司目前提供DSX for Cloud – Amazon S3，以及DSX for Cloud – Amazon FSx NetApp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DSX for Cloud - Amazon S3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSX%20for%20Cloud%20-%20Amazon%20S3.png" style="width: 600px;" /></a></p> <p> </p> <p>無論保護何種環境，Deep Instinct DSX都有共通的架構，是由不同角色組成，包含：部署於端點電腦的個人端程式（D-Client）或設置在儲存設備、雲端服務的代理程式、掃描器，管理伺服器／管理主控臺（D-Appliance）、深度學習網路實驗室與類神經網路（DSX Brain），以及信譽查詢服務（D-Cloud）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE Product Architecture1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE%20Product%20Architecture1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Arch.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Deep Instinct的解決方案不僅能用於企業與組織，也支援多租戶架構的服務供應模式，因此，也能用於合作廠商、代管服務業者（MSP），以及資安服務代管業者（MSSP），這些公司可以透過單一、集中的主控臺，管理多個環境，確保所有代管的資料安全與彼此隔離。</p> <p>單就端點防護解決方案的配置架構而言，Deep Instinct提供輕量的個人端軟體D-Client，當中封裝該公司提供的AI預測模型，能藉此啟動裝置端的深層靜態分析、深層行為分析，以及其他防護引擎，並且與Deep Instinct管理伺服器溝通，個人端程式能從這裡接收政策與軟體更新，以及回傳發生在此處的事件記錄。</p> <p>D-Client可安裝在多種作業系統的電腦、伺服器，以及行動裝置，廣泛支援6大平臺，囊括Windows、Linux、macOS、iOS與iPadOS、Android、ChromeOS，足以媲美當前一線大廠的EPP、EDR，甚至超越（不少廠商的產品尚未支援行動裝置作業系統）。</p> <p>管理伺服器的部分，Deep Instinct表示，D-Appliance會設置在雲端服務，提供集中管理與監控機制，系統管理人員能透過圖表形式快速查看資安事件的狀態，也能在此設定企業資安政策。</p> <p>而在核心防護技術的部分，源於該公司發展的深度學習網路，稱為Deep Instinct Neural Network，座落在他們設置的實驗室Deep Instinct labs，能持續學習與反映不斷進化的資安威脅態勢，並非仰賴手動進行特徵工程、擷取向量等作業方式進行，而且，隨著訓練資料集的規模逐漸成長，這個神經網路可以越來越聰明。</p> <p>接著，Deep Instinct會將這個不斷執行深度學習的流程輸出為輕量的AI預測模型D-Brain，後續這套根據數億個檔案樣本訓練而成的模型，也會部署到所有列管的D-Client裝置。</p> <p>基本上，若用於端點防護，D-Brain會安裝在D-Client軟體；若用於應用程式防護，D-Brain會安裝在容器化應用程式。在這樣的架構當中，AI預測模型可針對各種裝置，提供網路威脅自動偵測與與預防能力，實施零時差漏洞濫用與進階持續性威脅（APT）的防護。</p> <p>提供持續的資安防護、抵禦未知資安威脅的漏洞濫用之餘，Deep Instinct強調，DSX Brain的更新每年僅需一到兩次，就能維持資安預防效率，即使是半年前發布的DSX Brain仍能阻擋已知、未知，以及濫用漏洞的資安威脅，無須頻繁執行更新模型的作業，相關的服務管理成本也能因此降低。</p> <p>至於信譽查詢服務，這是個選用功能，可提供額外的防護能力。Deep Instinct藉此提供基於檔案而成的信譽判定引擎，本身是數十億個檔案組成的資料庫，是從多種資料來源收集而來，之後標定為不同的判斷與類別。他們表示，運用此處儲存的已知檔案資訊，能對檔案進行重新分類的作業程序，正確的判定結果也會即時更新。</p> <h3><span style="color:#0000FF;"><strong>提供多層次的防護架構</strong></span></h3> <p>除了搭配AI深度學習訓練的AI模型，以及結合代理程式、管理伺服器的產品運作架構，Deep Instinct最終呈現在用戶面前的資安預防能力，也是涵蓋多種層次。</p> <p>如同資安威脅的處理，可區分事前、事中、事後等三個階段，Deep Instinct提供的防護能力，也分為執行前（Pre-Execution）、執行中（On-Execution）、執行後（Post-Execution），他們提供靜態分析引擎、行為分析引擎與指令碼引擎、可疑活動引擎，各自抵禦三種當前最常面臨的資安威脅：透過檔案傳遞的攻擊活動（File-based Attacks）、無檔案類型的攻擊活動（Fileless Attacks）、可疑的攻擊活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-多層安全防禦體系.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-%E5%A4%9A%E5%B1%A4%E5%AE%89%E5%85%A8%E9%98%B2%E7%A6%A6%E9%AB%94%E7%B3%BB.png" style="width: 600px;" /></a></p> <p>而在這四大資安引擎當中，靜態分析引擎其實就是Deep Instinct發展的深度學習引擎，用於執行前的資安預防處理，包含靜態分析模組與啟發分析模組，能夠執行深層掃描的檔案類型至少有21種，涵蓋常見與各國專屬的文件（PDF、Office、RTF、JTD、HWP），巨集（Macro），壓縮與軟體封裝檔（JAR、APK），二進位執行檔（PE、ELF、Mach-O），捷徑檔（LNK），字型、圖形與多媒體檔（Fonts、TIFF、SWF），以及指令碼檔（JavsScript、VBScript、PowerShell、巨集、HTA、rundll32），可預防已知與未知惡意軟體，像是勒索軟體、零時差漏洞濫用攻擊，以及基於檔案與指令碼的攻擊行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-8.jpg" style="width: 600px;" /></a></p> <p>另一條居中的防線，也就是執行中的資安預防機制，Deep Instinct提供動態與行為分析，包含兩種防護引擎，一是運用微軟防惡意軟體掃描介面（AMSI）的行為分析引擎，能夠偵測與自動因應可疑、惡意的指令碼，另一是在記憶體層級執行啟發式掃描的指令碼引擎，兩者並用之後，能夠預防多種網路威脅，像是勒索軟體、無檔案攻擊、間諜軟體（銀行木馬、鍵盤側錄器、惡意程式載入器Dropper）、遠端程式碼注入、已知與未知的殼層程式碼（shellcode）攻擊、帳密竊取、大量帳密擷取（Credential Dumping），以及繞過AMSI偵測的手法。</p> <p>在此同時，Deep Instinct可針對每一種資安威脅，提供額外的前後文脈絡，以便了解嚴重性與攻擊者發動的戰術，因此能夠列出可疑事件，方便後續進行威脅獵捕的工作，以及提供MITRE ATT&CK框架的攻擊手法對應，並且產生信譽高低的分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-5.jpg" style="width: 600px;" /></a></p> <p>至於執行後的預防，Deep Instinct提供選用的可疑活動引擎，能透過偵測規則的自動比對與分析來判斷網路威脅，能夠依據信譽分數或控管政策，以及用戶自行匯入的允許清單，推翻原本訂定的資安決策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-7.jpg" style="width: 298px;" /></a></p> <p>而且，在這個階段的作業過程裡面，所有資安預防事件可集中至Deep Instinct的管理主控臺，整合到資安資訊與事件管理系統（SIEM），以及資安調度指揮、自動處理與應變系統（SOAR）、端點偵測與應變系統（EDR），也能透過REST API、Syslog、SMTP與其他資安解決方案協同合作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-DI-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-DI-2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Deep Instinct DSX系列目前主打的四大防護環境，對照前幾年他們提出的Deep Instinct Prevention Platform，其實對應到的IT環境是三種類型：端點、應用系統、雲端服務或儲存系統（Deep Instinct Prevention for Storage原本包含DPS for NAS、DPS for Cloud Storage，現在則區分為DSX for NAS、DSX for Cloud），其實還有一種產品類型尚未納入，那就是網站閘道（Web Gateway）。</p> <p>此類專司線上內容傳遞的系統過去只能仰賴傳統防毒降低資安風險，雖然後來市場上出現新技術，像是沙箱檢測（Sandboxing）、內容威脅解除與重組（CDR），但可能都面臨使用效率不彰、協同合作架構較複雜的挑戰，Deep Instinct過去曾提供Deep Instinct for Web Gateways，可透過ICAP協定接取，藉此進行AI靜態分析、進行資安預防處理，或許未來這類解決方案也有可能重新浮出檯面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20Platform-4%20use%20case.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Deep Instinct Prevention for Endpoint</span><br /> ●原廠：Deep Instinct<br /> ●建議售價：廠商未提供<br /> ●支援作業系統：Windows（7至11，Server 2008 R2至2022）、macOS（10.12至11）、Linux（RHEL 7.9與8.0、CentOS 7.9、Ubuntu 20.04、AWS Linux 2 Kernel 4.14.x、Oracle Linux 7.9）、Android（8以上）、iOS（12以上）、ChromeOS<br /> ●支援虛擬化平臺：Amazon Workspaces、Citrix Hypervisor與XenDesktop、VMware ESX與Horizon、Microsoft Hyper-V、Oracle VirtualBox<br /> ●組成架構：部署於端點電腦或伺服器的代理程式D-Client、管理伺服器與管理主控臺、雲端信譽查詢服務D-Cloud、部署於端點電腦與容器化應用程式的預測模型D-Brain、設置於Deep Instinct labs的類神經網路Deep Instinct Neural Network</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/16 12:52作者李宗翰https://www.ithome.com.tw/review/167612
強化資料自主權與品質，Android Health平臺新增背景讀取、歷史記錄存取等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對旗下Android健康資料平臺Health Connect<a href="https://android-developers.googleblog.com/2025/03/health-connect-jetpack-sdk-now-in-beta.html">推出</a>了多項功能更新，其中包括背景讀取權限、歷史記錄存取，以及正式將Jetpack SDK推進Beta階段。這些功能的推出，除了提升資料的準確性與可用性，也更明確地將資料的控制權交回使用者手中。</p> <p>Health Connect平臺的核心概念在於提供一個統一的儲存點，讓使用者可以集中管理來自不同健康和健身應用的資料，避免資訊孤島的問題。此次更新的重要變更，是強制要求開發者在寫入資料時指定記錄方法，例如手動輸入、自動偵測等，以確保資料來源的清晰可追溯性。過去應用程式可以自由選擇是否提供這些後設資料，但現在這項規範將有助於提升資料分析的準確性與可靠性。</p> <p>另一方面，Health Connect也新增了背景讀取權限，允許獲得使用者明確授權的應用程式，即使在背景執行時也能讀取健康資訊。這項權限的管理仍由使用者主導，使用者可以隨時在系統的Health Connect設定中檢視、修改或撤回這項授權。</p> <p>此外，Health Connect放寬了過去僅能存取最近30天資料的限制，新增了歷史健康資料讀取權限。在使用者明確同意之下，應用程式將可讀取超過30天範圍的歷史健康紀錄，有助於提供更完整且連續性的健康分析報告。與背景讀取權限一樣，使用者隨時都能在設定內掌控並管理此授權狀態。</p> <p>在資料類型的擴充方面，Health Connect也新增如運動路徑及皮膚溫度等資料類別，前者可將用戶的運動路徑資料同步至其他指定應用程式，以利於跨應用程式的整合分析；皮膚溫度則提供生理健康指標，像是睡眠品質、健康監測或其他相關資料的深度分析。此外，針對運動訓練需求，也新增了計畫運動資料類型，使訓練類應用程式可撰寫並讀取詳盡的訓練計畫與結果，提供更精細的使用者訓練進度回饋。</p> <p>Health Connect目前已在Android 14及更高版本的裝置上預設安裝，舊版本Android裝置則可從Google Play商店下載。</p> </div></div></div>
2025/3/13 12:14作者李建興https://www.ithome.com.tw/news/167841
衛福部正式啟動臺灣醫療資訊標準大平臺，力推3大國際標準、為未來10年打基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處今日（3/12）正式啟動臺灣醫療資訊標準大平臺，力推醫界採用國際醫療資料交換標準FHIR、臨床品質語言CQL、醫療應用程式標準SMART，來實現資料統一、規則統一和應用程式統一的三大目標。</p> <p>也就是說，醫院電子病歷採用FHIR，可解決病人轉診時，不同醫院間交換醫療資料不便的痛點。而導入CQL，則能由政府統一健保申報規則程式，一旦規則更動，各家醫院不必再自行修改程式、從政府網站下載即可，而且，導入CQL也有助於醫院評鑑的標準化。至於SMART on FHIR就像是醫療應用程式的App商店，以公認標準讓開發者打造各種智慧應用或AI程式，來發揮醫療資料價值。</p> <p><span style="font-size:22px;"><strong>臺灣電子病歷面臨的3大難題</strong></span></p> <p>主推這項政策的衛福部資訊處處長李建璋指出，這個臺灣醫療資訊標準大平臺，是要靠統一標準，來結合醫療與IT。</p> <p>他舉例，在沒有網路的世界，資料交換得靠燒錄光碟、影印資料、打電話溝通，但這卻是目前臺灣電子病歷的現況。雖然有網路，但各家醫院的電子病歷系統並不相容，資料交換還是得仰賴傳統方法。</p> <p>這也衍生出臺灣電子病歷面臨的3大痛點。首先是資料標準不統一，即便大至醫學中心、小至診所幾乎已無紙化，但各自開發的電子病歷系統標準不一，因此病人跨院轉診時，其資料交換還是有障礙，得仰賴傳統方法彌補。</p> <p>再來是規則標準不統一，李建璋說明，健保申報規則得與時俱進、時常修改，尤其出現新適應症時，醫院IT就得跟著快速修改程式，基層院所更得花一筆費用，請委外廠商臨時修改健保申報程式，才能重新申報。於是，李建璋認為，若由政府統一健保申報規則，建置一套國家規則圖書館（Rule Library），就可統一修改、更新健保申報規則，再開放醫療院所下載即可。</p> <p>還有一個痛點是應用程式不統一，這是因為，醫療院所各自發展電子病歷系統，導致要導入智慧醫療應用程式時，得仰賴人工客製化改寫再導入，無法真正擴散使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%95%8F%E9%A1%8C(1).JPG" /></p> <p><span style="font-size:22px;"><strong>衛福部祭出3大方法，要解決現行電子病歷痛點</strong></span></p> <p>針對資料標準不統一的痛點，李建璋比喻，促成網際網路大爆發的是HTML、HTTP等網路標準，而FHIR就是醫療資訊界的HTML。有了FHIR這個共通語言，電子病歷的資料互通門檻就大幅降低，跨院所資料交換也更容易，甚至電子病歷資料能透過FHIR，經患者許可連接到Apple Health等智慧醫療應用程式，來進行個人健康管理應用。這是衛福部推動醫界導入FHIR的原因。</p> <p>不過，由於各地文化不同，有許多特殊醫療形態，比如臺灣有中醫、國產藥物，因此得制定自己的國家FHIR實作指引（簡稱IG），也就是一套操作說明，來說明如何使用FHIR規範。目前，在FHIR官方登記實作指引的國家有23個，臺灣也名列其中，目前已登記4個IG，包括臺灣核心實作指引（TW Core IG）。這個IG包含20大類、109個日常的醫療看診、照護項目，衛福部鼓勵民間在這基礎上擴展，比如發展出收集流感資料的IG、癌篩IG、長照IG、保險理賠IG等。</p> <p>對於規則不統一的痛點，衛福部則推廣醫界導入CQL。李建璋說明，CQL是一套醫療用的國際標準程式語言，包含了醫療概念和文法，其設計非常直覺、很好上手。衛福部計畫用CQL編寫健保申報、評鑑規則，並將這些規則置於國家規則圖書館（類似代碼庫），未來供醫界取用。</p> <p>最後，對於應用程式標準不統一的問題，衛福部要推SMART，也就是以FHIR為基礎，發展而成的應用程式標準，就像iOS、Android一樣，如此就能快速擴展智慧醫療應用程式的使用。</p> <p>於是今日，衛福部正式<a href="https://medstandard.mohw.gov.tw/">啟動臺灣醫療資訊標準大平臺</a>，設置了專屬網站，集結FHIR、CQL和SMART相關工具資源和臺灣進展，供產官學界使用。</p> <p>「我們要後發先制，把資料統一、規則統一和應用統一的技術準備好，」李建璋點出這項政策的用意，就是要打造世界級的臺灣智慧醫療基礎建設、形塑生態系，以利於未來10年、20年智慧醫療發展。</p> <p><span style="font-size:22px;"><strong>次世代數位醫療辦公室揭三大目標進展</strong></span></p> <p>今日，衛福部旗下次世代數位醫療平臺辦公室團隊，也說明了臺灣醫療資訊標準大平臺上的FHIR、CQL和SMART資源與進展。</p> <p>就FHIR來說，在臺灣醫療資訊標準大平臺正式啟動前，衛福部資訊處和民間專家已有不少努力，在推動FHIR聯測和FHIR IG制定（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20171953.png" /></p> <p>而這次，次世代數位醫療平臺辦公室特別介紹了IG管理／共創平臺審核機制，鼓勵民間提案FHIR IG。團隊解釋，審核流程與先前差異不大，主要多了TW CDI（臺灣核心互通資料群）和TW CDI+資料元素提案，也就是說，民間提案的資料元素若不在原本的20大類、109項中，就會按照下圖虛線流程審核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20172004.png" /></p> <p>這個審查包含基本審查和進階審查2種模式，其中，團隊希望藉基本審查方式，來加速民間IG提案。</p> <p>此外，團隊也介紹TW CDI和TW CDI+的提案審核流程（如下圖）。因為，光有FHIR還不夠，FHIR像是框架定義，而框架中的資料內容，還得由TW CDI來定義，來表示最小的資料交換值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20172014.png" /></p> <p>再來，針對規則圖書館，次世代數位醫療平臺辦公室說明，CQL結構簡單，包含3大部分：Valueset設定、邏輯設定和決策設定，可用於健保給付和品質評估（評鑑）兩大應用場景。</p> <p>也就是說，CQL可讀取FHIR欄位內容，截取這些內容並進行量化運算。這正是衛福部推動CQL的用意，希望導入CQL來自動化收集和提交資料，減少醫院手動作業，同時兼顧健保給付規則更新和品質評估。次世代數位醫療平臺辦公室也在去年，試做了50項健保申報相關的CQL規則。</p> <p>至於SMART on FHIR，團隊已在<a href="https://medstandard.mohw.gov.tw/smart/about">臺灣醫療資訊標準大平臺上公布實作步驟</a>，供醫資人員參考。</p> <p></p> </div></div></div>
2025/3/12 17:31作者王若樸https://www.ithome.com.tw/news/167833
【資安週報】0303~0307，彰基醫院遭勒索軟體CrazyHunter攻擊，預期可能出現系統化攻擊狀況，全臺關鍵CI…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年3月第一星期的資安新聞，在臺灣資安事件方面，以彰化基督教醫院在二二八連假遭勒索軟體攻擊的事件，受到最多的矚目，因為這次與上個月馬偕紀念醫院面臨的威脅相同，都遭遇CrazyHunter這支勒索軟體，也傳出AD伺服器都受影響，未來不排除還有其他醫院成為攻擊目標。在後續應變上，衛生福利部也舉行緊急資安會議，請遭遇攻擊事故的醫院分享其清除與防禦經驗，並發布醫院面對勒索軟體攻擊的應變指南。</p> <p>●彰化基督教醫院自3月1日遭受勒索軟體攻擊，衛福部資訊處指出此事件也是CrazyHunter這支勒索軟體的攻擊，因此定調為「系統性攻擊」事件。<br /> ●在駭客論壇BreachForums有自稱是Crazy Hunter的人士聲稱，要兜售大量馬偕醫院病人資訊，開價10萬美元。<br /> ●LED大廠富采投資控股（Ennostar）代子公司晶成半導體發布重訊，說明晶成VPN系統遭駭客密碼攻擊。<br /> ●友輝光電、新纖實業相繼發布資安重訊，揭露公司資訊系統遭受駭客網路攻擊。</p> <p>在威脅態勢方面，2025年的網路安全展望是最大新聞焦點，例如：我們最近發布的封面故事，聚焦世界經濟論論壇（WEF）最新報告的結果，並針對3大重點進行探討，包括：網路安全威脅態勢日益複雜，不只受網路犯罪快速進化影響，還有地緣政治、供應鏈、法規、AI與資安技能缺口的交互影響；強調企業管理層需體認網路安全威脅對經濟的影響，從資安經濟學思考，並在迎接AI新興科技應用新機會時，一併建立正確使用觀念與文化；AI資安發展持續受到各界重視，我們從CDM矩陣看AI如何幫助各種網路防禦工具，也探討用LLM解決威脅情資、促進軟體開發安全的問題，以及AI資安長、AI代理的議題。</p> <p>其他最新威脅態勢，近期火紅的DeepSeek持續成為所有人熱烈討論的AI應用，雖然多國公家機關已明令禁止使用，但企業應用新的語言模型也必需重視相關風險評估，我國資安院也發布分析報告供外界了解；還有兩起威脅活動與臺灣有關值得留意，分別是惡意軟體Winos 4.0與後門程式Sagerunex的攻擊活動。</p> <p>●資安院公布DeepSeek AI測試結果，指出其安全性及防護機制不足，且該模型需符合中國政策要求，導致知識內容受限、敏感議題自我審查問題，不建議使用。<br /> ●資安業者Fortinet針對惡意軟體Winos 4.0攻擊行動提出警告，指出駭客2月底開始鎖定臺灣企業組織，寄送正體中文書寫、假冒財政部的釣魚信來發起攻擊。<br /> ●思科Talos揭露中國駭客Lotus Blossom最新一波散布後門程式Sagerunex的活動，攻擊目標是鎖定臺灣、菲律賓、越南等國家。<br /> ●微軟威脅情報中心示警，中國駭客組織Silk Typhoon在2024年底大舉鎖定雲端服務供應商、遠端管理工具與特權存取管理系統來攻擊，以入侵企業雲端環境。<br /> ●勒索軟體駭客Akira有新的規避偵測手法，先找到未受保護的網路攝影機入侵，以成功迴避EDR偵測並部署勒索軟體。</p> <p>此外，2024年初安洵信息文件外洩，曝光了该公司幫助中國政府的駭客攻擊行為，如今美國檢察官辦公室有新行動，起訴了中國資安業者安洵信息的10名中國員工，並指出安洵的員工聽令於中國政府，對全球從事網路攻擊。</p> <p>至於漏洞消息方面，這星期有11個漏洞利用狀況，其中VMware ESXi的3個零時差漏洞利用需特別關注，我們整理如下：</p> <p>●博通修補VMware ESXi修補3個已遭利用零時差漏洞CVE-2025-22224、CVE-2025-22225、CVE-2025-22226，並表示有資訊表明這些漏洞已被廣泛利用。<br /> ●Google修補Android兩個已遭零時差漏洞CVE-2024-43093、CVE-2024-50302，後者傳出被塞爾維亞警方於去年12月濫用於解鎖社運人士手機。<br /> ●Linux Kernel去年11月修補的漏洞CVE-2024-50302，Progress去年6月修補WhatsUp Gold的漏洞CVE-2024-4885，如今發現針對未修補用戶的攻擊。<br /> ●還有4個老舊漏洞被美CISA列入已知被利用漏洞清單，包括：7年前微軟修補Windows Win32k系列核心驅動程式檔的漏洞CVE-2018-8639；3年前Hitachi Vantara修補Pentaho BI伺服器的漏洞CVE-2022-43769、CVE-2022-43939 ；2年前思科修補RV系列路由器的漏洞CVE-2023-20118。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167624"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月3日】駭客組織假冒國稅局的名義，針對臺灣企業散布惡意軟體Winos 4.0</span></strong></a></h3> <p>去年惡意軟體Winos 4.0傳出多起資安事故，駭客主要的攻擊目標是中國用戶，但今年出現專門針對臺灣而來的攻擊行動，企業組織要提高警覺。</p> <p>這波攻擊行動駭客冒充財政部，聲稱要對收件人進行查稅，實際上，卻是從事網路釣魚攻擊，而且，駭客在電子郵件特別要求將信件轉傳給財務主管，因此，攻擊者很有可能刻意將這樣的釣魚信寄給基層員工，借刀殺人。</p> <h3><a href="https://www.ithome.com.tw/news/167658"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月4日】彰化基督教醫院二二八連假遭到網路攻擊</span></strong></a></h3> <p>繼馬偕醫院遭遇勒索軟體攻擊之後，不到一個月的時間，又有醫院遭到網路攻擊的資安事故，這次的苦主是彰化基督教醫院。由於時間點相近，很難不讓外界將兩起事故聯想在一起。</p> <p>雖然彰基發布公告證實在連假期間遭遇攻擊，但他們對於事故的細節並未多做說明，直到主管機關衛福部透露他們已介入調查，初步排除是勒索軟體攻擊的可能性。</p> <p><a href="https://www.ithome.com.tw/news/167678"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月5日】馬偕、彰基接連遭到勒索軟體Crazy Hunter攻擊，衛福部表示駭客恐將系統性對全臺醫院出手</span></strong></a></p> <p>針對馬偕醫院、彰化基督教醫院先後遭到攻擊的資安事故，由於兩起事故間隔不到一個月，讓人不禁聯想是否為相同駭客所為，如今衛生福利部證實，兩家醫院都是遭到勒索軟體Crazy Hunter攻擊，研判駭客打算對臺灣醫院進行系統性的攻擊。</p> <p>另一方面，駭客也在駭客論壇聲稱握有馬偕醫院所有病人的個資，並開價10萬美元尋求買家，這樣的情況我們要提高警覺，防範接下來歹徒利用這些資料從事詐騙的情況。</p> <h3><a href="https://www.ithome.com.tw/news/167718"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月6日】美國指控中國資安業者安洵是中國政府從事全球網路間諜活動的打手</span></strong></a></h3> <p>一年前中國資安業者安洵信息（i-Soon、Anxun）內部資料外流，從而讓外界得知中國政府透過民間公司對他國從事駭客攻擊的情況，如今美國政府也採取進一步的法律行動。</p> <p>值得留意的是，美國司法部不光提及當地政府機關、宗教機構、新聞媒體受害，他們特別表示臺灣、韓國、印度、印尼的外交部也慘遭毒手。</p> <h3><a href="https://www.ithome.com.tw/news/167737"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月7日】勒索軟體駭客Akira透過缺乏防護的網路攝影機散布惡意程式，加密網路環境的檔案</span></strong></a></h3> <p>企業想要防禦勒索軟體攻擊，EDR系統扮演舉足輕重的角色，過往駭客大多試圖迴避端點電腦及伺服器上的代理程式，其中一種相當氾濫的手法是自帶驅動程式（BYOVD）攻擊，但如今有駭客乾脆不與EDR正面衝突，而是尋找企業其他弱點下手。</p> <p>例如，最近資安業者S-RM揭露的勒索軟體Akira攻擊，在EDR成功攔截勒索軟體之後，駭客將目標轉向缺乏防護的網路攝影機而得逞。這樣的事故突顯企業必須提升物聯網裝置的安全，以免這類設備成為資安防線的破口。</p> <p> </p> </div></div></div>
2025/3/10 11:48作者羅正漢https://www.ithome.com.tw/news/167756
傳Google正在開發Pixel 10專用的AI代理人Pixel Sense
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android Authority<a href="https://www.androidauthority.com/google-pixel-sense-3531570/" target="_blank">報導</a>，Google正在開發AI代理人，以專門執行在下一代旗艦手機Pixel 10。</p> <p>Google一直以來就希望能開發具情境感知的智慧AI代理人，但過去幾代Google Assistant都不太成功。2023年底，一則<a href="https://www.androidauthority.com/google-pixie-3394619/" target="_blank">報導指出</a>Google計畫開發一個專門用於Pixel手機的裝置端（on-device）AI代理人，名為Pixie，Pixie可線上或線下提供智慧助益，且用戶資訊僅限用戶存取，連Google都看不到。</p> <p>當時的規劃是讓Pixie連同2024年的Pixel 9問世。最終世人並沒有見到Pixie。不過Android Authority引述Google內部消息來源<a href="http://www.androidauthority.com/google-pixel-sense-3531570/" target="_blank">報導</a>，Google計畫在Pixel 10旗艦手機重拾Pixie計畫，但是將重新命名為Pixel Sense。</p> <p>據Google規劃，Pixel Sense的宗旨是「依據使用者在Pixel上的所作所為，打造完全個人化體驗」。簡單來說，它會蒐集Pixel 10手機上多種Google應用程式紀錄，包括Calendar/Contacts、Chrome、Google Docs、Gmail、Maps、YouTube、YT Music等，它也可以處理多媒體檔案、文字、AI生成的內容及相關meta data，或是擷圖，讓使用者利用Pixel Sense App整理或搜尋手機擷圖。</p> <p>消息人士透露，Pixel Sense能適時提供個人化建議，像是及時建議某個地名、產品、或某位聯絡人姓名；更快完成任務，例如利用用戶手機更快完成日常事務；或是學習用戶興趣，學習對用戶最重要的主題，且和用戶一起成長。</p> <p>Pixel Sense實現上述任務的技術原理不明，不過若是緣自Pixie，則極可能使用Google小模型Gemini Nano。Android Authority並推測，在手機硬體上，Pixel Sense可能會基於Tensor晶片。</p> </div></div></div>
2025/3/10 10:42作者林妍溱https://www.ithome.com.tw/news/167750
【資安日報】3月7日，勒索軟體駭客Akira透過缺乏防護的網路攝影機散布惡意程式，加密網路環境的檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業想要防禦勒索軟體攻擊，EDR系統扮演舉足輕重的角色，過往駭客大多試圖迴避端點電腦及伺服器上的代理程式，其中一種相當氾濫的手法是自帶驅動程式（BYOVD）攻擊，但如今有駭客乾脆不與EDR正面衝突，而是尋找企業其他弱點下手。</p> <p>例如，最近資安業者S-RM揭露的勒索軟體Akira攻擊，在EDR成功攔截勒索軟體之後，駭客將目標轉向缺乏防護的網路攝影機而得逞。這樣的事故突顯企業必須提升物聯網裝置的安全，以免這類設備成為資安防線的破口。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167723"><strong style="font-size: 22px;">物聯網設備成內網資安軟肋！勒索軟體駭客Akira被EDR攔下，竟轉向缺乏防護的網路攝影機下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Camera off- Akira infographic.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Camera%20off-%20Akira%20infographic.jpg" style="width: 300px; float: right;" /></a></p> <p>在過往勒索軟體攻擊事故裡，駭客多半針對Windows電腦而來，最近2至3年也針對VMware虛擬化平臺打造Linux版加密工具，如今駭客盯上缺乏EDR系統防護的物聯網設備，從而迴避企業組織的偵測。</p> <p>提供威脅情資及風險顧問的資安業者S-RM揭露不尋常的勒索軟體Akira攻擊事故，受害組織在網路環境裡的伺服器部署了EDR系統，成功偵測並攔截勒索軟體攻擊，然而駭客並未就此收手，而是進行網路掃描，找到未受保護的網路攝影機入侵，成功迴避EDR偵測並部署勒索軟體。</p> <p>然而，在駭客嘗試從受到密碼保護的ZIP檔解出勒索軟體執行檔過程裡，受害主機的EDR工具偵測到異狀並進行隔離。於是這些駭客改變作法，對內部網路進行掃描，發現網路攝影機及指紋掃描器等多種物聯網設備並未受到EDR系統保護，因此駭客可能藉由滲透這些設備來迴避偵測。</p> <p><a href="https://www.ithome.com.tw/news/167735"><strong style="font-size: 22px;">微軟Graph API、SharePoint同時遭到濫用，駭客發起ClickFix攻擊，意圖散布惡意程式框架Havoc</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-havoc-sharepoint-c2.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-havoc-sharepoint-c2.jpeg" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet揭露散布惡意程式框架Havoc的攻擊行動，駭客結合ClickFix與多階段惡意程式攻擊手法，試圖於受害電腦植入Havoc的代理程式。駭客為了隱匿攻擊行動，運用SharePoint網站存放惡意軟體，並濫用微軟Graph的API來建立C2通訊。</p> <p>這起事故的發生，攻擊者在初期是透過挾帶HTML檔案的釣魚郵件進行，信件以急促的內容要求收信人立刻開啟附件。一旦收信人照做，就會落入駭客的ClickFix攻擊圈套，此HTML檔案會在瀏覽器顯示假的錯誤訊息，要求依照指示將指令貼上終端機並執行，修復無法連上「One Drive」雲端服務的問題。</p> <p>看似如此，但暗地裡，駭客從SharePoint下載指令碼檔案，檢查受害電腦的環境，下載解譯器並執行Python指令碼，載入名為KaynLdr的Shell Code載入工具，最終於受害電腦部署Havoc。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167671">2025年3月彰化基督教醫院遭勒索軟體攻擊事件歷程總整理（持續更新中）</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/medusa-ransomware-hits-40-victims-in.html">勒索軟體Medusa今年已有超過40家企業組織受害，最高可能索討1,500萬美元贖金</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/encrypthub-deploys-ransomware-and.html">駭客組織EncryptHub透過木馬化應用程式、惡意軟體散布服務，意圖散布勒索軟體、竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/167734">2025全球資安局勢大解析</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167726"><strong style="font-size: 22px;">Elastic修補Kibana危險程度近乎滿分的漏洞，攻擊者有機會用來執行任意程式碼</strong></a></p> <p>3月6日資料圖解分析系統Kibana發布安全性更新8.17.3版，負責此產品開發的資料搜尋和分析解決方案業者Elastic修補重大層級的任意程式碼執行漏洞CVE-2025-25015，影響8.15.0版以上的Kibana，CVSS風險評分達到9.9（滿分10分），該公司呼籲IT人員應儘速將Kibana升級至最新版本。</p> <p>這項漏洞與原型汙染（Prototype Pollution）有關，攻擊者只要發出特製的HTTP請求，或是上傳特製的檔案，就有機會執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/167719"><strong style="font-size: 22px;">FlashSystem、Storwize儲存陣列用戶注意！IBM修補Storage Virtualize儲存平臺漏洞，包括繞過身分驗證的重大漏洞</strong></a></p> <p>身為主要儲存與伺服器設備供應商之一的IBM，於2月28日發布旗下主力儲存軟體平臺Storage Virtualize的安全公告，修補2個漏洞，包括1個高危險性的重大漏洞。這次IBM修補的2個Storage Virtualize漏洞，都是GUI控制臺介面所造成，CLI文字命令列介面則不受影響，包括：</p> <p>CVE-2025-0159，這是嚴重性評分9.1的重大漏洞，起因是RPCAdapter服務的限制不當，導致擁有系統存取權限的遠端攻擊者可執行任意Java程式碼。</p> <p>CVE-2025-0160，這是嚴重性評分8.1的重大漏洞，可允許遠端攻擊者藉由發送特別製作的HTTP請求，繞過RPCAdapter端點驗證。</p> <p><a href="https://www.ithome.com.tw/news/167720"><strong style="font-size: 22px;">Vim文字編輯器修補透過tar檔案執行惡意指令漏洞</strong></a></p> <p>在Linux環境中廣獲使用的Vim文字編輯器，於2月3日發布安全公告，修補先前更新時產生的tar檔案處理漏洞，解決辦法是將Vim文字編輯器更新到9.1.1164版本。</p> <p>這個漏洞CVE-2025-27423，是嚴重性評分7.1的高危險漏洞，起因是Vim專案在去年11月時，為了替vim.tar plugin元件引進權限功能而做的修改，反而在這個plugin元件中產生安全風險。vim.tar是用於檢視壓縮或未壓縮tar檔案的元件，在先前的更新中，由於對:read ex指令的處理不當，允許攻擊者透過特別製作的tar檔案，當用戶開啟這些檔案時，可能因此觸發並執行這些檔案中潛藏的shell指令。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-26776-cvss-10-in-chaty-pro-plugin-exposes-thousands-of-wordpress-sites-to-takeover/">整合即時通訊軟體交談功能的WordPress外掛存在10分漏洞，攻擊者有機會挾持整個網站</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167668"><strong style="font-size: 22px;">防詐機制必須更普遍落實在各種連網設備上，Google提供新的做法</strong></a></p> <p>為了維護Pixel手機用戶的安全，Google發表了全新的AI詐騙偵測功能，涵蓋透過Google Messages的詐騙，以及詐騙電話偵測能力，以於用戶收到詐騙訊息及電話時跳出通知。該功能將率先於美國、英國及加拿大推出，現階段僅支援英文，預期很快就會拓展至其他市場。</p> <p>Google針對Android平臺開發的Google Messages可支援簡訊（SMS）、多媒體簡訊（MMS）以及豐富通訊服務（RCS）的傳遞，該公司利用AI即時偵測Pixel手機用戶所收到的Google Messages，不管是SMS、MMS或RCS，而且會在發現可疑模式時警告用戶，使用者可以選擇忽略、檢舉或是封鎖寄件者。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167718"><strong>【3月6日】美國指控中國資安業者安洵是中國政府從事全球網路間諜活動的打手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167678"><strong>【3月5日】馬偕、彰基接連遭到勒索軟體Crazy Hunter攻擊，衛福部表示駭客恐將系統性對全臺醫院出手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167658"><strong>【3月4日】彰化基督教醫院二二八連假遭到網路攻擊</strong></a></p> </div></div></div>
2025/3/7 12:41作者周峻佑https://www.ithome.com.tw/news/167737
Google、Mozilla發布Chrome 134、Firefox 136新版瀏覽器，修補高風險越界存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月4日Google、Mozilla基金會發布瀏覽器大改版<a href="https://chromereleases.googleblog.com/2025/03/stable-channel-update-for-desktop.html">Chrome 134</a>及<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-14">Firefox 136</a>，修補高風險層級的資安漏洞，用戶應儘速升級。</p> <p>本次Google發布的134版Chrome當中，一共修補9項弱點，其中的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1914">CVE-2025-1914</a>評為高風險層級，其餘有6個為中度風險、2個低風險層級，Google向通報漏洞的研究人員頒發2.7萬美元獎勵，其中有7,000美元是頒給通報CVE-2025-1914的Zhenghang Xiao、Nan Wang。</p> <p>針對CVE-2025-1914這項弱點，是出現在JavaScript引擎V8的記憶體越界讀取（OBR）漏洞，遠端攻擊者可利用特製的HTML網頁觸發，從而達到越界存取的行為，CISA評估此漏洞風險值為8.8（滿分10分）。</p> <p>值得留意的是，雖然Google評估大部分漏洞的危險程度僅有中度或低度，但是CISA認為有些漏洞的危險性可能被低估，他們指出<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1916">CVE-2025-1916</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1918">CVE-2025-1918</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1919">CVE-2025-1919</a>危險程度和CVE-2025-1914相同，都達到8.8分，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1915">CVE-2025-1915</a>也達到高風險層級，危險程度為8.1分，而這些漏洞Google都評為中度風險。</p> <p>Mozilla基金會同日發布Firefox 136，總共修補15項漏洞，其中有8項高風險漏洞、5項中度層級弱點，以及2項低風險弱點。</p> <p>根據CISA評分，最危險的是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1932">CVE-2025-1932</a>，這項漏洞存在於處理可延伸樣式表轉換語言（XSLT）的元件，一旦攻擊者觸發，就有機會造成越界存取，這項漏洞影響Firefox 122以上版本，CVSS風險達到9.8分，相當危險。值得留意的是，Mozilla基金會同時針對<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-16/">Firefox延伸支援版本（ESR）發布128.8版</a>修補這項漏洞，並指出收信軟體Thunderbird也受到影響。</p> <p>附帶一提的是，Mozilla也在<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-15/">Firefox ESR 115.21</a>、128.8版修補重大層級的漏洞CVE-2024-43097，此漏洞最早是去年12月Google揭露，<a href="https://source.android.com/docs/security/bulletin/2024-12-01?hl=zh-tw">他們為安卓作業系統進行修補</a>，並指出該漏洞為權限提升漏洞。問題都源於兩種系統使用的圖形處理程式庫檔案SkRegion.cpp，當中的resizeToAtLeast函式出現整數溢位錯誤，而有可能會造成越界寫入（OBW）的情況。</p> </div></div></div>
2025/3/6 11:59作者周峻佑https://www.ithome.com.tw/news/167705
Google發布3月安卓例行更新，修補2項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月3日Google發布資安公告，<a href="https://source.android.com/docs/security/bulletin/2025-03-01?hl=zh-tw">推出安卓作業系統本月份例行更新</a>，總共修補44項弱點，值得留意的是，他們提及有兩項漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-43093">CVE-2024-43093</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-50302">CVE-2024-50302</a>被少數人利用，從事攻擊行動。</p> <p>這兩項漏洞能被用於權限提升與資訊洩露，根據CVSS風險評分，危險程度較高的是權限提升漏洞CVE-2024-43093，這項弱點出現於安卓作業統的框架、Google Play系統更新的子元件Documents UI，起因是在名為ExternalStorageProvider.java的元件，存在錯誤的Unicode正規化處理，使得攻擊者有機會繞過檔案路徑過濾機制，存取敏感資料夾，而有可能導致本機權限提升，風險值為7.8。不過，攻擊者若要利用這項漏洞，需要與使用者互動，才能得逞。</p> <p>另一項零時差漏洞CVE-2024-50302存在於Linux作業系統核心子元件HID，為資訊洩露漏洞，這項弱點的癥結在於產生統計報告所用的記憶體緩衝區，可被各式驅動程式運用，攻擊者可藉由特製的報告觸發漏洞，而有機會洩露核心記憶體的內容，CVSS風險為5.5。附帶一提的是，這項漏洞已傳出<a href="https://securitylab.amnesty.org/latest/2025/02/cellebrite-zero-day-exploit-used-to-target-phone-of-serbian-student-activist/">被塞爾維亞警方於去年12月</a>濫用，他們將其用於解鎖社會運動人士的手機（當局利用數位鑑識業者Cellebrite的工具來達到目的）。</p> </div></div></div>
2025/3/4 18:28作者周峻佑https://www.ithome.com.tw/news/167657
Gemini Live加入Project Astra AI代理人，能即時翻譯菜單、回答複雜問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2025世界通訊大會（World Mobile Congress，MWC）本周開幕，Google也<a href="https://blog.google/feed/android-gemini-mobile-world-congress-2025/" target="_blank">宣布</a>為Gemini Live增加AI代理人，包括能回答複雜問題、翻譯菜單或線上提供用戶穿搭建議。</p> <p>Gemini Live是類似OpenAI ChatGPT的進階語音模式（Advanced Voice Mode），是可以和用戶流暢對談的聊天機器人。Google在MWC 2025上展示Gemini最新功能，包括可以多種語言解決複雜主題的問題、使用Circle to Search翻譯文字，例如菜單。此外Gemini Live還加入即時影像與Live共享螢幕（Share screen with Live）新功能。</p> <p>這些功能將在本月部署到Android裝置版Gemini Advanced訂閱戶。Gemini Advanced為訂閱Google One AI Premium方案獲得的部份功能。</p> <p>根據Google提供示範「<a href="https://www.youtube.com/watch?v=bLHY4Op9Y0U" target="_blank">與Live共享螢幕</a>」的影片，從Gemini App按下Live鍵即可召喚出Gemini Live。當用戶詢問Gemini Live穿搭建議，系統會要求用戶按下相機App，好比和Gemini Live共享螢幕畫面。這時Gemini Live會和用戶就看到的衣褲來回對答，提供建議。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/zCMuL7vE9ao?si=JqTEbyZY0-TmHH-a" title="YouTube video player" width="560px"></iframe></div> <p>Gemini Live新功能的底層引擎來自Gemini 2.0為基礎的最新AI代理人<a href="https://www.ithome.com.tw/news/166480" target="_blank">Project Astra</a>，它能在混合及多種語言環境下轉換語言，且能理解不同腔調和罕見字，可用於Google Search、Lens和Maps。Google並在12月推出推理AI模型<a href="https://www.ithome.com.tw/news/167131" target="_blank">Gemini 2.0 Flash Thinking實驗版</a>，可以解決複雜的問題。</p> <p>Google去年同時還公布另一AI代理人原型，名為Project Mariner。它是可在瀏覽器執行的AI代理，以Gemini 2.0為基礎使其能理解像素、或是Web元素如文字、程式碼、圖片及表格，還能透過一款Chrome外掛來執行任務，像是讀取網頁、生成摘要等。</p> </div></div></div>
2025/3/4 10:51作者林妍溱https://www.ithome.com.tw/news/167634
【資安日報】3月3日，駭客組織假冒國稅局的名義，針對臺灣企業散布惡意軟體Winos 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年惡意軟體Winos 4.0傳出多起資安事故，駭客主要的攻擊目標是中國用戶，但今年出現專門針對臺灣而來的攻擊行動，企業組織要提高警覺。</p> <p>這波攻擊行動駭客冒充財政部，聲稱要對收件人進行查稅，實際上，卻是從事網路釣魚攻擊，而且，駭客在電子郵件特別要求將信件轉傳給財務主管，因此，攻擊者很有可能刻意將這樣的釣魚信寄給基層員工，借刀殺人。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167619"><strong style="font-size: 22px;">臺灣企業收到聲稱抽查稅務的電子郵件請小心！駭客組織假冒國稅局散布惡意軟體Winos 4.0</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-winos-4-0-fortinet-threat-research.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-winos-4-0-fortinet-threat-research.jpeg" style="width: 300px; float: right;" /></a></p> <p>去年11月惡意程式Winos 4.0鎖定中國遊戲玩家進行散播，當時揭露此事的資安業者Fortinet追蹤後續發展，2月底他們警告這款惡意程式近期將攻擊目標轉向臺灣。</p> <p>對於這波攻擊行動發生的經過，Fortinet發現今年1月攻擊者假借國稅局的名義寄送釣魚信，並以抽查稅務為由，要求收信人將資料轉送給公司的財務主管。這封釣魚信挾帶了PDF檔案，內容冒充財政部稅務稽查公文進行隨機抽查，要求財務人員依照指示點選連結，下載要受稽查的企業名冊，一旦照做，電腦就會下載ZIP壓縮檔，並依照特定順序執行內含的檔案。</p> <p>值得一提的是，攻擊者防範被沙箱偵測的方法，是每隔兩秒截取螢幕畫面，然後比對兩個截圖的相素，若是確認有超過2萬個像素不同，表示是真實使用者在進行操作，才會繼續相關攻擊，否則惡意程式就會繼續拍攝螢幕畫面。</p> <p><a href="https://www.ithome.com.tw/news/167623"><strong style="font-size: 22px;">惡意軟體Vo1d鎖定智慧電視而來，全球160萬臺電視遭到入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vo1d_15day-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vo1d_15day-2.png" style="width: 300px; float: right;" /></a></p> <p>根據美國新聞媒體的報導，2月24日美國住房及城市發展部（HUD）位於華盛頓特區總部的電視上出現由AI產生的影片，內容是美國總統川普彎腰親吻馬斯克腳趾，員工無法直接關掉影片，只能拔除電視電源因應。對此，有中國資安業者認為很有可能是殭屍網路Vo1d造成。</p> <p>這個現象的揭露，源自奇安信X實驗室資安研究員Alex.Turing、Acey9、Wang Hao、Heziqian聯名發表的公司部落格文章，他們表示，從去年11月底看到新一波攻擊行動，有人散布名為jddx的ELF檔案，惡意程式分析平臺VirusTotal的防毒引擎皆將其視為無害，奇安信初步利用AI檢測工具進行分析之後，看到此檔案具有殭屍網路Bigpanzi的部分特徵，經過深入調查之後，他們發現jddx實際上是Vo1d的變種，這代表該殭屍網路已出現新一波的攻擊行動。</p> <p>而且，這波攻擊行動已感染全球超過160萬臺執行安卓作業系統的智慧電視，範圍涵蓋超過200個國家及地區。他們一共找到89個Vo1d的檔案、21個C2網域名稱、258個DGA種子、逾10萬個DGA網域名稱，攻擊行動在1月中旬達到高峰，連續1個星期每天活動的IP位址數量超過150萬個。</p> <p><strong style="font-size: 22px;">友輝光電、新織實業資訊系統遭遇網路攻擊</strong></p> <p>2月27日傍晚<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=165943&SPOKE_DATE=20250227&COMPANY_ID=4933">液晶螢幕聚光片業者友輝光電</a>、<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=163448&SPOKE_DATE=20250227&COMPANY_ID=1409">紡織業者新纖實業</a>於股市公開觀測站發布重大訊息，指出資訊系統遭到網路攻擊的情況，事發當下他們立即啟動相關防禦機制因應。</p> <p>而對於資安事故對公司營運可能會帶來的衝擊，兩家公司皆表示，根據他們的初步評估，對於公司營運無重大影響，也沒有個資或內部文件外洩的情況發生。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/polaredge-botnet-exploits-cisco-and.html">殭屍網路PolarEdge綁架華碩、威聯通、群輝網路設備</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-tgtoxic-banking-trojan-variant.html">金融木馬TgToxic迴避偵測手法翻新，透過論壇隱匿C2蹤跡</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/encrypthub-breaches-618-orgs-to-deploy-infostealers-ransomware/">隸屬於RansomHub、BlackSuit旗下駭客團體攻入超過600家企業組織，透過遠端管理工具植入竊資軟體、勒索軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-probes-chinese-hack-behind-intelligence-service-breach/">比利時軍情單位傳出遭中國駭客入侵，疑為利用Barracuda郵件安全閘道零時差漏洞下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/serbian-police-used-cellebrite-zero-day-hack-to-unlock-android-phones/">塞爾維亞警方尋求鑑識公司協助，利用零時差漏洞解鎖安卓手機</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167596"><strong style="font-size: 22px;">數發部揭露2025打詐工作目標，將著重查核業者身份及驗證合規</strong></a></p> <p>數位發展部部長黃彥男去年5月20日走馬上任，提出「數位經濟三支箭」策略，但在立法院大幅刪減預算的情況下，數發部的施政方向是否有所調整？黃彥男表示這些目標並未改變。其中，因應網路詐騙行為日益猖獗，政府必須積極採取措施，強化打詐、防詐和阻詐，確保數位環境的安全與信任。</p> <p>至於2025年的打詐工作重點，黃彥男認為，數位發展部將著重於查核業者身份及驗證合規性，也會輔導業者制定並提交防詐計畫，並持續檢討業者防詐措施的有效性。</p> <p>在產業層面，2024年數發部積極推動「鷹眼識詐聯盟」，聯合35家金融機構開發偽冒網站偵測及終端設備AI特徵辨識技術，共同打擊網路詐騙，到了2025年，黃彥男表示，計畫將聯防成效進一步提升，同時整合第三方支付業者超商條碼資訊，新增涉詐客戶通報功能。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167607"><strong>【2月27日】後門程式Auto-Color針對北美和亞洲而來，攻擊政府機關及大學</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167585"><strong>【2月26日】郵件傳輸代理平臺Exim修補高風險層級的SQL注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167548"><strong>【2月25日】臺澎三號海纜發生全斷事故，疑為具有中國背景的貨輪拖斷造成</strong></a></p> </div></div></div>
2025/3/3 17:48作者周峻佑https://www.ithome.com.tw/news/167624
第一個.NET 10預覽版登場，重點鎖定C#最佳化、效能提升與跨平臺強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於發布了<a href="https://devblogs.microsoft.com/dotnet/dotnet-10-preview-1/">.NET 10第一個預覽版</a>，帶來多項語言與執行環境的改進，涵蓋C#語法增強、效能最佳化，以及Blazor和.NET MAUI的強化。這次更新不僅提升開發體驗，也進一步強化.NET在跨平臺與雲端應用的競爭力。</p> <p>在C#部分，這次更新帶來數個語法層級的強化，讓程式碼更簡潔且易於維護。nameof現在可用於未綁定的泛型，讓泛型類別或方法內部的參照更加直覺，而隱式span轉換則進一步簡化Span<T>和ReadOnlySpan<T>的使用方式，減少不必要的顯式轉換，提高記憶體管理效率。此外，首次加入欄位支援屬性（Field-backed Properties），讓開發者能以更簡潔的方式定義具有內部儲存欄位的屬性，在維持可讀性的同時，減少樣板程式碼的撰寫。</p> <p>效能層面，.NET 10針對執行階段進行多項最佳化，包括陣列介面方法去虛擬化（Array Interface Method Devirtualization），讓JIT編譯器能夠更有效率地執行常見的陣列操作，將陣列實作的介面方法從虛擬呼叫轉換為直接呼叫，減少額外的計算成本開銷。此外，.NET 10進一步擴展值型別陣列的堆疊分配（Stack Allocation of Arrays of Value Types），在符合條件的情境下，JIT現在可以將小型、固定大小且不包含垃圾回收指標的值型別陣列直接分配在堆疊，而非堆記憶體，降低垃圾回收壓力，進一步提升應用程式的執行效能。同時這次版本也支援AVX10.2，讓.NET應用可以在支援的硬體架構上，充分運用最新的向量運算能力，提升數值計算與科學運算的效能。</p> <p>在網頁應用開發方面，.NET 10的ASP.NET Core與Blazor也迎來多項改進，最受矚目的更新之一是對OpenAPI 3.1的支援，使API開發符合最新的標準規範，提升與各種REST API生態系的相容性。Blazor則在開發體驗方面有多項改善，例如RouteAttribute現在支援語法突出顯示，讓路由設定更清晰可讀，而QuickGrid也新增RowClass參數，讓開發者能夠更靈活地調整UI樣式。此外，Blazor的JavaScript互通性進一步強化，支援將Blazor腳本視為靜態網頁資產，減少外部依賴，提高應用的可移植性與載入效能。</p> <p>跨平臺開發也是這次.NET 10更新的重點，特別是在.NET MAUI的強化上，iOS和Mac Catalyst的CollectionView進行多項效能與穩定性調整，讓UI操作更順暢。在Android開發方面，.NET 10開始支援Android 16，並調整最低支援API的建議版本。此外，這次更新也加入對JDK 21的支援，讓開發者可以使用最新的Java環境編譯Android應用，同時dotnet run也已支援Android專案，簡化開發流程，減少額外的組建步驟。</p> <p>Entity Framework Core也在這次版本中迎來數個實用的新功能，.NET 10正式支援LeftJoin運算子，讓LINQ查詢的可讀性與效能獲得進一步提升，而ExecuteUpdateAsync也開始支援一般的Lambda運算式，使開發者可以更直覺地操作資料庫，減少對表示式樹（Expression Trees）的依賴，提升程式碼的可維護性。</p> </div></div></div>
2025/3/3 16:51作者李建興https://www.ithome.com.tw/news/167621
DevOps快報第2期：Google免費版AI開發助手來了，每個月可生成18萬次程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/2/1～2/27 精選DevOps與開發新聞：</strong></p> <p><strong>#AI輔助開發 #Gemini<br /> Google推出免費版Gemini程式碼助手，每月生成18萬次程式碼不用錢</strong></p> <p>Google宣布推出個人版Gemini程式碼助手（Code Assist for individuals）公開預覽版，可以用AI輔助程式碼撰寫，可以在開發IDE工具中，自動提供程式碼生成、優化或解釋。也能提供對話型的AI程式碼助手等。每月免費用量額度高達18萬次程式碼生成，遠高於其他熱門工具每月數千次的額度。主要鎖定學生、一般個人開發者的市場。不過，預覽版仍有每天6千次額度的上限。</p> <p>這款AI助手採用Gemini 2.0模型，支援所有主要開發語言，一次輸入文字量（context windows）達到128,000個輸入詞元（token），也允許開發人員使用本地端大型檔案，作為Gemini Code Assist的對齊基礎（Grounding）。</p> <p>支援的開發IDE工具包括了VSCode、JetBrains類IDES如IntelliJ、PyCharm和Google自家的雲端工作站Cloud Workstations環境。這讓開發人員可直接在IDE中呼叫出Gemini Code Assist，也能在Firebase和Android Studio二個平臺上免費使用。</p> <p>Google同時也公布Gemini Code Assist for GitHub預覽版，為GitHub上公開或私人程式庫提供AI輔助程式碼審查、抓蟲及建議。可以外掛程式安裝到GitHub App中，自動在 Pull Request 中提供程式碼審查、摘要以及即時建議等功能。</p> <p><strong>#軟體開發 #AI代理<br /> GitHub開始支援AI開發代理人，能自動迭代改寫程式碼和改錯</strong></p> <p>GitHub宣布在Copilot新增代理人模式（Agent Mode）預覽版，運用人工智慧提升自動程式開發能力，使Copilot能夠迭代編寫與修正程式碼，甚至分析執行錯誤並自動調整。</p> <p>與過去單純的程式碼完成功能不同，這次的更新讓Copilot具備更高的自主性，能夠根據使用者輸入的需求，自行拆解為多個子任務並反覆執行，直到完成整體目標。不僅如此，GitHub Copilot代理人模式可以自動偵測錯誤並修正，不需要開發者手動修正錯誤或來回操作終端機與編輯器。</p> <p>官方也首次透露內部正開發中的Project Padawan，未來開發者將能直接指派Issue給Copilot自主軟體工程代理人，來產生經過測試的拉取請求，並自動指派人類審查者，根據回饋進行調整。GitHub也設計專屬雲端沙箱環境，每當代理人需要執行任務時，系統會非同步複製儲存庫、建立開發環境、分析程式碼並進行修改，最後執行建置、測試與Lint檢查，確保變更符合專案需求與安全標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GithubCopilot%20Agent.jpeg" /></p> <p><strong>#軟體開發 #AI代理<br /> JetBrains推出AI開發代理Junie，號稱可接手日常開發任務</strong></p> <p>JetBrains推出了一項可以和IDE共同使用的開發輔助AI代理Junie。開發者可指派日常的開發任務，完全授權給AI代理接手處理Junie不只能生成程式碼，也能執行檢查、撰寫測試，並且驗證這段程式碼是否能通過測試。整個過程中，開發者可以隨時監看程式碼的變更以及AI代理如何執行各項指令。Junie的設計目標是能適應開發者的開發風格，能依據特定開發指南來生成。</p> <p>在OpenAI的程式碼生成評估基準SWEBench Verified測試中，針對500個開發任務，其中53.6% 的任務，Junie只需執行一次就能解決。目前開放先期試用的申請。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Junie%E4%BB%A3%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-JetBrains.png" /></p> <p><strong>#開發語言 #雲原生<br /> Go 1.24新版強化了WebAssembly支援</strong></p> <p>Go 語言在2月中正式發布了1.24版，這次更新蓋語言特性擴展、執行環境最佳化，以及工具與標準函式庫的改進。一方面完整支援泛型型別別名，可建立更靈活的泛型結構，來提高程式碼的可讀性。</p> <p>另外也強化了不少 WebAssembly支援，例如將Go函式直接匯出到WebAssembly環境，減少手動編寫JavaScript介面橋接程式的工作<br /> 另外，新版也支援將程式建置為WASI reactor或函式庫，特別適合需要與外部系統互通的應用情境，例如伺服器端運算或雲端無伺服器架構。</p> <p><strong>#容器管理 #CI/CD<br /> Docker Hub免費政策變更又惹議，4月1日起大幅限縮拉取次數上限</strong></p> <p>Docker再次調整其免費服務的權益，Docker Hub的映像檔拉取限制，從2025年4月1日起，未登入用戶的拉取次數將降至每小時10次，而免費帳戶則限制為每小時100次。相較之下，付費訂閱用戶則享有無限拉取。</p> <p>這項變更直接衝擊獨立開發者與小型團隊，不少開發者的CI/CD流程高度依賴Docker Hub，且未必具備架設私有註冊表的資源，對於這類用戶，限制拉取次數可能會導致建置流程中斷影響開發效率。</p> <p>這次變更也引起開發社群的不滿，抱怨Docker長期提供免費服務作為宣傳，如今卻透過流量限制來驅使用戶付費，這種策略難免引發爭議。Docker公司原訂3月開始實施新作法，後來延後到4月上路。</p> <p><strong>#開發語言 #Rust<br /> 社群大調查：Rust企業採用率破4成，但3成新手抱怨上手太難</strong></p> <p>Rust社群公布了2024年度調查結果，調查人數達到7,310人，其中，45.5%受訪者所屬企業有實質採用Rust，比去年的38.7%成長約7個百分點，代表Rust在企業環境中的採用率穩定上升。</p> <p>Rust能有效減少記憶體錯誤與執行階段錯誤，這是Rust近年來進入企業市場的重要優勢。Rust在如後端開發、網路服務、雲端應用及嵌入式系統等領域的採用率也穩定成長。不過，31％的非Rust使用者認為語言過於困難，而Rust使用者最常抱怨的問題則仍然是編譯速度，近年改進還無法滿足開發者的需求。此外，除錯工具的支援也不足。</p> <p><strong>#軟體開發 #Swift<br /> Xcode建置引擎Swift Build開源了，同步支援Linux和Windows</strong></p> <p>Apple宣布Xcode內部使用多年的Swift Build建置引擎開源，並同步支援Linux與Windows平臺，讓Swift開發者在macOS之外的環境，也能使用相同的建置技術。這代表Swift語言的跨平臺生態系將獲得更一致的建置環境，開發者無論在何種作業系統或整合式開發環境下，都能獲得相同的開發體驗。</p> <p>Swift Build是Xcode主要的建置引擎，支援數百萬款在App Store上架的應用程式建置，也用於Apple自家作業系統的內部建置流程。該工具開源後，未來將能與Swift編譯器進行更全面的協同運作，預期有助於鞏固Swift在各平臺上的應用基礎。</p> <p><strong>#可觀察性 #AI代理<br /> New Relic大推數十項AI新功能，能支援第三方AI代理</strong></p> <p>網路監控服務平臺New Relic在年度產品大會上，一口氣宣布推出二十多項AI相關新功能，由尤其提供了檢索增強生成RAG功能，可以整合用戶資料或第三方資料來源提供分析建議。</p> <p>New Relic可以支援第三方AI代理，像是知名IT自動化服務ServiceNow、Google Gemini的代理型AI，來提供智慧建議，可以將錯誤事件資訊、日誌、追蹤資料、安全漏洞和警報等即時性資料，直接整合到 ServiceNow工作流程中，讓使用者以自然語言方式在ServiceNow介面中分析，或是應用程式健康狀態的分析和警告風險分析，也能依據過去事件回應方式來提供建議。</p> <p>New Relic也推出了新的整體性單一視圖分析儀表板Transaction 360，可用AI來解釋所有的遙測資料，進行影響分析，也能動態流程圖來呈現一項交易的所有服務的相依性，讓DevOps團隊追蹤。New Relic也推出第一款影音串流服務的可觀察性服務DEM（數位體驗監控）服務，可以追蹤串流影片和廣告，自動搜集和分析視訊體驗品質 (QoE) 指標、應用程式效能、後端基礎設施和廣告分析等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/servicesnow%E6%90%AD%E9%85%8DAI%E5%8A%A9%E6%89%8B.png" /></p> <p><strong>#軟體交付 #AI簡化測試<br /> 軟體交付工具商CloudBees併購測試自動化平臺Launchable，要用AI簡化測試流程</strong></p> <p>知名軟體交付工具商CloudBees最近宣布併購了測試自動化平臺Launchable，不過，沒有透露收購金額。Launchable利用GAI和機器學習來簡化測試流程，例如可提供GAI助手來確保能在正確的時間執行合適的測試工作。Launchable平臺甚至可以預測一項軟體元件是否可能無法通過某項測試。可以提前通知DevOops團隊，避免執行了一系列無效的測試工作來節省時間。</p> <p><strong>#跨雲遷移 #IaC<br /> StackGen推出跨雲遷移自動化引擎，支援三大公雲跨雲VM搬家作業自動化</strong></p> <p>GAI基礎架構工具商StackGen推出一項新的跨雲遷移引擎，可以協助企業建立自動化的搬遷流程，將雲端的工作負載，從一朵公雲搬遷到另一朵公雲，目前支援三大公雲AWS，Azure、GCP和Civo雲端供應商。StackGen透過唯讀存取權限的公雲API，來掃描企業現有的雲端環境，辨識出所用的資源、相依性和安全性原則，再自動產生可以部署的IaC基礎架構程式碼，讓企業在新公雲環境中部署。</p> <p><strong>更多新聞</strong></p> <ul> <li> Ubuntu發布了長期維護版24.04.2，主要修補了24.04版的漏洞和錯誤。</li> <li> Docker Desktop釋出4.38版，支援多節點K8s測試與AI輔助。</li> </ul> <p> 責任編輯：王宏仁</p> </div></div></div>
2025/2/27 11:51作者王宏仁https://www.ithome.com.tw/news/167592
Google提供免費個人版程式助理Gemini Code Assist
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/developers/gemini-code-assist-free/" target="_blank">推出</a>免費的個人版程式開發助理工具Gemini Code Assist，給獨立開發人員及學生。</p> <p>企業開發人員使用AI輔助工具已經很普遍，連Google內部都有超過25%的新程式是由AI生成，再交由人類工程師審核並接受，然而非企業的開發人員、學生、或接案開發人員、新創公司卻不見得有這類資源。為此Google繼標準版及<a href="https://www.ithome.com.tw/news/165489" target="_blank">企業版</a>程式碼輔助工具Gemini Code Assistant後，本周推出免費版Gemini Code Assistant for individuals在全球上線，提供和企業版相同的AI助理互動和聊天功能，目前為公眾預覽版本。</p> <p>Gemini Code Assistant for individuals使用Gemini 2.0模型為底層，又經過Google根據真實程式撰寫情境微調及優化，且支援所有主要程式語言。因此Gemini Code Assistant的AI建議品質更高。它具備128K輸入token的context windows，允許開發人員使用大型檔案，為Gemini Code Assist進行grounding。</p> <p>此外，相對於其他AI程式助理（例如<a href="https://www.ithome.com.tw/news/166589" target="_blank">GitHub Copilot</a>）每月提供2,000行免費用量，Gemini Code Assist for individuals一舉提高到每月18萬行，成為競爭者難以超越的高標。</p> <p>Gemini Code Assistant免費（個人）版支援的整合開發環境（IDE），包括Visual Studio Code、JetBrains，這讓開發人員可直接在IDE中呼叫出Gemini Code Assist，也能在Firebase和Android Studio二個平臺上免費使用。</p> <p>除了二個IDE外，Google同時也<a href="https://github.com/marketplace/gemini-code-assist" target="_blank">公布</a>Gemini Code Assist for GitHub預覽版，為GitHub上公開或私人程式庫提供AI輔助程式碼審查、抓蟲及建議。本項服務可作為外掛程式在GitHub App中使用。安裝後，該程式會自動在 Pull Request 中提供程式碼審查、摘要以及即時建議等功能。Gemini-Code-Assist機器人會自動加入專案成為審查員之一，在Pull Request 的對話頁加入其評論。它會在Pull Request開啟5分鐘內啟動第一次檢查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-Gemini%20Code%20Assist%20for%20GitHub(preview).png" style="width: 600px;" /></p> <p>現在在VS Code、GitHub或JetBrains IDE中，只要個人Gmail帳號，就能安裝Gemini Code Assist。Google表示會根據公測版的開發人員回饋，持續微調這個程式助理。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/2/26 13:19作者林妍溱https://www.ithome.com.tw/news/167570
【資安日報】2月24日，2024十大網站攻擊技術臺灣專家再度稱霸第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024）年初公布，本次有103件研究成果入選，較往年倍增，同時品質也更加精進。PortSwigger首席研究員James Kettle指出，這次是他歷年見過最高品質的一批研究成果。</p> <p>特別的是，這次第一、第四為臺灣資安研究員的成果，分別是Apache HTTP Server的混淆攻擊手法，以及Windows作業系統ANSI字元轉換弱點WorstFit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167511"><strong style="font-size: 22px;">中國駭客Earth Preta假借打擊犯罪為由散布惡意程式ToneShell，意圖利用作業系統預載公用程式迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" style="width: 300px; float: right;" /></a>專門鎖定臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱做Mustang Panda、Earth Preta的中國駭客組織，自2022年至今已有200家企業組織受害，如今有資安業者提出警告，這些駭客更換手法相當值得留意。</p> <p>資安業者趨勢科技指出，他們最近觀察到新一波的攻擊行動裡，Earth Preta一旦發現受害電腦執行ESET防毒軟體，便將程式碼注入Windows公用程式Microsoft Application Virtualization Injector（MAVInject.exe），使得有效酬載注入另一個用來與其他網路上的電腦傳送及接受訊號的公用程式waitfor.exe。此外，這些駭客也濫用安裝程式建置工具Setup Factory，投放並執行有效酬載。這麼做的目的，主要是為了迴避偵測，並且能持續在受害電腦活動。</p> <p>罕見的是，研究人員特別提及這支惡意程式並非只針對部署ESET防毒的電腦而來。假若駭客發現受害電腦並非使用該廠牌的防毒軟體，就會直接利用特定的API將程式碼注入waitfor.exe。</p> <p><a href="https://www.ithome.com.tw/news/167512"><strong style="font-size: 22px;">駭客組織RedCurl利用Adobe元件側載惡意程式，意圖假借求職對法律產業發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借求職名義向企業組織發動網路釣魚攻擊的情況，有不少是為了籌措營運資金的北韓駭客所為，但近期有其他駭客這麼做而引起關注。</p> <p>資安業者eSentire今年1月發現被稱做Earth Kapre、RedCurl的駭客組織攻擊行動，這些駭客鎖定律師事務所及法律服務行業而來，過程中利用Adobe應用程式元件ADNotificationManager.exe，以側載的方式執行他們的惡意程式載入工具，並利用微軟網路公用程式Active Directory Explorer這類工具從事偵察，然後以7-Zip打包竊得資料且設置密碼保護，最終使用PowerShell發出請求，將資料透過雲端儲存服務供應商Tab Digital外流。</p> <p>究竟這些駭客如何接觸受害者？他們假借求職為誘餌寄送釣魚郵件，信中挾帶PDF檔案，一旦收信人開啟並點選其中的連結，電腦就會下載ZIP壓縮檔，其內容為IMG光碟映像檔，若是收信人開啟，就會在電腦裡掛載。</p> <p><a href="https://www.ithome.com.tw/news/167516"><strong style="font-size: 22px;">網釣工具包Astaroth同時針對Gmail及M365帳號而來，能繞過多因素驗證並挾持帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" style="width: 300px; float: right;" /></a></p> <p>網路釣魚攻擊的活動出現分工，駭客製作工具包吸引更多打手參與，最近兩到三年更製作出能繞過多因素驗證（MFA）的作案工具，但大部分鎖定目標主要是Microsoft 365帳號，如今有駭客開發能對其他帳號下手的新工具，因而引起研究人員的注意。</p> <p>資安業者SlashNext揭露今年一月底出現的網釣工具包Astaroth，賣家標榜此工具能挾持連線階段（Session）及即時帳密攔截，從而繞過Gmail、Yahoo、M365等帳號的多因素驗證機制。</p> <p>乍聽之下，Astaroth的主要功能，與其他能進行對手中間人（AiTM）的網釣工具包雷同，但Daniel Kelley指出做法有明顯的差異，其中一項就是駭客的網釣網域具備SSL憑證，使得瀏覽器不會彈出警示訊息，受害者也難以察覺有異，但在此同時，Astaroth會將使用者發出的請求轉送到真正的身分驗證服務，並秘密攔截相關敏感資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/cybercriminals-use-eclipse-jarsigner-to.html">JAR檔案簽章工具遭到濫用，攻擊者藉此於受害電腦啟動惡意軟體XLoader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-chrome-update-delivers-drivereasy-malware/">假借提供驅動程式部署、瀏覽器更新工具，北韓駭客意圖藉由Dropbox散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spylend-android-malware-downloaded-100-000-times-from-google-play/">SpyLend貸款詐騙App鎖定安卓用戶而來，已被下載逾10萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lummac2-malware-masquerading-as-total-commander-crack-to-infect-windows-users/">駭客假借提供檔案管理工具Total Commander盜版名義，意圖散布竊資軟體LummaC2</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/atlassian-patches-critical-vulnerabilities-in-confluence-crowd/">Atlassian修補旗下Confluence、Crowd重大層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167513"><strong style="font-size: 22px;">2024十大網站攻擊技術公布，臺灣資安專家再度稱霸第一</strong></a></p> <p>今年1月，PortSwigger網站發布了年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024），再次受到我們關注，原因是臺灣專家的研究成果，同時榮獲了第1名與第4名。</p> <p>本屆總共有103件研究報告獲得提名，比起往年數量呈現接近倍增的情形，不僅是數量大增，負責舉辦此計畫的PortSwigger首席研究員James Kettle指出，這是他自2018年負責此專案以來，見過最高品質的一批研究成果。</p> <p>這次臺灣資安研究人員能夠再次從中脫穎而出，獲選為第1名與第4名，更是難得，而且，兩項都與臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達）有關。</p> <p><a href="https://www.ithome.com.tw/news/167517"><strong style="font-size: 22px;">針對外傳英國政府施壓開存取用戶資料的後門，蘋果證實即將移除英國iCloud進階資料防護功能</strong></a></p> <p>今年1月英國要求蘋果開放存取iCloud加密備份的後門，蘋果2月21日向彭博社與The Verge證實，他們不再向英國的新用戶提供iCloud的進階資料防護（Advanced Data Protection，ADP）功能，且最終會在當地全面禁用。</p> <p>當時傳出英國政府使用的法源依據，是名為「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》，他們向蘋果下達名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（E2EE）上傳到iCloud的檔案備份的完整內容。值得留意的是，這道命令適用對象是全球蘋果用戶，而非只有針對英國人。</p> <p>而在這次蘋果發出的聲明當中，透露無法藉由ADP保護英國用戶的資料，暗示採取這些措施可能並非出自蘋果的意願。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167506"><strong>【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167487"><strong>【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> </div></div></div>
2025/2/24 16:06作者周峻佑https://www.ithome.com.tw/news/167526
企業用戶等嘸火大，Google終於將Deep Research推向Workspace用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多企業用戶抱怨一個多月後，Google本周<a href="https://workspaceupdates.googleblog.com/2025/02/deep-research-available-for-google-workspace-in-gemini-advanced.html" target="_blank">宣布</a>將Deep Research功能部署到Workspace用戶，包括Business、Enterprise及Education方案。</p> <p>Google去年12月中<a href="https://www.ithome.com.tw/news/166493" target="_blank">宣布</a>為Gemini加入Deep Research的上網研究功能。Deep Research類似人類的研究過程，先上網搜尋、分析、學習，多次反覆搜尋，最後生成一份報告。使用者接受的報告成果可直接匯出到Google Docs。</p> <p>Google說，從2月20日起將逐步把Deep Research部署到企業用戶，包括Business Standard及Plus、Enterprise Standard and Plus、擁有Gemini Education/Gemini Education Premium add-on，及購買Gemini Business及Gemini Enterprise add-on。12月中問世時，Deep Research只提供給訂閱月費20美元或臺幣650元的Gemini Advanced的消費者。</p> <p>對Workspace用戶而言，Deep Research一開始只有Web版，且只支援英文，Google說之後會將這功能推向Gemini手機App。現有Gemini Advanced企業用戶可以選擇使用以下模型：2.0 Flash、2.0 Flash Thinking Experimental、2.0 Pro Experimental、1.5 Pro with Deep Research。</p> <p>然而對Workspace Business方案用戶來說，這項宣布來得太晚。去年起不少購買Workspace Business方案的企業<a href="https://support.google.com/a/thread/313277072/why-is-deep-research-only-not-available-to-workspace-business-standard-users?hl=en" target="_blank">抱怨</a>，Deep Research已提供給了購買Gemini Advanced的消費者Gmail帳號及Workspace Enterprise帳號，獨漏Workspace Business Standard版。另有人是買了Workspace Business Standard再額外購買Gemini Advance Plus，但聲稱得到的功能卻比消費者帳號還少。有人為了Deep Research才升級到Workspace Business Standard方案，卻發現沒有這項功能。Business Standard用戶不平，直到1月底都不見Google出面給個說法。</p> <p>不過手機版可能不用等太久了。雖然Google說手機版Gemini還不能用Deep Research，但Google上周另一則公告<a href="https://blog.google/feed/deep-research-gemini-mobile/" target="_blank">說明</a>，所有Gemini Advanced用戶已經可在Android及iOS手機版Gemini使用Deep Research。</p> </div></div></div>
2025/2/21 13:32作者林妍溱https://www.ithome.com.tw/news/167500
Amazon將終止支援第三方Android裝置的Appstore、通訊協同服務Chime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon本周<a href="https://www.amazon.com/gp/mas/appstore/android/faq" target="_blank">通知</a>開發人員及使用者，將在8月20日起關閉自家Android程式市集Amazon Appstore及相關的Amazon代幣，明年2月終止支援通訊協同服務Amazon Chime。</p> <p>Amazon預告，自8月20日起用戶無法在Android裝置上存取Amazon Appstore。該日之後，用戶從Amazon Appstore下載的App不保證能在Android裝置上執行。Amazon並提醒，日本Amazon（amazon.co.jp）的顧客從本周起已無法從其他Android裝置上的Appstore進行程式內購買（in-app purchase，IAP），其他應用程式市集的IAP可持續使用到8月20日。</p> <p>除了透過一般用戶，Amazon也發送訊息<a href="https://x.com/RizbITUK/status/1892543928638861606" target="_blank">通知</a>開發人員。Amazon告知，從2月20日就不再接受開發人員上傳針對一般Android裝置的新App，現有App則可更新到8月20日。</p> <p>不過Amazon Appstore在Fire TV和Fire平板電腦上仍然會持續提供。</p> <p>此外，Amazon代幣（Coin）計畫也於同日起停止。Amazon代幣可當作現金用於Appstore上交易。在這項宣布下，從2月20日起Amazon不再銷售Amazon代幣，到了8月20日用戶就不可以再使用Amazon代幣，屆時消費者未使用的代幣將會獲得退費。</p> <p>Amazon Appstore是類似Google Play Store的Android應用程式市集，但是應用程式規模小得多。截至今年2月，<a href="https://42matters.com/amazon-appstore-statistics-and-trends" target="_blank">Amazon Appstore上</a>僅有約56萬個App。2021年微軟為Windows 11推出Windows Subsystem for Android（WSA），允許用戶自Amazon Appstore下載應用程式在Windows上執行。不過這項合作並不長久；微軟去年<a href="https://www.ithome.com.tw/news/161628" target="_blank">預告</a>將在今年3月終止支援WSA，微軟並未解釋原因。但當時微軟保證既有Android App可延長使用一年，即2026年3月，而非Amazon保證的8月20日。</p> <p>另一方面，Amazon也<a href="https://aws.amazon.com/tw/blogs/messaging-and-targeting/update-on-support-for-amazon-chime/" target="_blank">宣布</a>將在2026年2月終止支援通訊協同服務Amazon Chime。</p> <p><a href="https://docs.aws.amazon.com/chime/latest/ag/amazon-chime-transition-features.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-2026-AWS-end%20support-Amazon%20Chime.png" style="width: 600px;" /></a></p> <p>Amazon Chime類似Microsoft Teams，允許企業用戶和公司內外人士會議、交談及撥打VoIP電話。Amazon說，經過審慎思量，將在2026年2月20日終止支援Amazon Chime，包括企業通話（Business Calling）服務。但從本周（2月19日）起，Amazon已不再接受新客戶。</p> <p>現有用戶可以持續透過Chime的管理介面使用企業通話、排程和召開會議，或是管理使用者，但只到2026年2月20日。目前還可以使用，但作為證明，這些用戶須在2月19日前建立Amazon Chime Team或Enterprise帳號。在2月20日後，沒有帳號的企業就無法使用這些功能。Amazon說，明年2月20日前無法刪除自己資料者應聯絡Amazon支援部門。</p> <p>這項變更不影響Amazon Chime SDK服務。</p> </div></div></div>
2025/2/21 12:24作者林妍溱https://www.ithome.com.tw/news/167499
Google iOS版App不再支援Gemini，要求用戶下載獨立App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日移除iOS版Google App的Gemini功能，要求iPhone用戶下載獨立的Gemini App。</p> <p>Android Central首先<a href="https://www.androidcentral.com/apps-software/gemini-is-no-longer-available-in-the-google-app-for-ios" target="_blank">報導</a>，Google發信通知iOS用戶，為了提供更好的使用體驗，已經從Google App中移除Gemini。Google說Gemini現在有自己的App，是使用Gemini最佳地方，要持續使用Gemini的話，建議到App Store下載新的Gemini App。</p> <p>Gemini iOS版App提供原本內建於Google App的相同功能，包括即時查詢、回覆問題和提供建議、可整合Google主要應用如Google Search、YouTube、Maps、Gmail，也能接受圖片輸入並且生成圖片。但也提供原本沒有的進階語音模式Gemini Live。在iPhone上啟用這項功能時，會出現在動態島和鎖定螢幕上，方便用戶直接與之互動。</p> <p>獨立的Gemini App是免費的，但更方便升級到Gemini Advanced，後者包含在Google one AI進階版方案中，訂閱月費18.99美元或650元臺幣。</p> <p>根據App Store上2月20日更新的Google App <a href="https://apps.apple.com/tw/app/google/id284815942" target="_blank">356.2版</a>功能，已經不包含Gemini的描述。</p> </div></div></div>
2025/2/20 13:01作者林妍溱https://www.ithome.com.tw/news/167476
如何讓模型更懂繁中知識？聯發科研究團隊揭技術關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發創新基地（MediaTek Research）日前一口氣<a href="https://huggingface.co/collections/MediaTek-Research/breeze-2-family-67863158443a06a72dd29900">釋出2款繁中多模態語言模型Llama-Breeze2-3B和Llama-Breeze2-8B</a>，可分別在手機和電腦上執行AI助理任務，不只能處理文字工作，還懂看圖、調用外部工具。他們還<a href="https://github.com/mtkresearch/Breeze2-android-demo">開源以3B模型為基礎、可離線工作的Android聊天機器人App</a>，鼓勵開發者延伸開發，甚至也<a href="https://huggingface.co/MediaTek-Research/BreezyVoice">釋出一款可合成臺灣口音的語音生成模型BreezyVoice</a>。</p> <p>要讓模型更懂繁中文字和圖片知識，還要讓AI生成臺灣口音的語音，需要哪些技術和資料？iThome專訪聯發創新基地開發團隊，來分享這些模型背後的關鍵技術。</p> <p><span style="font-size:22px;"><strong>關鍵1：採LLaVA架構</strong></span></p> <p>聯發創新基地團隊表示，大約去年4、5月，他們就著手打造Llama-Breeze2系列模型。也因為目標是多模態模型，除了懂文字，還要能看圖、知道呼叫函式（Function calling）來調用外部工具。因此，團隊採用熱門的多模態模型LLaVA架構，來開發Breeze2。</p> <p>進一步來說，LLaVA架構由<strong>視覺編碼器（Vision Transformer，簡稱ViT）、多層感知器（MLP）</strong>和<strong>大型語言模型（LLM）</strong>組成。它們互相搭配，由ViT處理圖像，將圖像切分成一塊塊的圖像塊（Patch），再轉換為向量。接著由MLP擔任橋樑，將ViT產出的視覺特徵轉換為LLM可理解的格式，最後交由LLM產出回答。</p> <p>在這個ViT-MLP-LLM架構下，Llama-Breeze2-3B就由InternViT-300M-448px、MLP、Llama 3.2-3B組成，Llama-Breeze2-8B一樣有InternViT-300M-448px、MLP，只是最後的LLM為Llama 3.1 8B模型。（如下圖）</p> <p><img alt="" src="https://arxiv.org/html/2501.13921v3/extracted/6196088/img/breeze2_architecture.jpg" /></p> <p><span style="font-size:22px;"><strong>關鍵2：繁中優化</strong></span></p> <p>要讓模型理解繁中知識，就得靠繁中資料加強模型的理解力。</p> <p>這個加強之處，在於模型的<strong>預訓練</strong>（Pretraining）和<strong>後訓練</strong>（Post-training）兩階段。</p> <p>其中，預訓練又可分為<strong>延伸文字預訓練、視覺對齊預訓練</strong>，前者主要用收集到的繁中資料，來加強Llama 3.2 3B和Llama 3.1 8B基礎模型的繁中知識理解力，後者則加強ViT模型和MLP對繁中圖文內容的理解力。</p> <p>再來，後訓練則靠3件事來優化模型繁中能力，包括<strong>文字指令調校</strong>、<strong>視覺指令調校</strong>和<strong>函式呼叫微調</strong>。文字指令調校是要讓模型更理解繁中環境下的文字指令，視覺指令調校則是要模型更理解臺灣相關的圖文任務，比如解讀臺灣街景、招牌或繁體字排版。至於函式呼叫微調，則是要模型學會何時需要呼叫函式、要調用哪些功能，而且要能理解繁中語境。</p> <p><span style="font-size:22px;"><strong>關鍵3：大量在地化資料</strong></span></p> <p>接著是影響模型學習的繁中資料集建置，首先，團隊收集了近1TB的繁中文字資料、共超過9,000億個Token（如下圖）。為確保這些資料可用，他們以開源過濾器加上自建的規則，來清理資料，尤其是身份證字號、電話等個資部分，都準確清除。這是文字資料的準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-19%20190512.png" /></p> <p>圖片訓練資料部分，團隊以英文的開源資料為主要訓練資料，但為了讓模型看到圖片後、能給出符合臺灣語境的回答，他們自己也翻譯了部分問答資料，並加入臺灣的習慣用語，讓模型回答能更貼近在地文化。</p> <p>團隊強調，雖然訓練資料量大，但為保留原本Llama 3.1和Llama 3.2模型的優點，他們採取<strong>低學習率（Learning rate）方式</strong>來訓練模型。就好比要模型讀一本厚書，高學習率要求模型快速背完，低學習率則是按部就班進行。</p> <p><span style="font-size:22px;"><strong>關鍵4：函式呼叫判斷機制</strong></span></p> <p>至於函式呼叫，聯發創新基地團隊也有幾招來強化模型能力。</p> <p>首先是導入模型的判斷機制，也就是在回答問題前，先判斷該不該呼叫函式，以及該呼叫什麼函式。這個判斷機制叫做<a href="https://arxiv.org/html/2412.01130v2">Decision Token</a>，是團隊先前提出的概念，它能在模型回答問題前，強迫模型先下決策，要使用工具（呼叫函式），還是不用工具、直接回答。</p> <p>這個Decision Token機制，還能加強模型對工具使用的判斷力。因為，模型得靠函式呼叫資料和非函式呼叫資料訓練，才能學習使用工具的判斷邏輯，但傳統上，這種非函式呼叫的資料（又稱為反向資料）很難收集。於是，團隊透過Decision Token，在函式資料集中，將原本模型判斷需要呼叫的特定函式拿掉，這樣模型就會生成不呼叫函式的答案，就能快速產出非函式呼叫的訓練資料。</p> <p>接著，團隊就能在模型訓練過程中加入這些資料，讓模型學習在哪些情境不需要呼叫函式，進一步避免不必要的函式呼叫，加強模型使用工具的判斷力。</p> <p>不只Decision Token，團隊還特別打造一套翻譯流程，來將工具使用的資料，翻譯為繁體中文，加強模型呼叫函式的繁中能力。這是因為，他們採用開源的函式呼叫資料集來訓練模型，但這些資料9成都是英文，若只用英文資料，就會影響模型後續行為。比如，使用者詢問模型，臺北天氣如何，模型呼叫函式、調用外部工具取得的答案，可能會顯示Taipei，而非臺北。</p> <p>因此，聯發創新基地團隊自建一套合成資料的翻譯處理流程，就像是一臺翻譯機，能翻譯任何語言（包括繁中），來解決語言在地化問題。</p> <p><span style="font-size:22px;"><strong>關鍵5：根據上下文準確分辨讀音</strong></span></p> <p>不只是文字、圖像，團隊也打造出符合臺灣口音的語音合成模型BreezyVoice，背後有個重要關鍵，也就是讓模型準確分辨破音字的<a href="https://tw.pycon.org/2022/en-us/conference/talk/260/">G2PW套件</a>。</p> <p>簡單來說，BreezyVoice是以既有的CosyVoice語音合成模型改良而成。這套模型的運作原理是，輸入語音樣本，模型將聲音轉換為符元（Token），這些符元帶有能生成原本聲音的資訊，所以有了這些符元，就能根據文字，來將符元轉回音訊，達到文字生成語音的效果。</p> <p>不過，這個CosyVoice的中文語音帶有中國大陸口音，為能貼近臺灣口音，團隊採用臺灣口音的語音資料來改善模型發音，也以G2PW來讓模型發音更正確。這個G2PW是一款團隊開發的開源套件，是BERT衍生模型，能很好地理解上下文、決定讀音，尤其是破音字。</p> <p><span style="font-size:22px;"><strong>時下熱門的推理模型也在研究中</strong></span></p> <p>開源多款輕量級語言模型之餘，聯發創新基地團隊表示，他們也一直在研究不同層面的AI技術，像是近期廣受討論的測試階段運算擴展（Test-time computing）方法。有別於傳統的擴展法則、在模型訓練階段加入大量運算資源和資料，測試階段運算擴展方法是在模型部署後的推論階段，加強算力，讓模型處理複雜問題時，能多思考幾步，著名的例子有OpenAI的o系列推理模型、DeepSeek R1和Google Gemini 2.0 Flash Thinking等。</p> <p></p> </div></div></div>
2025/2/19 19:33作者王若樸https://www.ithome.com.tw/news/167459
聯發科一口氣開源2款繁中多模態小模型、符合臺灣口音的語音合成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發創新基地（MediaTek Research）最近<a href="https://huggingface.co/collections/MediaTek-Research/breeze-2-family-67863158443a06a72dd29900">開源2款繁中多模態基礎模型</a>，分別是能在手機上執行的羽量級Llama-Breeze2-3B版本，以及能在個人電腦上執行的輕量級Llama-Breeze2-8B版本。這系列模型不只具備繁中能力，還有多模態和函式呼叫功能，能看懂圖像、調用外部工具。</p> <p>他們還以Llama-Breeze2-3B為基礎，<a href="https://github.com/mtkresearch/Breeze2-android-demo">打造一款Android App並開源</a>，要來強化手機AI助理的能力，比如讀取圖片、調用外部工具。同時，聯發科也一併<a href="https://huggingface.co/MediaTek-Research/BreezyVoice">釋出</a>可以合成臺灣口音的語音合成模型BreezyVoice。以上3款模型和App的開源內容包括模型權重和部分執行用程式。</p> <p><span style="font-size:22px;"><strong>以Llama 3.2大模型為基礎，優化出繁中多模態語言模型Llama-Breeze2</strong></span></p> <p>進一步來說，Llama-Breeze2是基以Llama 3.2大型語言模型為基礎，再以繁中資料來優化模型繁體中文理解力，並整合視覺語言模型、函式呼叫（Function Calling）功能，讓Llama-Breeze2具備繁中優化、能看圖、可調用外部工具等3大特色。</p> <p>就<strong>繁中能力</strong>來說，<a href="https://www.mediatek.tw/blog/%E8%81%AF%E7%99%BC%E5%89%B5%E6%96%B0%E5%9F%BA%E5%9C%B0%E5%85%A8%E9%9D%A2%E9%96%8B%E6%BA%90-breeze2">聯發科列出對比</a>，相較於同參數量的Llama 3.2 3B Instruct模型，Llama-Breeze2-3B撰寫的臺灣夜市小短文，能準確列出著名夜市，如士林夜市、饒河街夜市和羅東夜市，而Llama 3.2 3B Instruct只正確說出士林夜市，但生成了兩個不存在的夜市（電信夜市和世貿夜市）。</p> <p>就<strong>多模態能力</strong>來說，Llama-Breeze2-3B除了理解文字，還能分析圖像，如圖表、光學文字辨識（OCR）或景點照片，模型都能理解和回答。舉例來說：</p> <p><strong><em><span style="color:#FF0000;">USER</span>：</em></strong><em>請問前三名總共可獲得多少錢？</em></p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/page/Breeze2_vision_example_update.png?w=2048&h=1151&q=80&auto=format&fit=crop&dm=1739541320&s=abc0d56c245fbf65e92fbfea7d8e25a0" /></p> <p><span style="color:#FF0000;"><strong><em>Llama-Breeze2-8B</em></strong></span>：<em>根據圖片，第一名的獎金為30萬元整，第二名為20萬元整，第三名為15萬元整。將這些數字相加，我們得到前三名獎金總和為65萬元整。</em></p> <p>不只如此，Llama-Breeze2因為具備呼叫函式功能，因此可以調用外部工具，來完成特定任務。比如，使用者詢問天氣情況時，模型可以調用天氣應用程式API來獲取最新資訊，再回覆給使用者。</p> <p><span style="font-size:22px;"><strong>以Llama-Breeze2-3B模型驅動的Android App</strong></span></p> <p>除了開源2款多模態語言模型，聯發創新基地還開源可直接部署到手機、以Llama-Breeze2-3B為基礎的Android App。這個App可作為AI助理，來協助即時翻譯、景點推薦等任務（如下圖），甚至還能生成語音，使用者只要輸入文字，模型就能生成自然的語音回應，可用於智慧導航等情境。</p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/page/breeze2_app_screenshot.png?w=2000&h=2400&q=80&auto=format&fit=crop&dm=1739542221&s=65b559d8281f0bb3404769249b071329" /></p> <p><span style="font-size:22px;"><strong>只需5秒，就能生成臺灣口音的語音合成模型BreezyVoice</strong></span></p> <p>這次，聯發科創新基地還開源了語音合成模型BreezyVoice，特別以繁中加強訓練而成。這個模型採輕量架構，只需輸入5秒的範例音訊，就能即時產出擬真的語音，可作為AI助理語音輸出。聯發科表示，BreezyVoice現已能在筆電上使用，也能結合任何LLM或語音轉文字架構，來發展更多應用。</p> <p></p> <p></p> </div></div></div>
2025/2/17 19:06作者王若樸https://www.ithome.com.tw/news/167427
Perplexity AI也推出上網研究工具Deep Research，提供免費版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋新創業者Perplexity AI上周<a href="https://www.perplexity.ai/hub/blog/introducing-perplexity-deep-research" target="_blank">推出</a>自有的上網研究功能Deep Research，加入<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/166493" target="_blank">Google</a>的行列。</p> <p>和OpenAI和Google的同名功能一樣，Perplexity Deep Research代替用戶在網路上執行深入研究和分析。用戶輸入問題後，它會執行十多次搜尋、讀取上百個資料源、爬梳大量素材，自主產出一份完整報告。</p> <p>Perplexity Deep Research接到用戶輸入問題後流程如下。首先它包含搜尋和寫程式能力，它像人一樣，會針對用戶問題反覆搜尋、閱讀文件後思考下一步，等更了解主題後，會再改善研究計畫。其次是撰寫報告；它完整評估來源素材後，由代理人把所有研究整合成一篇完整和清楚的報告。最後，用戶可以將其研究輸出成PDF或文件檔，或是轉成Perplexity Page頁，再分享給他人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-perplexity-deep%20research-2.jpg" style="width: 550px;" /></p> <p>這家新創公司說Deep Research能執行多種專家等級研究任務，它尤其擅長財務、行銷和科技，但也可扮演健康、產品研究和旅行規劃的個人顧問，例如用戶可以請問如何做好股市開盤前研究、超級盃廣告策略評比、或舊金山生技新創公司背景研究等。</p> <p>執行時，Perplexity Deep Research在3分鐘內搜尋了8次，完成25步驟、搜尋了42種資料來源，產出1,321個字。以標竿測試跑分結果來看，Perplexity Deep Research在標竿測試Humanity’s Last Exam中，以21.1%獲得第二，只輸OpenAI Deep Research，但超過DeepSeek R1、OpenAI o3-mini、Google Gemini Thinking等競爭模型。另外，在SimpleQA中更以93.9%結果擊敗OpenAI o1-preview、GPT 4o、Claude（3.5-Sonnet、3-Opus、3-Haiku）等模型。</p> <p class="rtecenter"><a href="/sites/default/files/files/0217-Humanity's%20Last%20Exam-Deep%20Research%20on%20Perplexity%EF%BC%9A21_1%25%20accuracy%20score(1).png" target="_blank"><img alt="" src="/sites/default/files/images/0217-Humanity's%20Last%20Exam-Deep%20Research%20on%20Perplexity%EF%BC%9A21_1%25%20accuracy%20score.png" style="width: 300px;" /></a> <a href="https://s4.itho.me/sites/default/files/files/0217-Deep%20Research%20on%20Perplexity%EF%BC%9A93_9%25%20accuracy_top1_SimpleQA%20benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-Deep%20Research%20on%20Perplexity%EF%BC%9A93_9%25%20accuracy_top1_SimpleQA%20benchmark.png" style="width: 300px;" /></a></p> <p>和競爭者不同，Perplexity的Deep Research同時提供給免費及付費用戶，相較之下，OpenAI和Google只提供給付費用戶。免費版可在perplexity.ai模型選擇器中選擇「Deep Research」啟用。用戶可以這項功能獲得每日一定回答量，訂閱版用戶則無上限查詢。該功能目前只有網頁版，但即將推出iOS、Android及Mac版。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Perplexity AI</span></span></p> </div></div></div>
2025/2/17 15:21作者林妍溱https://www.ithome.com.tw/news/167399
Google開放免費版Gemini上傳及分析檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemini原本只有付費版才允許上傳和分析檔案，但現在Google悄悄將這功能部署到免費版上。</p> <p>Google Gemini相關<a href="https://support.google.com/gemini/answer/14903178?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">支援頁</a>還未更新資訊，但已有<a href="https://www.reddit.com/r/Bard/comments/1ip2jcn/you_can_now_upload_files_in_the_free_version_of/" target="_blank">用戶</a>及媒體<a href="https://9to5google.com/2025/02/13/free-gemini-file-upload/" target="_blank">發現</a>，免費版Gemini的對話欄列出現了可上傳圖片、本機檔案及Google Drive檔案的圖示。上傳檔案的功能支援.txt、.doc/docx、.xls/xlsx、.dot/.dotx、PDF、.rtf、csv./tsv.、Google Docs，以及程式檔包括C、Java、Php、SQL和HTML等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-gemini%20upload%20file%20%2B%20analyze-free%20tier-600.png" style="width: 400px;" /></p> <p>在此之前，只有月付20美元的Gemini進階版才得以使用上述功能。去年5 月推出時，底層為Gemini 1.5 Flash模型，但現在已經升級到最新的Gemini 2.0 Flash。</p> <p>免費版支援檔案上傳和分析讓Google Gemini稍稍拉近和OpenAI ChatGPT的距離。目前僅Web版及Android Gemini App整合這些功能，正在逐步部署當中，預計所有Web和Android版用戶很快就能享用到。</p> </div></div></div>
2025/2/17 09:38作者林妍溱https://www.ithome.com.tw/news/167388
JetBrains取消Fleet的Kotlin多平臺支援，開發重心轉向IntelliJ平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kotlin/2025/02/kotlin-multiplatform-tooling-shifting-gears/">宣布</a>取消Fleet IDE對KMP（Kotlin Multiplatform）的支援，並把開發重心轉向IntelliJ平臺，即IntelliJ IDEA與Android Studio。這代表原本計畫推出的另一款獨立KMP專用IDE不再將取消，而Fleet在KMP領域的發展會在未來三個月內正式告終。</p> <p>Fleet最初於2021年推出，作為JetBrains嘗試挑戰VS Code的全新輕量級IDE。與傳統的IntelliJ IDEA相比，Fleet具有更快的啟動速度、即時協作功能，以及動態載入程式分析的能力，並且被視為KMP開發的新選擇。不過，隨著Google在Android平臺上正式支援KMP，開發者對於在IntelliJ平臺獲得更完整的KMP工具需求增加，這使得JetBrains必須重新考量開發資源的分配。</p> <p>JetBrains也提到他們觀察到開發工具領域的變化，並正在投資新技術，例如近期推出的程式開發人工智慧代理Junie。這些變化使得JetBrains決定將主要心力放在IntelliJ平臺，以提供更完整的開發體驗。</p> <p>這項政策引起開發者社群廣泛討論，部分開發者認為，這是一個務實的選擇，因為IntelliJ平臺的生態系統更加成熟，JetBrains也能更有效率地改善KMP相關工具。但有部分Fleet用戶對此決策表示擔憂，認為JetBrains近年來幾次終止新專案的作法可能影響市場信心，甚至讓人懷疑Fleet本身的未來是否會受到影響。此外，也有iOS開發者也對此決策持保留態度，認為IntelliJ平臺仍然過於Java中心，對不熟悉Gradle和Java工具鏈的開發者而言，學習成本較高，而Fleet原本提供的較輕量開發體驗將因此消失。</p> <p>雖然這項決策意味著Fleet在KMP領域的落幕，但JetBrains承諾持續投資KMP、Ktor、Exposed等Kotlin生態系統，並提到會利用人工智慧技術來提升開發工具的效能。目前，JetBrains尚未公布未來KMP相關IntelliJ工具細節，但可以確定的是，之後KMP的官方開發體驗將回歸IntelliJ平臺，而Fleet則將逐步淡出。</p> </div></div></div>
2025/2/15 09:53作者李建興https://www.ithome.com.tw/news/167381
【資安週報】0203~0208，DeepSeek服務資安風險成焦點，包括資料庫裸奔、無法抵擋基本越獄手法，以及資料與隱…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著春節年假結束，2025年2月第一星期資安新聞中，國內上市櫃公司的資安事故成主要焦點，而在春節期間成熱門話題的DeepSeek，其資安風險消息也屢屢登上新聞版面。</p> <p>在臺灣資安事件方面，自從2月1日週六（農曆年初四）開始，有多達7家上市櫃公司發布資安重訊。值得留意的是，這段期間遭受攻擊的業者，有多家均屬於印刷電路板（PCB）廠，包括欣興電子、南亞電路板、邑昇實業，其他還有鋼鐵、光學元件、IC通路與記憶體模組等業者。</p> <p>●欣興電子子公司聯能科技（深圳）遭勒索軟體攻擊<br /> ●南亞電路板子公司南亞電路板（昆山）部份資訊系統遭網路攻擊<br /> ●邑昇實業部分資訊系統遭受駭客網路攻擊<br /> ●美亞鋼管指出公司網頁及部份資訊系統遭受駭客網路攻擊<br /> ●先進光電科技資訊系統遭受駭客網路攻擊<br /> ●尚立指出公司電子郵件系統遭受網路攻擊<br /> ●創見資訊旗下Transcend Information部份資訊系統遭受網路攻擊</p> <p>還有一項消息需要金融領域關注，臺灣春節期間傳出有商家暫停使用感應式行動支付，以及金融機構向特約商店示警新式偽冒交易的狀況，後續Visa說明示警原因，在於發現國際間出現惡意程式驅動刷卡機進行離線交易的手法。</p> <p>在DeepSeek的消息方面，近期不只因為能夠大幅優化GPU利用效率而受關注，其資料安全、用戶隱私與資安風險，也如同過去ChatGPT爆紅時一樣受到各界檢視，本星期有多起資安新聞都與此有關。<br /> ●DeepSeek的ClickHouse資料庫存在配置錯誤問題，雲端資安業者Wiz在1月29日指出其資料庫不設防的問題，導致百萬筆機密日誌曝險。<br /> ●由於DeepSeek資安疑慮未釐清的問題，多國政府與臺灣宣布公家機關禁用。<br /> ●DeepSeek對多種已知越獄手法無法防範，Kela、Palo Alto Networks、思科等業者測試發現，攻擊者可要求該模型打造惡意程式、提供製作武器的方法，<br /> ●DeepSeek的iOS App存在多項資安風險，資安業者NowSecure發現該App使用過時加密技術、明碼傳送資料，並會將部份用戶資料送到中國。<br /> ●有駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體。</p> <p>至於漏洞消息方面，年假過後的這類消息不少，有4個是零時差漏洞利用狀況，特別是7-Zip的MotW漏洞要注意，因為該漏洞去年9月就遭到利用，11月已修補，直到最近CVE編號才公開，ZDI研究人員指出利用這項漏洞的俄羅斯駭客，目標是針對烏克蘭政府與企業，意圖植入惡意程式載入工具SmokeLoader。本星期漏洞利用資訊我們整理如下：</p> <p>●已遭利用零時差漏洞，需儘速修補：蘋果多款產品的漏洞（CVE-2025-24085），Android核心的漏洞CVE-2024-53104，SonicWall遠端存取產品SMA1000漏洞（CVE-2025-23006），Trimble GIS軟體Cityworks漏洞（CVE-2025-0994），以及7-Zip漏洞（CVE-2025-0411）。<br /> ●EOL產品遭零時差漏洞利用，需汰換設備因應：合勤科技CPE通訊設備EOL產品的漏洞（CVE-2024-40891）<br /> ●最近一年修補漏洞首度確認遭利用，尚未修補者必須注意：Linux kernel漏洞（CVE-2024-53104），Apache ERP系統OFBiz漏洞（CVE-2024-45195），Audinate Dante Discovery漏洞（CVE-2022-23748），以及微軟Outlook漏洞（CVE-2024-21413）、.NET Framework漏洞（CVE-2024-29059）。<br /> ●老舊漏洞被美CISA列入KEV清單須限期修補：Sophos XG Firewall漏洞（CVE-2020-15069）、CyberoamOS漏洞（CVE-2020-29574）；Paessler PRTG網路監視軟體漏洞（CVE-2018-9276、CVE-2018-19410）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167185"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</span></strong></a></h3> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <h3><a href="https://www.ithome.com.tw/news/167208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</span></strong></a></h3> <p>過去一年全球跨國執法行動有不少斬獲，像是歐洲刑警組織（Europol）與全球15國執法單位通力合作，<a href="https://www.ithome.com.tw/news/166477">一口氣關閉27個DDoS租用平臺</a>，或是國際刑警組織（Interpol）與40個國家及地區的執法單位聯手，<a href="https://www.ithome.com.tw/news/166326">逮捕超過5,500名從事金融犯罪的嫌犯</a>並沒收不法所得。而對於專門提供作案工具買賣的網站，最近也有進展。</p> <p>美國、荷蘭在一月底聯手，控制用來架設銷售商業郵件詐騙（BEC）工具網站的39個網域，破壞相關伺服器的運作，並公布相關調查成果。</p> <p><a href="https://www.ithome.com.tw/news/167226"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</span></strong></a></p> <p>7-Zip在2024年11月發布的24.09版當中，修補能繞過MotW防護機制的漏洞CVE-2025-0411，然而，由於這款解壓縮軟體並未內建自動更新機制，不少使用者可能因為仍在使用舊版而曝險，所以資安圈關注此事，另一個令人大家好奇的部分在於，CVE-2025-0411是如何被發現的？</p> <p>這個星期ZDI透露他們之所以察覺，是因為俄羅斯駭客利用釣魚郵件攻擊烏克蘭企業組織，過程曾運用這項漏洞，於受害電腦執行任意程式碼，從而散布惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/167246"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</span></strong></a></h3> <p>專門用來向網頁伺服器發出請求並接收回應的HTTP用戶端（HTTP cilent）應用程式及程式庫，使用者可藉此發出GET、POST、PUT等請求，與伺服器進行互動，然而這樣的工具，攻擊者將其用於網路犯罪的情況也越來越頻繁。</p> <p>資安業者Proofpoint發現，有人將這類工具用於挾持M365帳號，其中部分工具甚至能被用於對手中間人攻擊（AiTM），繞過多因素驗證的防護機制。</p> <h3><a href="https://www.ithome.com.tw/news/167256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</span></strong></a></h3> <p>過往我們聽聞政府利用間諜軟體監控異議人士的情況，多半發生在集權國家，但如今傳出竟有民主國家政府也加入行列。</p> <p>一週前WhatsApp透露不尋常的零點擊攻擊事故（Zero-click），並指出約有90人遭到鎖定，攻擊者意圖在他們的手機植入間諜軟體Graphite。現在有知情人士透露，這起事故是義大利政府所為。</p> <h3><a href="https://www.ithome.com.tw/news/167283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</span></strong></a></h3> <p>本週最受到全球關注的科技大事，莫過於號稱以極成本打造匹敵ChatGPT的中國AI工具DeepSeek，不僅造成了股市動盪，甚至本週<a href="https://www.ithome.com.tw/news/167249">OpenAI免費開放ChatGPT的網路搜尋功能</a>，也有人認為與這款中國AI工具橫空出世有關。</p> <p>然而有多家資安業者發現，DeepSeek R1模型的資安風險不容忽視，能輕易被越獄用於犯罪，而且，行動裝置版App也存在資安風險，該公司亦明確表明資料存放於中國，並會提供其他企業組織及執法機關運用。對此，也傳出美國朝野打算立法禁止政府機關使用的情況。</p> </div></div></div>
2025/2/10 11:01作者羅正漢https://www.ithome.com.tw/news/167287
Mistral AI推出聊天機器人Le Chat手機版App，1秒可輸出1,000字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI本周<a href="https://mistral.ai/en/news/all-new-le-chat" target="_blank">發布</a>號稱全球最快的聊天機器人Le Chat iOS與Android版App，具備網頁搜尋及多模態能力，並推出分級收費Pro及Team方案。</p> <p>Mistral AI聲稱，Le Chat是以最高效能、最低延遲性的Mistral模型及地球上最快推理引擎為基礎，推理、思考和回應能力高於所有其他聊天助理，1秒最快可輸出1,000字，該公司稱為閃電回答（Flash Answers）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-inference%20speed%20of%20Le%20Chat%20and%20its%20peers_as%20of%20Feb%202025_960.png" style="width: 600px;" /></p> <p>Le Chat現在以預覽版開放所有用戶下載<a href="https://apps.apple.com/us/app/le-chat-by-mistral-ai/id6740410176" target="_blank">iOS</a>、<a href="https://play.google.com/store/apps/details?id=ai.mistral.chat" target="_blank">Android</a>版使用，企業內部基礎架構使用的版本也即將推出。</p> <p>Le Chat結合高品質預訓練模型及網頁搜尋、新聞、社群平臺及其他來源的新近資訊，以確保回應的正確及時效性。Le Chat支援多模態輸入，其視覺和文件理解是以視覺和光學字元辨識（optical character recognition，OCR）模型為基礎，可準確讀取PDF、試算表、log檔與複雜圖片檔。</p> <p>Le Chat還內建Code interpreter功能，能讓用戶在沙箱跑程式、科學分析、執行虛擬化及模擬，可用於驗證演算法及分析資料。Le Chat的圖像生成功能是以當今最先進的Black Forest Labs Flux Ultra模型為基礎，可生成擬真的高品質圖片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%20Code%20interpreter.png" style="width: 400px;" /></p> <p>Mistral AI也首次<a href="https://help.mistral.ai/en/articles/268663-what-is-the-difference-between-le-chat-free-pro-team-and-enterprise-plans" target="_blank">公布</a>分級收費方案，包括Pro、Team，以及Enterprise。登入帳號免費方案提供最新模型、網頁搜尋、圖像生成、文件上傳、開啟URL及Canvas（工作區）功能，若不登入則只有每日幾則訊息，且無法生成圖像或上傳檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%E4%BB%98%E8%B2%BB%E6%96%B9%E6%A1%88.png" style="width: 500px;" /></p> <p>Pro版提供無上限訊息，以及最新的Black Forest Labs Flux Ultra模型及專屬支援。Team版還加入集中計費及管理功能、無上限搜尋，以及多席次支援與隱私選項。Pro版費用為每人每月14.99美元。</p> <p>Mistral AI還規畫企業版（Enterprise），現以不公開預覽版測試中，企業可申請加入試用。企業版功能包括允許用戶在企業環境（本地部署、VPC或SaaS）部署Le Chat，可連結自有工具及客製化模型等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> </div></div></div>
2025/2/8 14:41作者林妍溱https://www.ithome.com.tw/news/167282
研究人員發現DeepSeek iOS App多項漏洞，還將資料傳送到中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepSeek以低成本達到近OpenAI o1-preview的高效能爆紅，但安全性成為關注焦點。資安廠商<a href="https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/" target="_blank">發現</a>DeepSeek iOS App有使用過時加密技術、明碼傳送資料、以及將部份用戶資料送到中國等安全與隱私風險。</p> <p>資安廠商NowSecure針對DeepSeek iOS App進行完整的安全與隱私評估，發現多項重大漏洞，可能危及個人、企業和政府。研究小組發現的主要風險涉及資料蒐集和處理方式、資料加密、資料儲存等面向。</p> <p>首先，DeepSeek iOS App在未加密情形下網路連線上傳送部份應用程式註冊和裝置資料，令攻擊者得以監控所有流量和使用者資訊。雖蘋果有內建ATS（App Transport Security）協定讓用戶能加密線上傳送的資料，但DeepSeek App全球都關閉了本項加密選擇。另外，具權限的攻擊者還可能以中間人攻擊（man-in-the-middle，MiTM）手法截聽和修改傳送的資料，危及App和資料。</p> <p>DeepSeek iOS App儲存了10種用戶和裝置資料，包括連線方式、裝置機種、裝置名稱和行動裝置國家代碼（Mobile Country Code，MCC/ MNC），結合資料處理方式就相當令人擔憂。</p> <p>在資料處理方式中，最值得注意的是，DeepSeek iOS App蒐集部分資料傳送到Volcengine，後者是TikTok母公司字節跳動（ByteDance）2021年推出的雲端平臺。字節跳動作為一家中國公司，對西方國家來說可能有資安疑慮，也是川普亟欲促成美國公司收購TikTok的主因。此外，這App整合Intercom iOS SDK，可在二個平臺間交換資料，可能經由數種資料合併導致去匿名化（de-anonymization）。</p> <p>其他隱憂方面，加密上，研究人員發現DeepSeek iOS App加密實作不夠完整。缺點包括使用過時的對稱式加密演算法3DES，此技術密鑰長度不夠長，可能招致MiTM攻擊，美國標準及安全研究院在2017年宣布逐年淘汰；它還將加密金鑰寫死在程式碼中，加密金鑰可能以逆向工程被駭客取得；此外，該App以NIL（全空值）作為加密初始向量（initialization Vector，IV）或重覆使用IV，可能降低加密IV的隨機性，提升攻擊者破解機會。</p> <p>資料儲存上，DeepSeek iOS App將使用者名稱、密碼與加密金鑰儲存在裝置的快取資料庫中。由於DeepSeek使用NSURLRequest API（iOS/macOS平臺的HTTP請求API）和端點通訊，該API會將HTTP回應儲存於本地快取資料庫，而讓他人、特別是能實際接觸到未上鎖裝置的攻擊者復原和存取這些敏感資訊。</p> <p>DeepSeek的隱私政策頁<a href="https://chat.deepseek.com/downloads/DeepSeek%20Privacy%20Policy.html" target="_blank">說明</a>，公司蒐集的資料儲存在中國境內的安全伺服器上。以及DeepSeek「基於法遵等理由，得以存取、保存「蒐集到的資訊」及分享給執法機關、主管單位、版權持有者或其他有必要的第三方單位。」</p> <p>基於上述風險，資安廠商建議企業應立即從列管及BYOD環境上移除DeepSeek iOS App。<a href="https://arstechnica.com/security/2025/02/deepseek-ios-app-sends-data-unencrypted-to-bytedance-controlled-servers/" target="_blank">Ars Technica</a>引述NowSecure主管說，Android比iOS平臺更不安全，因此也應移除。</p> <p>一月底賓州大學和思科也發表報告<a href="https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models" target="_blank">指出</a>，惡意提示對DeepSeek R1的攻擊成功率是100%，意指它無法阻擋任何有害的提示濫用。</p> </div></div></div>
2025/2/8 11:25作者林妍溱https://www.ithome.com.tw/news/167276
Google修補安卓作業系統核心的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月3日Google<a href="https://source.android.com/docs/security/bulletin/2025-02-01?hl=zh-tw">發布本月份安卓例行更新</a>，總共修補、公布47個漏洞，值得留意的是，其中一項高風險層級的漏洞CVE-2024-53104，該公司表示，他們掌握某些跡象，研判可能有人專門利用這項漏洞從事目標式的攻擊。</p> <p>CVE-2024-53104存在於安卓作業系統的Linux核心，為權限提升漏洞，主要影響子元件是USB Video Class（UVC），<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53104">CVSS風險評分達到7.8</a>。</p> <p>該漏洞最初是在去年12月由Linux核心開發團隊揭露，起因是uvc_parse_format在處理UVC_VS_UNDEFINED格式的影格時，會略過剖析的處理，使得系統計算處理串流的緩衝區大小時，此種影格不會被列入，從而導致記憶體越界寫入（OBW）的現象。</p> <p>當時Linux核心開發團隊成員Greg Kroah-Hartman<a href="https://lore.kernel.org/linux-cve-announce/2024120232-CVE-2024-53104-d781@gregkh/">對此提出說明</a>，並指出該漏洞是2008年發布的2.6.26版Linux核心引入。</p> <p>對於這項漏洞用於攻擊行動的情況，<a href="http://x.com/GrapheneOS/status/1886639593430376958">行動裝置作業系統GrapheneOS開發團隊指出</a>，很有可能是經由資料鑑識解析工具利用。</p> </div></div></div>
2025/2/5 12:47作者周峻佑https://www.ithome.com.tw/news/167218
Google對美國平臺與裝置部門啟動自願離職方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://9to5google.com/2025/01/30/pixel-android-voluntary-exit-employees/" target="_blank">報導</a>，Google本周對生產Pixel手機及開發Android的部門員工啟動自願離職方案</p> <p>媒體取得Google資深副總裁Rick Osterloh發給平臺暨裝置（Platform and Devices）部門的內部訊息報導，此消息也獲得Google證實。</p> <p>Osterloh在內部信件中指出，去年4月整併裝置和平臺部門後，當員工已經工作上手一段時間，這項安排是提供給對組織變動不適應，或對現有角色及工作、以及混合式辦公沒有熱情或無法積極投入的員工。去年Google整併了生產Pixel、Nest和Fitbit的裝置部門，以及開發Android、Chrome、Google Play、ChromeOS、Google Photos與Google One的平臺部門。他說，在合併後公司接到員工詢問是否有自願離職選項，因此決定在裁員前提供員工這項選擇。</p> <p>自願離職的員工將可獲得一筆資遣費用，詳情會於日後公布。報導指出，本方案並非適用所有Google部門，像搜尋、AI或其他部門就沒有這項方案。本方案也只適用於美國的裝置及平臺部門員工。</p> <p>Google主管對留下的員工表示，該部門現在「蓄勢待發」，眼前有很多重要工作，要求員工應「全力投入使命，專注於打造優質產品，兼顧速度與效能。」</p> <p>去年以來美國軟體大廠相繼精簡人事以因應AI投資的龐大開銷，另外，媒體<a href="https://abcnews.go.com/US/wireStory/us-businesses-brace-trumps-tariffs-canada-mexico-china-118356449" target="_blank">分析</a>川普調高關稅亦導致能源與其他進口商品漲價，增加企業營運成本。Meta和微軟今年將<a href="https://www.ithome.com.tw/news/166967" target="_blank">裁減</a>過去一年無法符合期望的員工，占比分別為5%及1%。</p> <p>本周Salesforce也傳<a href="https://www.fastcompany.com/91272368/tech-layoffs-2025-salesforce-meta-amazon-add-to-list-of-job-cuts" target="_blank">裁減</a>了1,000多個員額。其他裁員的還包括Amazon、Stripe、Placer.ai等。</p> </div></div></div>
2025/2/5 11:08作者林妍溱https://www.ithome.com.tw/news/167215
Microsoft Defender 2月底終止免費VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365今年起漲價，同時間<a href="https://support.microsoft.com/en-us/topic/end-of-support-privacy-protection-vpn-in-microsoft-defender-for-individuals-8b503da5-732a-4472-833a-e2ddca53036a#cw" target="_blank">宣布</a>免費Microsoft Defender 2月底將不再提供VPN服務，需要的用戶必須訂閱Microsoft 365。</p> <p>Windows Central首先<a href="https://www.windowscentral.com/microsoft/microsoft-is-killing-its-free-vpn-with-microsoft-365-subscriptions-just-days-after-increasing-prices" target="_blank">報導</a>，微軟近日公告，自2025年2月28日起，將從Microsoft Defender App移除VPN服務。</p> <p>微軟理由是，公司定期評估其功能的使用率和效果結果，使其決定移除此一隱私防護功能，而改投資於其他功能上。未來要使用VPN的消費者，必須訂閱Microsoft 365（M365）個人或家庭版方案。</p> <p>微軟強調M365提供信用卡資訊及60多種個資防護、24x7身份盜竊支援，及100萬美元身份盜竊保險，以及財物損失追訴的法律和專家費用最高10萬美元（上述皆只提供美國用戶）。</p> <p>2月28日一到，Defender Android版用戶會被要求移除裝置上的VPN檔案。微軟建議移除，雖然不移除不會怎麼樣，但在Defender App中也沒有用了。用戶可以在「設定」>「VPN」下找到「Microsoft Defender」，再點入「info」圖示移除。</p> <p>Windows、iOS及macOS用戶無需採取行動。此外，iOS裝置上，VPN網頁防護（釣魚網站防護）仍可持續使用。微軟解釋，iOS平臺上的VPN網頁防護和本機（loop-back）VPN和Defender App的VPN不同，因而不受影響。</p> <p>這項宣布顯然是為了鼓勵／迫使消費者用戶購買Microsoft 365。微軟去年底<a href="https://www.ithome.com.tw/news/165938" target="_blank">終止</a>支援免費的Windows Mail、Calendar、Contacts，要求需要的用戶訂閱M365。同時，微軟以增加了Copilot為由，調高Microsoft 365的訂閱費用，不需要Copilot的使用者必須自行到設定頁中<a href="https://www.ithome.com.tw/news/167015" target="_blank">調整</a>為傳統型M365方案，否則會被增加訂閱費。</p> </div></div></div>
2025/2/4 11:16作者林妍溱https://www.ithome.com.tw/news/167189
傳蘋果取消AR眼鏡計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博<a href="https://www.bloomberg.com/news/articles/2025-01-31/apple-scraps-work-on-mac-connected-augmented-reality-glasses" target="_blank">報導</a>，蘋果可能又取消了一個AR眼鏡開發專案，使蘋果智慧眼鏡之路再添變數。</p> <p>報導指出，蘋果取消的是一個代號為N107的計畫，據說原欲用於對抗Meta的輕量型智慧眼鏡。N107細節不明，主要是外型和一般眼鏡類似，有個顯示螢幕可連結Mac電腦，但可能不含攝影機，也沒有混合實境功能。N107輕巧外型解決了Vision Pro體積龐大及3,499美元高價格的不利因素，但它不僅如此，還有個變色鏡片發揮類似Vision Pro的Eye Sight，可在偵測到使用者前方有人時顯示用戶的「數位化眼睛」，讓他人得以「看到」用戶的眼神以便用戶和外界互動。</p> <p>根據報導，N107原本設計是要連接到iPhone上執行，卻因過於耗電，不得已才改為連結Mac電腦。然而新設計在測試階段未獲得管理階層同意。</p> <p>稍早The Information<a href="https://www.ithome.com.tw/news/166804" target="_blank">報導</a>蘋果可能取消Vision Pro第二代的計畫，而改開發較低價的版本，因為定價過高及欠缺殺手級應用影響銷售量，迫使蘋果下修Vision Pro銷售預測，代工廠去年就已生產出今年需要的數量，報導指出蘋果去年底已暫停生產第一代Vision Pro（下圖），以轉為生產較低價版的Vision Pro。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-Apple-Vision-Pro.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>如果蘋果真的未在今年公布智慧眼鏡，可能要更加落後競爭者。Meta以Quest系列站穩VR眼鏡領先者地位後，2021年<a href="https://www.ithome.com.tw/news/146641" target="_blank">推出</a>和一般眼鏡類似的智慧眼鏡Ray-Ban Stories。去年10月<a href="https://www.ithome.com.tw/news/165199" target="_blank">公布</a>的Orion（下圖）重僅100公克、更接近理想中的AR眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-meta%20quest%20orion.png" style="width: 433px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Google屢敗屢戰，專注發展智慧眼鏡作業系統Android XR，和三星<a href="https://www.ithome.com.tw/news/166517" target="_blank">合作開發</a>XR裝置Project Moohan，並在今年CES<a href="https://mashable.com/article/samsung-unpacked-xr-headset-project-moohan-teased" target="_blank">展示</a>（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-samsung%20ces%2025-android%20xr-project%20moohan.png" style="width: 390px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／三星</span></span></p> </div></div></div>
2025/2/3 11:44作者林妍溱https://www.ithome.com.tw/news/167179
Android 16 Beta強化應用螢幕適應性，預告API等級37將強制支援大螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/01/first-beta-android16.html?m=1">Android 16第一個Beta版本正式推出</a>，針對開發者與早期使用者開放測試，帶來應用適應性與即時更新（Live Updates）等新功能，更新重點除了提升大型螢幕裝置的使用體驗，還進一步強化更即時的通知應用場景，支援多樣化裝置與互動需求。</p> <p>Android 16應用適應性功能解決過去應用程式，在大螢幕裝置上無法有效調整視窗大小與方向的問題。新版本引入的變更，逐步解除非遊戲類應用程式，在對大螢幕裝置上的方向與縮放限制，並要求目標API等級36以上的應用程式，支援寬度超過600dp的大型螢幕自適應能力，而在未來的API等級37，所有應用程式將不得限制視窗大小，並強制支援大螢幕裝置的彈性顯示模式。為此，開發者需要重新檢視現有的UI設計，確保應用在不同螢幕尺寸與方向下都能提供一致的使用體驗。</p> <p>在通知功能更新方面，Android 16引入了名為即時更新的新類型通知模板，針對進度型應用案例，如共乘服務、外送平臺與導航應用等，提供更直覺且一致的用戶體驗。新模板允許開發者以圖示和分段進度的方式顯示即時資訊，例如車輛位置或訂單狀態，強調資訊視覺化與即時性，進一步縮短用戶在重要任務中的反應時間。</p> <p>此外，Android 16還針對多媒體處理進行全面升級，加入進階專業影像格式（Advanced Professional Video，APV）支援，提供專業影音創作者接近原始品質的錄製與後製能力。該格式不僅支援高位元速率和HDR10，還支援多視角影像與額外輔助影片資料的編碼（Encoding）需求，例如景深資訊、透明度圖層或預覽影像，這些輔助資料可用於提升影像的後製效果與多視角應用體驗。</p> <p>新版本Android也添加低階API的垂直文字渲染功能，更好地支援特定語言需求，特別適用於日文等垂直書寫語言。儘管該功能目前僅限於低階API，未延伸至Jetpack Compose或TextView等高階文字處理框架，但仍替未來的文字顯示功能奠定技術基礎。</p> <p>Android版本更新伴隨內部機制改變，對應用程式的相容性提出了更高要求，例如預測式返回功能的啟用以及廣播優先順序的限制，可能會影響部分應用的現有設計，開發者需進行詳細測試找出潛在問題。此外，Android 16強化ART模組的性能，對仰賴ART內部結構的應用程式提出了更新需求，而這對於長期未維護或更新的應用可能造成挑戰。</p> <p>Google預計在2025年第二季正式發表Android 16，並將這一版本作為當年度唯一包含行為變更的主要更新，同時計畫在第四季推出新增功能的次要版本。</p> </div></div></div>
2025/1/28 15:58作者李建興https://www.ithome.com.tw/news/167165
【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167150"><strong style="font-size: 22px;">印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/android17-3.jpg" style="width: 300px; float: right;" /></p> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p>資安業者Cyfirma指出，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167130"><strong style="font-size: 22px;">Mirai殭屍網路攻擊規模再創新高，資安業者Cloudflare攔下規模5.6 Tbps的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos report-mirai.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="float: right; width: 300px;" /></a></p> <p>資安業者Cloudflare本周公布2024年第4季DDoS攻擊活動的統計報告，指出在引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%相當值得留意。</p> <p>該公司提及在10月29日出現史上規模最大的DDoS攻擊，一家東亞ISP客戶遭到流量高達5.6 Tbps的攻擊事故，流量來自1.3萬臺物聯網（IoT）裝置，歷時約80秒。這些裝置遭到Mirai變種程式感染後，集體發動的DDoS攻擊。</p> <p>論及攻擊來源與受害國家，印尼、香港、新加坡、烏克蘭和阿根廷是最大來源。臺灣、香港、中國、菲律賓和德國是最主要攻擊目標；Cloudflare臺灣客戶發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><a href="https://www.ithome.com.tw/news/167104"><strong style="font-size: 22px;">微軟已棄用的NTLMv1驗證機制，仍可能被啟動用於攻擊</strong></a></p> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但資安業者Silverfort發現，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究人員強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-rce-flaw-exploited-in-zero-day-attacks/">SonicWall防火牆設備SMA 1000系列存在重大漏洞，已傳出被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166898">【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167149"><strong style="font-size: 22px;">供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限</strong></a></p> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞CVE-2024-32444、CVE-2024-32445，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/167139"><strong style="font-size: 22px;">思科修補防毒軟體ClamAV阻斷服務漏洞，防止攻擊者中斷防毒掃描</strong></a></p> <p>思科（Cisco）釋出1.4.2和1.0.8版開源防毒軟體ClamAV，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，思科敦促企業應立即檢查現有環境並套用相關更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researcher-says-abb-building-control-products-affected-by-1000-vulnerabilities/">研究人員指出ABB大樓控制系統存在超過1千項弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/aws-patches-vulnerabilities-in-workspaces-appstream-2-0-and-dcv-clients/">AWS修補WorkSpaces、AppStream、DCV高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-six-rsync-vulnerabilities-in-hbs-nas-backup-recovery-app/">威聯通為NAS設備修補檔案同步工具Rsync弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167141"><strong style="font-size: 22px;">預算遭大砍4成，數位部表示將影響打詐、通訊韌性基礎建設及資通安全</strong></a></p> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167020"><strong style="font-size: 22px;">推動AI代理人應用，Nvidia提供AI護欄微服務、內容安全防範工具</strong></a></p> <p>Nvidia宣布推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。此服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部分，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可程式化的護欄（Guardrails）或管理規則。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> </div></div></div>
2025/1/24 17:28作者周峻佑https://www.ithome.com.tw/news/167151
印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p><a href="https://www.cyfirma.com/research/android-malware-in-donot-apt-operations/">資安業者Cyfirma指出</a>，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>研究人員先後於去年10月、12月看到兩個版本的惡意程式檔案，兩個版本檔案功能大致相同，差別在於對介面進行些微調整。</p> <p>一旦使用者依照指示安裝，手機就會出現Tanzeem App的歡迎畫面，然後顯示開始聊天的按鈕，一旦使用者點選，就會出現彈出式訊息，要求授予輔助功能權限。然而若是使用者照做，不會進入聊天的畫面，原因是惡意程式並未具備相關功能。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> </div></div></div>
2025/1/24 17:05作者周峻佑https://www.ithome.com.tw/news/167150
Google與三星聯手開發Eclipsa Audio開放格式，推動空間音訊普及化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與三星宣布推出全新的<a href="https://opensource.googleblog.com/2025/01/introducing-eclipsa-audio-immersive-audio-for-everyone.html">Eclipsa Audio開放格式</a>，目的是要沉浸式音效技術更加普及化，並從專業領域擴展至更廣泛的創作者和使用者。 Eclipsa Audio提供多元工作流程支援，並計畫於2025年全面擴展至內容創作與跨平臺播放應用，涵蓋YouTube影片、三星全新電視系列的內建支援，以及即將更新的Google Chrome瀏覽器和Android系統原生相容性。</p> <p>Eclipsa Audio以開放原始碼的IAMF（Immersive Audio Model and Formats）為基礎，並由Alliance for Open Media（AOM）制定免版稅授權，確保技術普及的可行性。隨著Eclipsa Audio的推出，空間音訊的採用門檻將大幅降低，創作者可以使用免費工具，例如iamf_tools和ffmpeg，更簡單地生成包含空間音訊的影片與音訊檔案，YouTube創作者將能夠上傳包含Eclipsa Audio音訊的影片。</p> <p>同時，三星承諾率先在其2025年電視產品線全面整合該技術，包括從Crystal UHD系列到Neo QLED 8K旗艦機型等裝置。Google則將於春季推出針對AVID Pro Tools數位音訊工作站的免費擴充套件，進一步簡化專業音效的創作流程，並計畫將Eclipsa Audio整合至更多硬體設備與軟體平臺。</p> <p>Eclipsa Audio的開放性與跨產業支持，會是空間音訊從專業領域走向大眾化重要的一步，之後隨著認證計畫和品牌授權的推行，Eclipsa Audio或將成為沉浸式音效的普遍標準。</p> </div></div></div>
2025/1/20 09:18作者李建興https://www.ithome.com.tw/news/167031
OpenAI測試ChatGPT Tasks 化身AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正在<a href="https://help.openai.com/en/articles/10291617-scheduled-tasks-in-chatgpt" target="_blank">測試</a>ChatGPT名為Tasks的功能，將讓聊天機器人ChatGPT化身任務自動化的AI代理人。</p> <p>OpenAI描述，Tasks可讓用戶在ChatGPT自動化執行排程任務。這項功能目前已以beta版開放給Plus、Team和Pro方案用戶測試，計畫正式上市時開放給更多人使用。</p> <p>Tasks功能旨在讓ChatGPT設定自動執行的任務。現在在Beta中，用戶已可測試以ChatGPT提示，讓它自我排程並於之後自動執行，例如讓ChatGPT每天下午匯整AI新聞簡報、每天和用戶練習法文、提示母親3月13日生日。在Beta版本，Tasks in ChatGPT不支援語音對話、檔案上傳，也不適用於客製化的GPTs。</p> <p>目前ChatGPT Web、iOS、Android版可測試使用Tasks，第一季稍後可於Windows App支援。</p> <p>用戶可設定任何時間、一次性或是重覆執行的任務，且不論用戶是否在線上ChatGPT都會執行任務。完成後它也會傳送通知或電子郵件給用戶。</p> <p>用戶可以在設定中的<a href="https://chatgpt.com/tasks" target="_blank">Tasks Page頁</a>設定及編輯所有任務，並在<a href="http://chatgpt.com/#settings/Notifications" target="_blank">通知頁</a>啟動或關閉通知。不過這二項功能目前只在Web版ChatGPT支援，要再一陣子才會推向應用程式版本。</p> <p>必須注意的是，Tasks功能使用的是GPT-4o模型，因此ChatGPT方案的使用限制也會套用在Task上。此外，ChatGPT只能設定10項任務，超出者用戶必須暫停或刪除現有任務，或是現有一次性任務結束。</p> </div></div></div>
2025/1/15 14:38作者林妍溱https://www.ithome.com.tw/news/166970
Android Studio Ladybug功能更新，強化AI輔助與Wear OS開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新穩定版本的<a href="https://android-developers.googleblog.com/2025/01/android-studio-ladybug-feature-drop-is-stable.html">Android Studio Ladybug（2024.2.2）的重大功能更</a>新，這次更新在原有功能基礎上，進一步強化內建的人工智慧助手Gemini，加入了智慧轉換、智慧命名、文件生成等功能，並新增多項開發者工具改進，助開發者快速完成應用程式開發任務。</p> <p>Android Studio在之前版本整合Gemini之後，具備了程式碼生成與優化功能。而在最新的Ladybug版本中，Gemini功能進一步擴充，例如智慧轉換功能可以根據開發者的描述，生成程式碼變更建議，簡化複雜邏輯或對程式碼最佳化。此外，智慧命名功能不僅支援單一變數、類別或方法的命名建議，也能對整個檔案進行命名分析，提供更具語意和直覺的名稱建議，進一步提升程式碼的可讀性與維護性。</p> <p>除了人工智慧功能強化外，Android Studio Ladybug還針對Wear OS開發提供了更多工具支援，包括動畫預覽功能和Wear Health Services模擬器。動畫預覽讓開發者能夠即時檢視Wear OS Tiles的動畫效果，並動態調整動畫參數；而Wear Health Services模擬器則簡化了健康與健身應用的測試流程，讓開發者能以模擬參數直接測試心率、距離等功能，而不再需要實體裝置。</p> <p>本次更新的另一亮點還有App Links助手，該工具能自動生成和檢查深層連結設定所需的JSON檔案，協助開發者快速修復連結問題，並簡化整體設定流程。同時，Android Studio現在也整合了 Google Play SDK Index，提供Google Play政策遵循和安全性警告，助開發者更新過時或不符合規定的SDK，確保應用程式的穩定性與安全性。</p> <p>Google在本次更新中修復超過770個已知問題，並導入IntelliJ 2024.2平臺，提供Java與Kotlin更直覺的程式碼完成建議及日誌管理功能。</p> </div></div></div>
2025/1/15 08:00作者李建興https://www.ithome.com.tw/news/166953
三星手機音訊解碼器存在漏洞，攻擊者有機會藉由Google簡訊服務觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Google Project Zero團隊揭露三星手機的記憶體越界寫入（OBW）高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-49415">CVE-2024-49415</a>，此漏洞存在於Monkey's Audio（APE）音訊解碼器元件libsaped.so，影響執行Android 12至14版作業系統的三星手機，三星於9月接獲通報，並<a href="https://security.samsungmobile.com/securityUpdate.smsb?year=2024&month=12">在12月發布SMR Dec-2024 Release 1更新修補</a>。</p> <p>值得留意的是，雖然這項漏洞的CVSS風險評分為8.1，三星卻將其列為重大層級，這項決定可能與該漏洞無須透過使用者互動就能觸發有關。</p> <p>Project Zero為何會找到這項弱點？<a href="https://project-zero.issues.chromium.org/issues/368695689">他們起初是在S24手機發現相關問題</a>，並強調在Google Messages配置為預設豐富通訊服務（RCS）應用程式的手機上，此漏洞可用來發動零點擊攻擊（0-click），攻擊者能夠遠端利用。由於Google Messages是S24預設的RCS應用程式，這代表大部分用戶都必須套用更新程式，否則就有可能曝險。</p> <p>為了確認這項漏洞是否也影響三星其他手機，Project Zero也在S23、S24手機進行驗證，結果確認這些裝置都曝露在相同的風險之中，攻擊者藉由Google Messages可發送特製的聲音檔案，導致解碼器元件libsaped.so當機，而有機會遠端執行任意程式碼。</p> </div></div></div>
2025/1/14 17:24作者周峻佑https://www.ithome.com.tw/news/166955
【資安日報】1月14日，Ivanti旗下VPN系統再傳零時差漏洞，臺灣曝險伺服器數量全球第三
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti公布SSL VPN系統Connect Secure重大層級的漏洞CVE-2025-0282，並透露已出現攻擊行動的情況，協助調查的資安業者Mandiant表示攻擊者利用該漏洞長達半個月，但究竟有多少駭客加入利用漏洞的行列？有待進一步的調查。</p> <p>值得留意的是，企業組織應儘速套用修補程式，截至12日，臺灣尚有近80臺伺服器尚未修補，數量僅次於美國和西班牙。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166944"><strong style="font-size: 22px;">Ivanti旗下SSL VPN系統Connect Secure存在零時差漏洞，臺灣曝險數量全球第三</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-0282-statistics-tree-map-20250112_XDq06dxdDF.png" style="width: 300px; float: right;" /></a></p> <p>1月8日資安業者Ivanti發布資安公告，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282、CVE-2025-0283，當時該公司透露，他們已經掌握有部分Connect Secure系統遭到CVE-2025-0282攻擊的情況。</p> <p>協助調查的資安業者Mandiant指出，他們確認CVE-2025-0282在12月中旬就有人當做零時差漏洞用於實際攻擊，其中一組人馬的身分是與UNC5221有關的中國駭客組織UNC5337，究竟有多少駭客鎖定這項漏洞下手，他們也尚未取得足夠的資料而不能確定。</p> <p>目前有多少臺Connect Secure系統曝險？根據Shadowserver基金會的掃描，12日約有800臺未修補漏洞。但值得留意的是，此時臺灣仍有79臺尚未修補，數量為全球第三，僅次於美國和西班牙的192、113臺。</p> <p><a href="https://www.ithome.com.tw/news/166952"><strong style="font-size: 22px;">電子賀卡網站GroupGreeting遭遇zqxq攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_249e18.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_249e18.png" style="width: 300px; float: right;" /></a></p> <p>隨著新的一年到來，許多企業組織都會透過電子賀卡表達祝福，但也有攻擊者伺機而動，利用相關平臺散布惡意程式。</p> <p>資安業者Malwarebytes揭露名為Zqxq的攻擊行動，駭客針對電子賀卡網站GroupGreeting下手，散布ndsw及ndsx型態的惡意軟體，根據調查，GroupGreeting約有超過2,800個網站受到類似的惡意程式碼攻擊，隨著聖誕節及新年的使用量增加，使得攻擊者有機可乘，能暗中在網頁注入惡意程式，使得想要接受祝福的使用者成為目標。GroupGreeting接獲通報後，已著手處理。</p> <p>研究人員指出，攻擊者在受害網站注入經混淆處理的JavaScript程式碼，並與網站的正常檔案混在一起，為了迴避偵測，攻擊者加入額外的變數（其中一個是zqxq），以及自訂功能。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-domain-registry-nominet-confirms-breach-via-ivanti-zero-day-vulnerability/">英國網域名稱註冊機構Nominet傳出遭到Ivanti零時差漏洞攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-aviatrix-controller-rce-flaw-in-attacks/">Aviatrix Controller重大層級RCE漏洞被用於攻擊行動，駭客用於部署後門及挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-abuses-amazon-aws-feature-to-encrypt-s3-buckets/">勒索軟體駭客濫用AWS提供的功能，將S3儲存桶加密</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166951"><strong style="font-size: 22px;">微軟通報macOS系統完整性保護元件漏洞，攻擊者可乘機植入核心層級惡意驅動程式</strong></a></p> <p>去年12月蘋果發布macOS Sequoia 15.2，當中修補存在StorageKit元件的漏洞CVE-2024-44243，在改版公告裡面，蘋果僅簡略提到攻擊者有機會用其竄改受到保護的檔案系統元件，以及這是由微軟通報的問題，相關細節最近被公開。</p> <p>微軟威脅情報中心指出，蘋果在macOS作業系統內建的系統完整性保護（System Integrity Protection，SIP）機制，會因為這個漏洞而被繞過，攻擊者可藉由載入第三方的核心延伸套件來觸發，CVSS風險為5.5。</p> <p>雖然CVE-2024-44243危險程度僅被評為中等，但研究人員指出，由於SIP的功能是限制可能破壞系統完整性的行為，一旦被繞過，影響將有可能非常嚴重，例如：攻擊者植入rootkit的成功率增加，或是利用惡意軟體持續於在受害電腦活動，甚至能繞過該作業系統另一項防護機制Transparency, Consent, and Control（TCC）。</p> <p><a href="https://www.ithome.com.tw/news/166955"><strong style="font-size: 22px;">三星手機音訊解碼器存在漏洞，攻擊者有機會藉由Google簡訊服務觸發</strong></a></p> <p>近期Google Project Zero團隊揭露三星手機的記憶體越界寫入（OBW）高風險漏洞CVE-2024-49415，此漏洞存在於Monkey's Audio（APE）音訊解碼器元件libsaped.so，影響執行Android 12至14版作業系統的三星手機，三星於9月接獲通報，並在12月發布SMR Dec-2024 Release 1更新修補。</p> <p>值得留意的是，雖然這項漏洞的CVSS風險評分為8.1，但三星將其列為重大層級，這項危險層級的認定，很有可能與這項漏洞無須使用者互動就能觸發有關。</p> <p>針對漏洞的發現，Project Zero指出，他們起初是在S24手機上找到這項弱點，並強調在Google Messages配置為預設豐富通訊服務（RCS）應用程式的手機上，此漏洞可用來發動零點擊攻擊（0-click），攻擊者能夠遠端利用。由於Google Messages是S24預設的RCS應用程式，這代表大部分用戶若不套用更新程式，就有可能曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-22777-cvss-9-8-critical-security-alert-for-givewp-plugin-with-100000-active-installations/">供用戶贊助經營者的WordPress外掛程式GiveWP存在重大漏洞，若不處理攻擊者有機會接管網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-12847-cvss-9-8-netgear-router-flaw-exploited-in-the-wild-for-years-poc-published/">Netgear路由器存在重大漏洞，未經授權的攻擊者有機會遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166916"><strong style="font-size: 22px;">強化MDR戰力，防火牆業者WatchGuard買下資安新創ActZero</strong></a></p> <p></p> <p>防火牆業者WatchGuard宣布已併購AI資安新創ActZero，以補強代管偵測與回應（MDR）產品線，並朝向代管服務供應商（managed service provider，MSP）發展。</p> <p>代管偵測回應（MDR）方案能持續監控企業多種IT環境（如雲端、本地、端點、身份）以因應入侵活動及隱蔽的惡意軟體。ActZero以結合AI及安全專家提供MSP、安全監控服務中心（SOC）聞名。其機器學習可協助自動化分析，減少誤判及噪音（noise），而其開放架構也可整合多種端點安全技術，除了WatchGuard方案、代管Firebox防火牆外，也能整合Microsoft Defender等第三方服務。</p> <p>雙方已在2024年12月達成協議，在合併後，ActZero的SOC、員工及流程未來將主導WatchGuard MDR服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166934"><strong>【1月13日】研究人員揭露中國駭客RedDelta最新一波攻擊行動，主要目標是臺灣和蒙古</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166913"><strong>【1月10日】macOS惡意軟體回避偵測機制出現新手法，有人濫用XProtect演算法干擾分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166890"><strong>【1月9日】日本指控中國駭客MirrorFace從事逾200起攻擊，竊取國家安全及先進技術機密</strong></a></p> </div></div></div>
2025/1/14 17:34作者周峻佑https://www.ithome.com.tw/news/166956
【重新認識國家級駭客威脅】全民資安風險倍增！國家支持的網路間諜攻擊升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2025年到來，1月初臺灣又遭受大規模DDoS攻擊，讓國人再度意識到資安威脅的不斷發生，儘管此次服務阻斷攻擊僅短暫影響網站系統運作，但更值得我們關注的是：當前網路威脅的多樣化。</p> <p>例如：有如小偷般的非組織型入侵者，有以宣揚理念為目的的游擊型駭客主義者，還有經濟利益導向有如黑幫的組織型駭客團體。而最為嚴峻的威脅，則來自以政治目的為驅動，帶有敵意的國家級駭客組織，因為有國家資源支持且其行動具組織性與策略性，不只竊取高價值情報與商業機密，以獲取競爭優勢，同時也聚焦長期潛伏以在必要時，能癱瘓他國關鍵基礎設施運作。</p> <p>國家級駭客發動的網路間諜攻擊，長期以來是全球資安關注的核心議題。雖然部分事件偶爾登上國際新聞版面，但若缺乏持續關注，大眾可能無法掌握這類威脅的新變化。事實上，資安界與國家網路安全單位經常發布研究報告，目的在於揭露攻擊手法與趨勢，讓威脅更加透明化，幫助業界與大眾認識這類網路犯罪，並更清楚地了解威脅現狀。</p> <p>例如，2024年底，美國至少有多達8家當地電信業者遭到中國駭客的入侵，此事再度警示國家級間諜攻擊的高度滲透力與多樣化手段。</p> <p>2025年1月，臺灣國安局發布中共網駭手法分析報告，指出中共網軍這一年來鎖定的目標中，情況最嚴峻的是電信業為主的通訊傳播領域，較前一年度大增650％，交通、國防供應鏈也成重災區，較前一年度分別增加70％與50％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-%E5%B0%81%E9%9D%A2(1)-960.png" style="text-align: center; width: 600px;" /></p> <p>接下來，我們將深入探討這些年來網路間諜攻擊的重大變化，協助大家能夠進一步了解當前威脅態勢。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「國家資助駭客組織」一詞的涵蓋範圍日趨複雜</strong></span></span></p> <p>基本上，這些受國家資助的駭客組織（State-Sponsored actor），一般也稱國家級駭客組織（Nation-State actors）。</p> <p>過去資安界看待這類威脅時，通常都歸類在APT組織，因為他們經常使用進階持續性威脅（Advanced Persistent Threat，APT）的手法，能夠長時間隱匿其入侵蹤跡，不過隨著時局的演變，這些意涵都有一些小小的變化。</p> <p>例如，10年前發現的APT組織，有不少都是直接受國家指揮。</p> <p>在2013年，美國資安公司Mandiant揭發APT1組織，並查出其背後身分是來自解放軍總參謀部三部二局61398部隊；芬蘭資安業者F-Secure在2015年揭發一項已潛伏7年的俄羅斯網路間諜活動，該駭客組織最初由FireEye命名為APT29，經多家資安公司分析後，確認其隸屬於俄羅斯對外情報局（SVR），並與旗下的GTsST軍事單位74455 有密切關聯。後續英國國家網路安全局與美國CISA的報告，也進一步證實相關的發現。</p> <p>之後這些所謂的國家級駭客，包括「政府資助的半獨立團體」。主要原因是，隨著這些國家對網路攻擊能力需求的增長，開始資助或支持一些非軍事背景的駭客團體或技術專家。</p> <p>到了最近幾年，這些國家級駭客也涵蓋「國家支持的民間企業與承包商」，因為這些組織名義上雖然是商業公司，但實際上也在進行政府指派的網路攻擊任務。雖然過往這些處於極權國家的幕後資訊，其實並不容易被外界發現，但陸續都有發現相關線索。特別是2024年初，中國資安業者安洵（i-Soon）內部文件外洩，當中浮出檯面的各種資料，也具體展現這種合作現象。</p> <p>在安洵外洩的文件中，不僅使中國當局網路間諜活動曝光，也讓安洵本身是成都404網絡技術公司的分包商曝光，並顯現出承包中國政府網路間諜業務的業者，彼此有激烈競爭。還有成都404等公司被發現共同參與一些大型專案，通常是由中國公安部或國安單位主導。</p> <p>整體而言，這些都可說是受到國家支持的駭客組織，簡稱國家級駭客。</p> <p>另一方面，以APT組織的稱呼而言，儘管資安界仍然會使用這樣的術語來形容駭客組織，但要注意的是，早年主要是國家級駭客使用APT手段來攻擊，但現在並不一定，例如隨著有利可圖的勒索軟體攻擊興起，這些組織也會以APT攻擊方式入侵。</p> <p>換言之，這些國家級駭客都可說是APT組織，但現在所謂的APT組織，可能不全然泛指國家級駭客。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>國家級駭客的網路間諜持續演進，攻擊方式更刁鑽</strong></span></span></p> <p>近年來，國家級駭客的網路間諜攻擊（Cyber Espionage）的威脅與危害，是越來越嚴峻，而且傳播間諜軟體方式的轉變，影響層面也加深。</p> <p>簡單來說，現在的國家級駭客在發動進階持續性威脅時，不只是傳統直接攻擊企業本身，如今還會以間接的方式，藉由供應鏈攻擊，或是藉由挖掘邊緣裝置零時差漏洞，甚至是往最上游的開源軟體下手植入惡意程式，因為這類攻擊能一次入侵多家企業組織，若只針對特定目標，也讓受害組織難以防範。以下我們舉出幾個近年特別受矚目的事件。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法一：藉由供應鏈攻擊方式潛伏 </span></strong></span></p> <p>以供應鏈攻擊而言，這種攻擊是以軟體開發人員和供應商為目標媒介，而真正網路間諜行動的對象是其企業用戶。</p> <p>2020年底爆發的SolarWinds事件，就是極其嚴重的網路間諜活動，造成美國及歐洲數百個政府與商業機構受害，震撼全球。</p> <p>這起事件，最初僅是資安業者FireEye表明遭駭，揭露自家公司內部的紅隊測試工具外洩，但數日後，他們發現原因是IT監控軟體公司SolarWinds遭駭。</p> <p>隨後，多家使用SolarWinds系統的企業組織紛紛開始盤查，於是更多受害者浮上檯面，包括美國政府單位、微軟等多家業者，都揭露自己同樣遭攻擊。</p> <p>後續調查結果更顯示出，SolarWinds IT監控平臺Orion的更新機制遭駭，特定Orion版本遭植入Sunburst木馬程式，據SolarWinds估計，在3.3萬家Orion客戶中，就有1.8萬家安裝含有後門程式Sunburst的Orion，顯示出這類網路間諜攻擊的嚴重性。而且，後續還找到不同駭客也入侵SolarWinds的事證，因為發現另一個Supernova木馬程式。</p> <p>這起供應鏈攻擊背後的攻擊者是誰？隨著長時間的廣泛調查，根據其攻擊手法與工具，Sunburst木馬程式被認為是俄羅斯政府支持APT29有關；另一個Supernova木馬程式的植入，則被認為與中國駭客組織Spiral有關。</p> <p>2021年4月，美國政府正式指控俄羅斯對外情報局（SVR）是主使者，而在資安領域當中，該機構亦被稱為APT 29、Cozy Bear及The Dukes。</p> <p>這1年多來，還有多起重大網路間諜攻擊事件。例如，2024年1月，微軟內部郵件系統遭入侵，被發現是俄羅斯駭客組織Midnight Blizzard滲透，並造成多個美國政府機關組織資訊外洩情形。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法二：鎖定邊緣裝置零時差漏洞 </span></strong></span></p> <p>以零時差漏洞利用攻擊來入侵，亦是國家級駭客近年持續青睞的攻擊管道。</p> <p>例如，2024年1月，資安業者Ivanti公布兩個已遭利用的零時差漏洞，當時通報此事的資安業者Volexity表示，這是名為UTA0178的駭客組織所為，而且，他們是為中國政府服務的組織。</p> <p>同時指出全球有超過1,700個Ivanti的VPN裝置，有遭入侵的跡象，受害者遍布全球，全球政府及軍事部門、國家電信業者、國防承包商、科技業者、金融業者、全球顧問及航太業者等。</p> <p>接下來一個月內，Ivanti持續公布多個零時差漏洞利用的狀況，並發現有多組駭客加入利用漏洞攻擊的行列。</p> <p>4個月後，另一家Google旗下資安業者Mandiant指出，確認有8組人馬鎖定Ivanti Connect Secure漏洞攻擊，其中5組來自中國。相關的受害者也陸續浮上檯面，例如：美國資安研究機構MITRE證實因Ivanti攻擊事件受害，導致他們用於資安研究、開發和原型設計的協作網路環境（NERVE）遭入侵，而且，MITRE也揭露當時駭客利用複雜的後門程式及Web Shell，持續存取機構內部的網路環境。</p> <p>如今這類威脅態勢更趨嚴峻，因為近年被鎖定的IT供應商是越來越多，而且中國駭客利用這種手段的情形大增。</p> <p>根據Google在2024年3月公布的零時差漏洞利用年度報告，更多企業的供應商與產品成為攻擊目標，從2019年的4個供應商被鎖定，之後更是逐年增加，到了2023年，多達21個供應商被鎖定。</p> <p>而且，如今攻擊者正大肆鎖定各種類型的邊緣裝置，包括郵件、檔案分享、遠端存取、行動存取與虛擬裝置。</p> <p>另一備受關注的現象是，由中國政府支持駭客組織發動的零時差漏洞攻擊大增。因為2023年的21個零時差漏洞攻擊，就有12個是中國駭客組織發動，漸漸超過其他國家駭客組織。</p> <p>上述情形，也呼應到Google Mandiant先前的觀察：隨著中國於2021年實施《網路產品安全漏洞管理規定》，要求任何人發現或得知網路產品安全漏洞，皆須通報中國工業和信息化部，不得自行公布。</p> <p>此舉當時已讓資安界質疑，中國這樣的漏洞揭露政策，可能助長中國暗藏零時差漏洞，做為日後發動網路攻擊之用。隨著中國駭客的零時差漏洞攻擊越來越多，許多資安業者追蹤事故後，也都有同樣的判斷，最近又有一例。</p> <p>2024年10月底，資安業者Sophos揭露歷時5年調查的「Pacific Rim」行動，調查人員發現駭客在四川地區從事相關的漏洞研究利用及開發，並將結果提供給中國政府支持的駭客團體使用，像是APT41、APT31和Volt Typhoon等。</p> <p>另一方面，我們也要提醒企業組織，應當注意已知漏洞的修補問題。基本上，現在許多廠商都已重視漏洞修補，就是為了避免駭客先找出漏洞並利用，同樣地，企業組織也需關心這些安全更新的發布，並且盡速因應。</p> <p>這是因為，這方面的攻擊實例其實更多。不少國家級駭客經常鎖定這些已知漏洞，針對未修補的企業組織的企業來入侵，甚至在漏洞剛修補之際，駭客就想利用修補時間差來先一步滲透。</p> <p>當已知漏洞企業沒有修補，這在實體世界中會是甚麼模樣？如同一扇門旁邊出現小洞，沒有擋起來，對於有心人士而言，只要設法將手伸進門縫，就能隨時從內部開門、潛入。</p> <p>由於中國駭客網路攻擊邊緣網路裝置情形大增，這又引來另一問題：中國網路設備業者的產品風險可能增加。因為這些中國業者將產品銷售給全球，若是不像國際業者有意願修補產品漏洞，或是在關鍵時刻受到中國政府施壓，讓其產品可以成為入侵管道。這也就是國際間持續在討論的問題，像是美國政府近年提倡乾淨網路，此項廣泛涵蓋多個領域的計畫，也是在國家級駭客網路攻擊越來越嚴峻之下，才開始推動。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 手法三：從開源軟體生態系布局 </span></strong></span></p> <p>國家級駭客為了發展網路間諜行動，無所不用其極，破壞開源軟體生態也在所不惜。2024年3月底，XZ Utils程式庫被揭露植入隱密後門，引發資安界廣泛關注。因為後續調查顯示，攻擊者從3年前開始積極參與XZ項目的維護工作，以取得原始開發人員的信任。</p> <p>在獲得信任後，攻擊者的手法同樣相當隱密且難以察覺，會透過兩個包含惡意雙位元程式碼的測試壓縮檔的結合，在特定條件下解析出惡意程式，而從其建立的後門功能來看，將讓攻擊者可繞過SSHD身分驗證，並獲得未經授權的遠端存取權限。</p> <p>資安專家普遍認為，這種精心策畫的攻擊行動極有可能由國家級駭客組織發起。不過，由於相關開發人員及早察覺到異常，並深入調查將此事公開，使得威脅並未擴散，只是，未能有資安業者與研究人員指認攻擊者的身分。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>揪出更多網路間諜活動，需要跨國情資聯防因應</strong></span></span></p> <p>整體而言，這些網路間諜行動由於後續被公開揭露，使得外界可以更清楚了解其手法與影響。</p> <p>若進一步能連結、指認背後的攻擊者身分，或將其逐一歸類，對資安界同樣重要。主要目的在於，不同國家級駭客組織具有獨特的攻擊手法、使用的工具與目標產業，透過這樣的歸類，可以識別其TTP與攻擊模式，了解動機與主要目標，以制定針對性防禦策略，並分享威脅情報，協助資安風險的評估，以及早期預警的發布。</p> <p>同樣地，對於普遍企業與政府而言，防守方不僅需要整合威脅情報，並採用主動式監控與快速回應的策略，同時也更需要跨國合作與情報分享的聯防，才能減少網路間諜攻擊的衝擊。</p> <p>試想，若是這些網路間諜行動越晚被發現，受害的範圍與程度也將更為擴大，導致越新的商業價值資料與情報被竊取，甚至在關鍵時局發作，將帶來更大衝擊。</p> <p>隨著新一年度2025年的來臨，近期最受關注的國家級駭客威脅，當屬美國8家電信業遭中國駭客Salt Typhoon入侵，因此，接下來，我們邀請國內2家資安業者，包括趨勢科技與TeamT5，與他們的專家一同繼續探討最新情形與演變。<strong>（請見：＜<a href="https://www.ithome.com.tw/news/166898" target="_blank"><span style="color:#3366ff;">美國多家電信業遭駭成2024最大網路間諜事故</span></a>＞、＜<a href="https://www.ithome.com.tw/news/166900" target="_blank"><span style="color:#3366ff;">多國紛紛頒布電信業資安強化指引</span></a>＞）</strong></p> <hr /> <p><strong><span style="color:#FFFF00;"><span style="font-size:28px;"><span style="background-color:#000000;"> 2024國家級駭客攻擊全球各國，臺灣名列五大重災區之一 </span></span></span></strong></p> <p class="rtecenter"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%9C%8B%E5%AE%B6%E7%B4%9A%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A%E5%85%A8%E7%90%83%EF%BC%8C%E8%87%BA%E7%81%A3%E6%98%AF%E9%87%8D%E7%81%BD%E5%8D%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></span></strong></span></p> <p><strong>面對國家級駭客攻擊，有那些國家要特別注意？關於這方面的態勢，我們發現微軟在三個月前（2024年10月底）發布的2024數位防禦報告，公布了多項威脅態勢，當中就有一項是針對國家資助駭客組織（State-Sponsored）威脅的揭露，並指出這一年來，全球區域最常被鎖定攻擊的國家。</strong></p> <p><strong>值得注意的是，在東南亞與太平洋地區，臺灣持續是最受國家級駭客鎖定攻擊的目標，其次為南韓、印度。進一步從全球不同地區來看，在美洲地區，遭受國家級駭客威脅最大的是美國；在中東與北非地區，是以色列、阿拉伯聯合大公國遭受威脅最大；在歐洲與中亞地區，以烏克蘭、英國遭受威脅最大。</strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 對應政府網路間諜活動需求，商業掮客出現 </span></strong></span></span></p> <p><strong>在網路間諜攻擊中，有一種類型是鎖定消費端產品而來，例如：挖掘出瀏覽器與智慧型手機的零時差漏洞並利用，但這不一定是國家級駭客所為，也有商業間諜駭客販售這類工具，提供政府組織使用，並經常鎖定政治、非營利組織（NGO），以及媒體等特定人士。</strong></p> <p><strong>例如，加拿大公民實驗室（Citizen Lab）在2020年揭露，有駭客利用iPhone的零時差漏洞，針對卡達半島電視臺36名員工的iPhone植入Pegasus間諜程式，此間諜程式其實是以色列間諜軟體開發商NSO Group所打造，並且專門銷售給政府組織來使用。</strong></p> <p><strong>此外，2023年9月蘋果公布的漏洞修補，加拿大公民實驗室與Google TAG小組指出，對此發動攻擊的人，是商業間諜駭客公司Cytrox/Intellexa與其客戶。</strong></p> <hr /> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> 極權國家網路間諜目標廣，涵蓋少數族群監控 </span></strong></span></span></p> <p><strong>國家級駭客的間諜軟體攻擊目標雖以外國為主，也常被用於國內監控人民。例如，2019年，Google 威脅分析小組揭露某間諜軟體攻擊活動已持續兩年，透過多個被駭網站攻擊iPhone用戶，共發現利用14個iOS漏洞（含7個Safari漏洞）；隔年資安業者Volexity指出，中國支持的Evil Eye駭客組織透過類似方式，攻擊6個網站與濫用iOS漏洞，來感染瀏覽網站的使用者，目的是監控維吾爾族電子郵件與即時通訊內容。</strong></p> <p><strong>這些年，持續有這方面的研究報告公開，最近2024年12月又有2起。趨勢科技揭露，Earth Minotaur駭客組織攻擊維吾爾族與圖博人士，主要是針對Android、Windows而來，部署DarkNimbus後門程式；資安業者Lockout揭露，發現新的安卓間諜軟體EagleMsgSpy，追查後發現背後是中國公司武漢中軟通證所開發，並由公安部使用。</strong></p> <p><a href="https://www.ithome.com.tw/article/166902" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-feng_mian_gu_shi_-zheng_han_-p1_open-960x420_kao_bei_0%5B1%5D.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/1/10 11:47作者羅正漢https://www.ithome.com.tw/news/166901
【資安月報】2024年12月，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年最後一個月的資安新聞中，多個國家級駭客網路攻擊的事件與威脅公開，持續引發各界高度重視，在此我們整理出6大威脅態勢與2大防護面的進展，幫助大家回顧本月重要新聞。</p> <p>其中幾項議題值得重視，像是在國家級駭客的多起網路間諜攻擊事件中，美電信業遭中國駭客Salt Typhoon滲透的後續消息不斷，突顯事件嚴重性需特別看待，因此列為第一焦點；還有臺灣面臨的資安威脅方面，由於近半年我國遭同一組織持續數波DDoS攻擊，難得有國內業者剖析其攻擊手法，也是值得獨立看待的重要議題，因次列為第三焦點。</p> <p><span style="color: rgb(255, 0, 0);"><strong>（一）中國網路間諜攻擊席捲全美</strong></span></p> <p>2024美國電信業遭中國駭客組織Salt Typhoon滲透的後續消息不斷，當地至少9家電信業遭入侵，美國與多國網路安全機構亦在12月3日發布電信業強化指引，還有美CISA在12月18日發布行動通訊安全指南，積極倡導E2EE全程加密重要性，並敦促政府高階官員與政治人物應採用如Signal等具E2EE的通訊軟體。</p> <p><span style="color: rgb(255, 0, 0);"><strong>（二）國家級駭客威脅加劇</strong></span></p> <p>受政府資助駭客組織的威脅不斷，持續在灰色地帶的網路世界肆意發動攻擊，資安界與國家網路安全機構持續示警，不只是上述中國駭客組織Salt Typhoon入侵美電信業，12月還有多起重要消息：<br /> ●韓國資安業者AhnLab揭露中國駭客TIDrone入侵韓國企業，其手法有二，一是假借提供ERP軟體名義散布惡意程式，一是利用另款韓國ERP系統遞送惡意程式。<br /> ●BeyondTrust緊急修補已遭利用的零時差漏洞，後續美國財政部表示因此事件受害，並指出是中國駭客組織所為。<br /> ●資安業者Sophos公布歷時5年調查的「Pacific Rim」行動，揭露駭客在四川進行漏洞研究與開發，並將結果提供給中國政府支持的駭客團體使用。<br /> ●美國政府指控中國民間公司四川無聲信息技術員工關天峰，在2020年利用Sophos防火牆零時差漏洞入侵全球近8.1萬臺設備，並祭出千萬美元懸賞。<br /> ●TeamT5威脅分析師高峰會舉行，研究人員解析這一年來的中國APT攻擊態樣與假訊息態勢，強調：邊緣裝置漏洞已成中國駭客滲透主要目標，以及中國駭客轉向勒索謀生使中小企業危害大增。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣遭遇DDoS威脅</strong></span><strong style="color: rgb(255, 0, 0);">最新</strong><span style="color:#FF0000;"><strong>剖析</strong></span></p> <p>2024年下半臺灣遭遇親俄駭客組織NoName057對臺發動數波DDoS攻擊，影響許多政府機關與上市櫃公司網站服務的運作，國內資安業者安碁資訊在12月剖析其手法，主要是採消耗系統資源的HTTP洪水攻擊，而非消耗頻寬的洪水攻擊，並指出攻擊者利用VPS虛擬主機或VPN隱匿其攻擊背後的真實IP位址，而且只針對特定4到10個URL頁面集中攻擊，就能達到服務阻斷的目的。</p> <p><strong><span style="color:#FF0000;">（四）臺灣重大資安事件</span></strong></p> <p>根據公開資訊觀測站的重大訊息公告，本月5家上市櫃公司發布資安重訊。<br /> ●第一星期有2起，新天地表示網路遭受DDoS攻擊；陽明部份資訊系統遭受駭客網路攻擊。<br /> ●第三星期有2起，盛群的MCU創意競賽網站遭受駭客網路攻擊（後續二度公告補充，求職者履歷後端管理平台同樣遭攻擊，且有部份資料可能外洩）；京晨科發生部分資訊系統遭受駭客攻擊。<br /> ●第四星期有1起，合晶代子公司Helitek公告，說明部分資訊系統遭受攻擊。</p> <p>還有1起與臺灣有關的威脅與風險揭露，同樣值得留意，這起事件是有攻擊者假借提供報價名義企圖散布惡意軟體SmokeLoader，資安業者Fortinet指出，他們觀察到這樣的攻擊自今年9月開始，主要針對臺灣的製造業、醫療保健、資訊科技等業者而來。</p> <p><strong><span style="color: rgb(255, 0, 0);">（五）</span></strong><span style="color: rgb(255, 0, 0);"><strong>勒索軟體威脅生生不息</strong></span></p> <p>勒索軟體攻擊威脅依然嚴峻，最近國際間傳出幾起重要事件，值得我們留意。例如，半年前日本知名影音共享平臺Niconico、角川書店遭駭，如今傳出他們支付勒索集團高達300萬美元（約9,600萬元）。</p> <p>此外，羅馬尼亞電力公司Electrica Group遭遇資安事故，羅馬尼亞國家網路安全局（DNSC）指出遭勒索軟體Lynx攻擊，還有12月Cleo的MFT檔案傳輸系統修補已遭利用零時差漏洞，傳出此攻擊導致60家企業遭Clop勒索軟體組織攻擊。</p> <p><strong><span style="color: rgb(255, 0, 0);">（六）AI發展持續帶來挑戰需要因應</span></strong></p> <p>在AI能力進步顯著之下，有3則新聞顯露出最新資安發展與重點，包括：英國電信業者O2展現AI對抗詐騙新成果，發表能即時接聽詐騙電話與歹徒聊天的AI阿嬤（AI Granny）Daisy，作用是耗用詐騙者時間、減少其他人被騙；趨勢科技發表「AI防詐達人」App，最特別是提供換臉詐騙偵測功能，突顯人臉Deepfake偵測技術朝向普及，並提供可識別圖片的詐騙查證。</p> <p>此外，資通安全研究院院長何全德在年底一場活動闡釋「新世代AI對資安治理的挑戰與機遇」，他呼籲大家應用AI應關注資安、倫理和治理風險，並指出已有企業成立AI道德倫理委員會，同時呼籲臺灣制定AI安全政策，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向思考應對策略，包括：技術發展速度（Velocity）、系統脆弱性（Vulnerability）、資料真實性（Veracity）、持續警覺性（Vigilance）</p> <p><strong><span style="color:#FF0000;">（七）密碼敏捷性</span></strong><strong style="color: rgb(255, 0, 0);">與</strong><span style="color: rgb(255, 0, 0);"><strong>AI BOM發展成2025焦點</strong></span></p> <p>對於2025年資安市場的發展，市調機構IDC公布新一年度預測，強調密碼敏捷性（Crypto-agility）與AI BOM的興起。</p> <p>事實上，為了因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，並且PQC標準選用的演算法也涵蓋不同的數學方法作為備用，確保加密演算法能靈活升級與更換，如今IDC認為企業2025年量子破密防護技術的布局上，將優先採用Crypto-Agility框架；在AI資安領域，AI物料清單（AI BOM）的議題已經不斷被提及，IDC預期業界在2025年將加速推廣AI BOM，之後也會帶動數據物料清單（Data BOM）的發展。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/166413"><span style="color: rgb(178, 34, 34);">【資安週報】1202~1206，英國電信業者O2對抗電話詐騙出新招，開發聊天AI阿嬤牽制詐騙</span></a></strong></h2> <p>在12月第一星期的資安新聞，在資安防護與數位信任方面，用AI對抗詐騙有極具創意的新進展正實現，英國電信業者O2上個月展現新的成果，發表AI阿嬤（AI Granny）Daisy，並由專門對抗詐騙、曾經<a href="https://youtu.be/0dT6jB2Dbmk?si=2NAvnviTPOTAfKR9&t=706">揪出偽冒技術支援客服中心的北愛爾蘭YouTuber「Jim Browning」</a>協助訓練，能即時接聽詐騙電話並與歹徒聊天，如此一來可耗用詐騙者時間、減少其他人被騙。</p> <p>在資安威脅態勢方面，有兩起與臺灣有關的重要消息，首先是針對先前親俄駭客組織NoName057對臺的DDoS攻擊，國內資安業者安碁資訊揭露其具體手法，指出該組織癱瘓網站服務的DDoS攻擊做法，主要是消耗資源的HTTP洪水攻擊，而非消耗頻寬類型的阻斷模式，並說明攻擊者會先找出合適的HTTP洪水攻擊的頁面，之後只集中攻擊特定4到10個URL頁面，就能奏效。</p> <p>另一是關於惡意軟體SmokeLoader假借報價名義的對臺攻擊活動揭露，資安業者Fortinet指出，這波攻擊從今年9月就針對臺灣的製造業、醫療保健、資訊科技及其他領域的公司而來，並指出攻擊者先是透過釣魚信、假借寄送報價單的名義，誘騙收信者開啟內含惡意VBS的附件。</p> <p>在其他重要威脅消息方面，網路間諜行動的揭露是主要焦點，有兩起新聞與之有關，其攻擊目標涵蓋企業、組織，以及圖博與維吾爾族民眾。</p> <p>●美大型企業組織於8個月前遭網路間諜攻擊事件被揭露，資安業者賽門鐵克指出攻擊者與中國駭客組織Daggerfly有所關聯，試圖收集機敏電子郵件內容，並濫用FTP軟體Filezilla外傳竊得的資料。<br /> ●新一起鎖定圖博及維吾爾族的間諜行動被揭露，資安業者趨勢科技指出，Earth Minotaur駭客組織會針對安卓與Windows裝置部署DarkNimbus後門程式，且暗中活動已長達5年，近日才被發現。<br /> ●韓國警方公布逮捕生產衛星接收器的執行長與員工，原因是買家向他們要求設備必須含有DDoS攻擊能力，該業者竟然配合對方製造這類型產品。<br /> ●美國、泰國、阿拉伯聯合大公國的航太及半導體產業遭鎖定，威脅情報業者ThreatBook指出此事件是伊朗駭客APT35所為，並會利用假徵才網站發動攻擊。</p> <p>至於資安事件方面，國內有兩家上市公司發布資安事件重訊，國際間也有2起勒索軟體攻擊成為國際焦點。</p> <p>●陽明海運部份資訊系統遭受駭客網路攻擊事件<br /> ●上市觀光餐旅新天地說明網路遭受駭客網路DDoS攻擊<br /> ●英國電信龍頭BT Group傳出遭遇勒索軟體Black Basta攻擊<br /> ●勒索軟體駭客組織Brain Cipher聲稱入侵德勤（Deloitte）英國分公司</p> <p>在漏洞消息方面，有4個已知漏洞遭利用的消息，其中兩個漏洞先前曾經示警，包括：10月底CyberPanel修補其伺服器管理平臺CVE-2024-51568漏洞，當時傳出勒索軟體Psaux鎖定這些漏洞；去年10月日本線上儲存與應用硬體軟體公司North Grid修補Proself系統的CVE-2023-45727漏洞，今年7月JPCERT曾公布有駭客利用此漏洞，如今這些情況均得到美國政府證實。</p> <p>另兩個分別是，兆勤科技在今年11月底才修補的漏洞CVE-2024-11667，以及檔案共享平臺ProjectSend在8月修補的漏洞CVE-2024-11680，也被美國CISA列入已知漏洞利用清單。</p> <p>特別的是，有2個尚未公開CVE編號的零時差漏洞消息，一是資安業者0patch發現，去年10月終止支援的Windows Server 2012、2012 R2有零時差漏洞，另一是資安業者Any.run指出駭客疑似利用零時差漏洞、濫用Word檔案修復功能，並假借公司人資與員工福利的名義從事網路釣魚，需要繼續留意與追蹤。</p> <p>還有一起零時差漏洞利用狀況是日本JPCERT/CC在12月4日示警，指出I-O Data兩款LTE無線基地臺的零時差漏洞已遭利用，包括CVE-2024-45841、CVE-2024-47133、CVE-2024-52564。</p> <p>雖然上述這家日本產品業者未能在CVE公布之際推出修補（預計12月18日發布更新），但我們注意到，<a href="https://www.iodata.jp/support/information/2024/11_ud-lt1/">該公司11月13日就曾發布產品安全公告先對外示警</a>，在JPCERT/CC於JVN平臺公布其漏洞後，他們也更新事件說明，相較之下，臺灣遇到類似狀況的處理方式會是什麼？目前TWCERT/CC會在TVN平臺發布部分臺灣IT產品的漏洞資訊，但我們發現部分業者官方網站未能找到這些資訊，顯示臺廠揭露透明度仍有提升空間。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166524"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1209~1213，逾30萬臺開源監控軟體Prometheus主機曝露資安風險</span></strong></a></h2> <p>在12月第2個星期，適逢多家IT廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機，需要大家關注與儘快修補，而漏洞新確認遭利用的消息更需密切關注，例如，微軟修補1個已遭利用的零時差漏洞CVE-2024-49138，以及10月底Cleo修補三款MFT檔案傳輸系統的漏洞CVE-2024-50623，因當時修補不全，如今有零時差漏洞利用攻擊出現。</p> <p>另要留意的是，還有資安業者0Patch針對微軟Windows零時差漏洞示警，尚未有CVE編號，也尚未有修補釋出，但強調此漏洞涉及NTLM，且引誘使用者觸發漏洞的難度並不高，因此暫時不會公布相關細節。</p> <p>在資安威脅態勢上，有一則關於開源工具Prometheus的重要消息，這款工具經常被用於監控Kubernetes狀態，近期有資安業者對其進行調查，結果發現約有33.6萬臺主機曝露資安風險，原因在於這些伺服器與Exporter多半缺乏合宜的身分驗證，恐讓攻擊者可以輕易地收集帳密或API金鑰等敏感資料。</p> <p>其他重要威脅態勢，<span class="x193iq5w xeuugli x13faqbe x1vvkbs x1xmvt09 x1lliihq x1s928wv xhkezso x1gmr53x x1cpjm7i x1fgarty x1943h6x xudqn12 x3x7a5m x6prxxf xvq8zen xo1l8bm xzsf02u x1yc453h" dir="auto">軟體供應鏈攻擊的狀況再次出現</span>，AI模型套件Ultralytics遭滲透成主要焦點；南歐資訊服務業者遭中國駭客鎖定的消息，被兩家資安業者聯手揭露，也引發關注，因為攻擊者濫用Visual Studio Code遠端開發功能來隱匿入侵。此外，關於瀏覽器隔離技術的攻擊研究也必須重視，發現可突破防護的攻擊手法，提醒企業不能完全仰賴RBI，仍需要有多層防護與整體資安強化策略。</p> <p>●PyPI套件Ultralytics被入侵，攻擊者在釋出的新版本植入挖礦軟體，其相依性套件SwarmUI和ComfyUI也受影響，且後續仍傳出相關攻擊行動。<br /> ●中國駭客今年6至7月入侵南歐B2B資訊科技服務供應商，兩資安業者聯手揭露其特殊隱匿手法，指出駭客濫用VSCode遠端開發的tunnel功能來控制受害電腦。<br /> ●企業員工上網若採用瀏覽器隔離技術進行保護，仍有機可乘，仍要關注與研究可能威脅，有資安廠商紅隊發現用QR Code傳遞C2命令的技倆，可突破RBI等三大類型瀏覽器隔離防護機制。<br /> ●DroidBot安卓遠端存取木馬（RAT）自今年6月起鎖定77家銀行的客戶，資安業者特別指出此木馬顯示行動惡意軟體生態系也出現開發與攻擊分工的情況。<br /> ●資安業者Lockout發現新一個安卓間諜軟體EagleMsgSpy，循線追查背後使用該程式的是中國公安。</p> <p>還有一起關於2020年國家級駭客攻擊的幕後兇手浮上檯面，11月資安業者Sophos公布歷時5年調查的「Pacific Rim」行動，揭露駭客在四川進行漏洞研究與開發，並將結果提供給中國政府支持的駭客團體使用。美國財政部外國資產控制辦公室於12月10日指控，當時利用Sophos防火牆零時差漏洞、入侵全球近8.1萬臺設備的是四川無聲信息技術（Sichuan Silence）員工關天峰，美國國務院則祭出關於該嫌情報的千萬美元獎金懸賞。</p> <p>勒索軟體攻擊事件仍不斷發生，這一星期有兩則消息，特別是羅馬尼亞電力公司Electrica Group遭遇網路攻擊的事故，羅馬尼亞國家網路安全局（DNSC）已指出是遭到勒索軟體Lynx攻擊，並呼籲其他能源業者要嚴加防範；另一是上月SaaS軟體服務供應商Blue Yonder遭網路攻擊，如今傳出攻擊者是勒索軟體Termite。</p> <p>在資安防禦上，以臺灣加入FIRST國際資安應變組織的消息最受矚目，今年數量從17個變25個，特別是電子業有更多類型的公司加入，包括IC設計、工業電腦與電腦設備大廠，而且還有國內金融機構首度成為FIRST成員。</p> <p>在國際間則有多項打擊網路犯罪成果發布，包括歐洲警方關閉網路犯罪市集Manson Market，歐洲刑警組織號召15國合作關閉27個非法DDoS租用服務，以及比利時與荷蘭聯手、西班牙與秘魯聯手，各自破獲跨國電話網釣集團，這也突顯跨國界合作成為打擊犯罪的關鍵，特別是歐洲地區在執法合作上持續有進展與突破。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166620"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1216~1220，美國傳出正評估是否禁用TP-Link網路設備，起因與中國駭客經營的殭屍網路Quad7有關</span></strong></a></h2> <p>關於12月第3個星期的重要資安新聞，美國傳出打算禁用TP-Link路由器是一大焦點，外界認為與中國駭客經營的殭屍網路Quad7有關，促使美國政府進一步探討相關風險，也突顯邊緣裝置安全是持續備受關注的重要議題。另一重要消息在於，中國駭客組織Salt Typhoon滲透美國電信公司的後續消息不斷，如今美政府積極倡導E2EE全程加密重要性。</p> <p>在威脅態勢上，這一星期有供應鏈攻擊、密碼潑灑攻擊的兩則重要新聞，一是今年曾攻擊臺灣無人機廠商的中國駭客組織Tidrone，韓國資安業者發現該組織也針對當地的ERP軟體下手來入侵韓國企業；另一是Citrix示警指出駭客正針對其設備發動攻擊，特殊之處是針對不同帳號使用一組數量不多的常見密碼來攻擊，以規避系統判定異常，又或是以大量嘗試登入方式來癱瘓系統資源。</p> <p>●中國駭客TIDrone對韓國企業發動攻擊，使用兩種手法入侵受害公司，其中一種是供應鏈攻擊手法，入侵當地ERP軟體再入侵目標企業。<br /> ●德國聯邦資訊安全辦公室（BSI）與Citrix警告，發現攻擊者鎖定Citrix NetScaler設備發動暴力破解的攻擊行動。<br /> ●中國資安業者奇安信發現中國駭客組織APT41正打造PHP木馬程式Glutton，受害者位於中美兩地。<br /> ●泰國政府官員遭鎖定，資安業者揭露攻擊者使用的後門程式Yokai。<br /> ●超過39萬筆WordPress帳密遭竊，資安業者指出攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透。</p> <p>還有兩則針對水利設施、視訊鏡頭及DVR設備的資安預警，同樣值得大家留意，一是美國環境保護局（EPA）與CISA呼籲水利設施與廢水處理業者，應儘速處理曝露在網際網路的HMI，避免攻擊者有可乘之機；一是美FBI針對最新一波木馬程式HiatusRAT的攻擊行動示警，該組織去年曾鎖定臺灣與美國，今年鎖定更多國家，包括澳洲、加拿大、紐西蘭、英國。</p> <p>在漏洞消息方面，這一星期有6大漏洞利用狀況，包括BeyondTrust、Celo的產品遭零時差漏洞利用，微軟、Adobe今年的已知漏洞，以及京晨科與Reolink的NVR與IP Cam老舊漏洞遭利用。</p> <p>●BeyondTrust修補旗下以遭利用的遠端支援系統、特權遠端存取系統的零時差漏洞CVE-2024-12356，已發現攻擊者用於入侵其SaaS環境用戶，兩日後再發現攻擊者還利用另一零時差漏洞CVE-2024-12686。<br /> ●Celo修補三款MFT檔案傳輸系統的零時差漏洞CVE-2024-55956，有資安業者指出12月初已有利用跡象，勒索軟體組織Cl0p宣稱是其所為。<br /> ●微軟在6月修補Windows Kernel Mode的漏洞CVE-2024-35250，以及Adobe在3月修補ColdFusion的漏洞CVE-2024-20767，如今發現針對未修補用戶的攻擊。<br /> ●臺灣京晨科技（NUUO）網路監控主機NVRMini2的老舊漏洞CVE-2018-14933、CVE-2022-23227，以及中國Reolink多款IP攝影機的老舊漏洞CVE-2019-11001、CVE-2021-40407，近日美國CISA將之列入已知漏洞利用清單。</p> <p>還有一個重大漏洞修補需要重視，那就是12月中旬修補的Apache Struts漏洞CVE-2024-53677，有資安研究機構警告發現有攻擊者嘗試掃描這項漏洞的跡象。</p> <p>至於資安事件方面，國內有兩家上市櫃公司發布資安事件重訊，巧合的是，12月18日美國政府才向使用京晨科技產品的企業警告，發現攻擊者鎖定其產品已知漏洞進行攻擊，19日京晨科技又因自家企業遭駭客攻擊而發布資安重訊。</p> <p>●上市半導體業盛群的MCU創意競賽網站遭受駭客網路攻擊<br /> ●上櫃光電業京晨科有部分資訊系統遭受駭客攻擊<br /> ●日本知名影音共享平臺Niconico、角川書店半年前遭駭，如今傳出角川集團支付勒索集團300萬美元的消息。</p> <p>在資安防禦上，隨著2025即將來到，有多家市場分析機構與廠商都對未來的資安態勢，提出預警，例如，在新的PQC加密逐漸普及下，網路安全產品也要應對隱藏於加密流量的網路威脅；生成式AI的資安威脅已探討多時，如今還強調企業須重視建立AI BOM清單來強化資安防護力；還有中國國家級駭客轉向勒索軟體維生的全新態勢，提醒中小企業將面對更嚴峻的網路威脅。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166733"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1223~1227，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流</span></strong></a></h2> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166821"><strong><span style="color: rgb(178, 34, 34);">【資安週報】1230~0103，密碼敏捷性與AI BOM成2025年新焦點，市調機構預測將是驅動資安市場的關鍵動能</span></strong></a></h2> <p>在2024邁向2025年之際的資安新聞中，DDoS攻擊的資安事件再成國內焦點，群光在1月2日周四傍晚發布資安重訊，表示該公司官方網站遭受網路DDoS攻擊。值得注意的是，後續我們發現，同日遭攻擊的政府相關單位，還有主計總處、桃園捷運、松山機場、櫃買中心成目標，而且隔日再有多家上市櫃公司也表示受到DDoS攻擊，包括，上市公司世芯-KY、大眾電腦、台塑，以及上櫃公司青雲。</p> <p>事實上，這已是親俄駭客NoName057繼去年9月、10月後，對臺發動的第3波攻擊，該組織也依然囂張地在社群平臺X公布其攻擊活動，而且上述公家與民間單位，有相當高比例是再次遭受攻擊。此外，NoName057聲稱的攻擊目標還包括：台船、ITIS產業技術資訊服務網、臺灣港棧服務網、臺灣金融服務業聯合總會、馬祖航空站、交通部航港局、臺灣自由貿易港區網站等。</p> <p>其他重要資安事件包括，有3起是月前資安事故的後續消息，涵蓋施耐德電機遭駭，以及BeyondTrust與Cleo的零時差漏洞利用。<br /> ●施耐德電機11月遭駭，12月底有駭客在暗網公布相關檔案。<br /> ●BeyondTrust於12月中揭露零時差漏洞利用情形，新傳出美國財政部因此受害。<br /> ●Cleo於12月被資安業者揭露有零時差漏洞利用，傳出60家企業遭Clop勒索。<br /> ●德國福斯被發現旗下軟體公司Cariad應用程式配置不當，致雲端資料庫曝險。<br /> ●資安業者iProov示警，發現暗網一批資料內含大量身分證明文件及對應的臉部圖片，將對KYC識別帶來挑戰，歹徒可用這些真實資料突破金融單位的驗證。</p> <p>在資安防禦及發展的消息中，2025年的到來，市調機構IDC公布了臺灣資安產品市場的預測報告，強調了該領域的快速增長潛力，指出未來4年市場規模從2024年的4.62億美元，增至2028年的7.16億美元。</p> <p>特別的是，IDC還強調量子韌性與AI資安將推動更多市場需求。基本上，因應量子破密威脅，NIST在2022年已在推廣密碼敏捷性（Crypto-agility）的概念，如今IDC認為2025年企業將優先採用Crypto-Agility框架，以確保加密演算法能靈活升級與更換；在AI資安領域，透明度與安全性將成發展重點，近期我們時常聽到資安專家談及AI物料清單（AI BOM）的議題，IDC亦認為業界在2025年將加速推廣AI BOM，並將帶動數據物料清單（Data BOM）的興起。</p> <p>另一個焦點是近年萬眾矚目的生成式AI技術，最近我們報導資安院院長何全德闡釋了新世代AI對資安治理的挑戰與機遇，他呼籲應用AI應關注資安、倫理和治理風險，如今許多大型企業已經行動，包括透過紅隊演練，或推行提示多樣性注入機制來因應，並有企業開始成立了AI道德倫理委員會，同時他也建議，可參考美國CISA局長Jen Easterly提出的AI風險四大關鍵面向：Velocity、Vulnerability、Veracity、Vigilance，作為臺灣制定AI安全政策的重要依據。</p> <p>對於臺灣企業組織的資安強化，何全德也強調，資安理念正從傳統的信任架構轉型為零信任模式（Zero Trust），這不僅是技術的革新，更是戰略上的長期規畫，他並指出「資安向左移」、「從駭客視角強化資安」，都是當前提升防護能力的重要方向。</p> <p>此外，數位部一項新進展也受關注，預計2025年推出「臺灣數位皮夾」，將採用可驗證憑證（VC）和去中心化身份（DID）等技術，不只可存放政府核發的證件卡片，學位證書、企業核發的員工證等未來也能加入</p> <p>在漏洞消息方面，有多項開源軟體有關的修補需要企業重視，包括：Linux作業系統開源影音框架GStreamer、Java網路應用程式框架Apache MINA、開源發票及專案管理平臺Invoice Ninja，以及開源NAS作業系統TrueNAS Core。</p> <p>此外，有研究人員展示Windows 11 BitLocker漏洞攻擊手法，雖然此一手法是利用舊有bitpixie漏洞（CVE-2023-21563），但可透過降級攻擊成功重現了漏洞利用。研究人員強調，此攻擊需近距離短暫接觸實體設備，對一般用戶影響有限但對重視資安的企業與政府來說需格外重視。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164110">【2024年6月資安月報】</a></h3> </div></div></div>
2025/1/9 09:57作者羅正漢https://www.ithome.com.tw/news/166878
Python蟬聯TIOBE年度語言，穩居程式語言龍頭地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python再次以壓倒性的優勢，獲選為知名程式語言流行度指標TIOBE 2024年度程式語言，並穩居2025年1月的排行榜榜首。根據TIOBE程式語言公布2025年1月<a href="https://www.tiobe.com/tiobe-index/">最新資料</a>，Python評分高達23.28％，較去年同期大幅上升9.32％，持續擴大其領先優勢，展現其目前在軟體開發領域不可撼動的地位。</p> <p>Python具有許多優勢，其簡潔易學的語法、豐富的函式庫以及廣泛的應用領域，使其成為了眾多開發者的首選。從資料科學、機器學習、人工智慧到網站開發，Python的應用領域極為廣泛，涵蓋各個層面儼然已成為許多領域的預設語言。</p> <p>與Python的強勢表現形成對比的是，傳統的C語言則持續走下坡。根據TIOBE的資料，C語言在2025年1月的排名下滑至第4名，評分較去年同期下降2.59％。針對C語言的衰退，TIOBE執行長Paul Jansen表示，C在許多嵌入式的應用，正逐漸被更現代化、更安全的C++所取代。</p> <p>C++與Java之間的競爭激烈，持續爭奪第2名的寶座。C++以10.29％的評分險勝Java的10.15％，暫時位居第2。Java雖然在企業應用領域仍占有重要地位，但近年來，C++在效能與彈性上的優勢，使其在高效能運算和遊戲開發等領域，越來越受到開發者的歡迎。</p> <p>以雲端應用為開發重點的Go語言，在本次排名中大幅度上升至第7名。作為由Google所開發的新興語言，Go語言在雲端運算和微服務架構的應用上展現了極大的潛力，並成功取代了曾經紅極一時的PHP，成為穩居TIOBE排行榜前10名常客，PHP則在本月的排名中滑落至第13名。</p> <p>Rust語言則是持續穩健成長，排名攀升至第14名，其強調記憶體安全和執行效能的特色，受到許多開發者關注，但是其陡峭的學習曲線，仍是Rust普及的一大挑戰。另一方面，被視為Android官方開發語言的Kotlin，排名沒有明顯進步，甚至可能永遠失去了前20名的位置，其未來發展仍有待觀察。</p> </div></div></div>
2025/1/8 08:33作者李建興https://www.ithome.com.tw/news/166859
【資安日報】1月7日，資安業者Tenable更新外掛程式引發災情，用戶端點代理程式停止運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>0719 CrowdStrike更新造成全球大當機的資安事故，對於許多人還記憶猶新，當時就是因為該公司派送的更新檔出現有問題的程式碼，導致用戶電腦在套用完成後，重開機就出現藍色當機（BSoD）畫面。</p> <p>而類似的事故在半年內出現於另一個廠牌的資安系統，稍微值得慶幸的是，這起事故只是造成他們的產品故障，並未波及用戶的個人電腦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166848"><strong style="font-size: 22px;">資安業者Tenable傳出外掛程式更新出錯意外，端點代理程式停擺</strong></a></p> <p>12月31日專精弱點管理的資安業者Tenable指出，他們得知部分採用弱點管理解決方案的用戶在更新外掛程式後，電腦的Nessus代理程式就被迫離線。對此，該公司已暫停外掛程式更新服務，並積極調查發生的原因。</p> <p>事隔兩天，1月2日Tenable再度提出說明，指出這起事故影響所有執行10.8.0及10.8.1版Nessus代理程式的電腦，但其餘元件不受影響，像是弱點管理系統Tenable Vulnerability Management（TVM）、Tenable Security Center（TSC）的管理伺服器。</p> <p>隨後該公司發布Nessus代理程式10.8.2版，並說明這起事故發生的原因，源自於他們在10.8.0版代理程式導入的外掛程式編譯器性能強化機制，而有可能在同時編譯相依程式庫的過程出現競爭狀況（race condition）釀禍。</p> <p><a href="https://www.ithome.com.tw/news/166851"><strong style="font-size: 22px;">針對美國電信業者遭遇中國駭客Salt Typhoon大規模攻擊事故，知情人士透露新的受害公司</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/20250107_155525-1.jpg" style="width: 300px; float: right;" /></a></p> <p>去年9月、10月媒體報導有多家美國電信業者遭到中國駭客Salt Typhoon入侵，這些電信業者包含AT&T、Lumen、T-Mobile、Verizon，後來美國政府證實此事，駭客從中竊取用戶的通話記錄資料，並滲透參與政府及政治事務的特定人士之通訊內容，如今這起事故又出現新的進展。</p> <p>根據華爾街日報1月4日的報導，知情人士向他們透露Charter Communications、Consolidated Communications、Windstream等3家電信業者的系統也遭到這些駭客入侵。究竟這項說法的真實性如何，這些電信業者並未對此傳聞公開提出說明。</p> <p>附帶一提，美國白宮國家安全顧問Anne Neuberger於12月27日接受採訪時，透露他們已經確認有9家美國電信業者遭到中國駭客入侵，但是否涵蓋華爾街日報報導提及的3家公司？目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">易飛旅遊遭遇供應鏈攻擊，部分資料遭到竊取</strong></a></p> <p>1月7日下午易飛旅遊（易飛網）於股市公開觀測站發布重大訊息，表示他們遭遇供應鏈攻擊，而且已出現個資外洩的情況，事發當下他們即刻啟動資安防禦及盤查機制，並杜絕可能的後門程式入侵系統。</p> <p>而對於這起事故造成的影響，易飛旅遊表示根據他們的初步評估，尚未對公司財務及業務造成重大影響。該公司也向主管機關、165反詐騙專線通報，並於網站提醒客戶提高警覺。</p> <p>針對事故的後續因應，該公司在改善措施當中提及，他們將關閉虛擬私人網路（VPN）、安排資安業者進行數位鑑識、檢測機房與系統平臺對外資料是否出現不明連線的情況，並檢查系統版本更新、導入多因素驗證機制與使用者防護檢測機制等。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=140120&SPOKE_DATE=20250107&COMPANY_ID=6928"><strong style="font-size: 22px;">攸泰科技網站遭遇DDoS攻擊</strong></a></p> <p>上週有5家上市櫃公司發布重大訊息，表示他們的網站遭到DDoS攻擊，當時<a href="https://www.ithome.com.tw/news/166831">親俄駭客組織Noname057聲稱是他們所為</a>，並強調他們也對行政院主計總處、證券櫃檯買賣中心、財政部稅務入口網站等近30個網站下手引起關注，本週又有上市公司傳出遭遇相關攻擊事故。</p> <p>1月7日工業電腦供應商攸泰科技發布重大訊息指出，他們的網站遭遇DDoS攻擊，該公司資訊團隊立刻與外部資安業者合作進行相關處置。而對於這起事故可能會造成的影響，攸泰表示根據初步評估，對公司營運無重大影響，無資料外洩的疑慮。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/weaponizing-oast-how-malicious-packages-exploit-npm-pypi-and-rubygems">應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/eagerbee-backdoor-deployed-against-middle-eastern-govt-orgs-isps/">中東政府機關、網際網路服務供應商遭鎖定，駭客企圖散布惡意程式Eagerbee</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ssh-tor-malware-ukraine/">針對假冒烏克蘭軍方報告應用程式的惡意軟體攻擊，研究人員指出後門程式利用Tor網路隱匿行蹤</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166842"><strong style="font-size: 22px;">臺廠Moxa部分工業用路由器、防火牆存在重大漏洞，已發布新版韌體修補</strong></a></p> <p>1月3日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路安全設備存在提升權限漏洞CVE-2024-9138，以及命令注入漏洞CVE-2024-9140，對此，該公司發布新版韌體修補。</p> <p>根據CVSS風險評分，評為重大層級的CVE-2024-9140應優先處理，此為命令管制不當產生的漏洞，攻擊者有機會發動作業系統層級的命令注入攻擊，而有可能於受害設備執行任意程式碼，風險評為9.8（4.0版CVSS風險為9.3）。</p> <p>另一個漏洞CVE-2024-9138涉及寫死的帳密，攻擊者若是通過身分驗證，就有機會利用漏洞來提升權限，並以root等級存取受害系統，CVSS風險為7.2（4.0版評為8.6）。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-43096-and-more-critical-rce-flaws-patched-in-android-security-update/">Google發布2025年首波安卓例行更新，修補系統元件的重大層級漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-20154-critical-rce-flaw-in-mediatek-chipsets-impacts-millions/">聯發科發布1月份例行更新，修補無須使用者互動就能利用的RCE漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166833"><strong>【1月6日】親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166811"><strong>【1月3日】IDC預測臺灣資安產品市場將連續4年成長，密碼敏捷性與AI BOM成焦點</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> </div></div></div>
2025/1/7 16:26作者周峻佑https://www.ithome.com.tw/news/166852
【資安日報】1月6日，親俄駭客NoName057聲稱對臺灣逾30個企業與政府機關網站發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三個月前親俄駭客組織NoName057因不滿總統賴清德在接受媒體採訪的回答，中國政府若要維護領土主權性，應奪回清朝割讓俄羅斯的土地，<a href="https://www.ithome.com.tw/news/165042">對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊</a>，如今這些駭客再度盯上臺灣企業組織犯案。</p> <p>1月2日、3日有5家上市櫃公司證實遭遇DDoS攻擊，NoName057宣稱就是他們所為，並表明一共攻擊超過30個網站。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166831"><strong style="font-size: 22px;">青雲科技、世芯電子、大眾電腦、台塑接連遭DDoS攻擊，傳出是親俄駭客NoName057所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GgRTQSyX0AALJjj.jpg" style="width: 300px; float: right;" /></a></p> <p>上週四（1月2日）群光電子於股市公開觀測站發布重大訊息，表示他們的網站遭遇分散式阻斷服務（DDoS）攻擊，然而接下來有更多企業公告也證實面臨相關攻擊。</p> <p>1月3日下午青雲科技、世芯電子、大眾電腦、台塑發布重大訊息，表示他們的網站遭遇攻擊，他們察覺事故之後已啟動相關防禦機制及復原作業，網站已恢復正常運作，目前評估對公司營運沒有影響。青雲、世芯進一步提及，他們初步評估沒有個資或內部文件資料出現外洩的情況。</p> <p>值得留意的是，針對這些公司遭遇DDoS攻擊的事故，親俄駭客組織NoName057聲稱是他們所為，但值得留意的是，這些駭客也聲稱對超過30個網站下手，涵蓋政府機關、地方政府、機場、港務機關。</p> <p><a href="https://www.ithome.com.tw/news/166827"><strong style="font-size: 22px;">臺灣2024每日遭到網路攻擊次數達到240萬，通訊傳播領域暴增6.5倍、電信業成為最熱門的網駭目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_TO44FBluQy.png" style="width: 300px; float: right;" /></a>隨著兩岸局勢日趨緊張，中國駭客對臺灣的網路攻擊也變得更加猖狂，但這樣的態勢究竟有多嚴重？國家安全局近期公布相關分析結果。</p> <p>1月5日國安局發布中共網駭手法分析報告，他們特別提及根據政府網際服務網（GSN）的入侵指標（IoC）統計，2024年每日平均遭受攻擊的次數約為240萬次，較2023年的120萬次翻倍，而這些攻擊多數為中共網軍所為。不過，國安局並未提及有多少比例來自這些駭客。</p> <p>另一方面，國安局也提到駭客主要的攻擊目標，根據他們掌握的906件資安事故，有八成是針對政府機關而來。而從中共網軍鎖定的產業類別來看，他們特別提及針對通訊傳播領域的情況最為嚴重，一舉較2023年增加650%，而且主要目標就是電信業者，這樣的情況也與去年下旬，美國證實多家電信業者遭遇中國駭客攻擊的情況，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/news/166806"><strong style="font-size: 22px;">研究人員揭露新的DoubleClickjacking手法，能繞過點擊挾持防護</strong></a></p> <p>現今多數網站都已加入防範點擊挾持（clickjacking）攻擊手法的措施，不過安全研究人員Paulos Yibelo揭露此類攻擊的變種版本「雙點擊挾持（DoubleClickjacking）」，號稱能繞過既有防護而攻擊網站用戶。</p> <p>這手法原理是二次點擊的時間點和順序。首先，攻擊者建立惡意網頁，誘騙用戶按下特定按鈕讀取回饋或看影片。當用戶依照指示操作時，會跳出新視窗蓋住原有網頁，並要求使用者完成任務（如CAPTCHA），目的是為了聲東擊西。同時間，原有網頁上的JavaScript指令碼將會啟動，把網頁內容換成攻擊者想要登入的目標合法網站，例如網銀或Gmail。</p> <p>研究人員指出，幾乎所有網站都會受到這種攻擊手法影響，他透過影片展示挾持Slack、Shopify、Saleforce帳號，並指出這類手法還能對瀏覽器延伸套件下手，從而存取受害者的加密貨幣錢包、VPN。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bad-tenable-plugin-updates-take-down-nessus-agents-worldwide/">資安業者Tenable傳出遭遇惡意外掛程式攻擊事故，駭客藉此將用戶的Nessus代理程式移除</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-firescam-android-data-theft-malware-poses-as-telegram-premium-app/">安卓竊資軟體FireScam假冒Telegram應用程式散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://smbiz.asahi.com/article/15572291">日本電信業者NTT DOCOMO傳出遭到DDoS攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166745"><strong style="font-size: 22px;">Apache基金會修補圖像資料庫系統HugeGraph身分驗證繞過漏洞</strong></a></p> <p>Apache基金會發布資安公告，指出圖像資料庫系統HugeGraph的伺服器元件HugeGraph-Server存在漏洞CVE-2024-43441，影響1.0至1.3版，他們發布1.5.0版修補。</p> <p>針對這項漏洞，該基金會指出，是因為被假定為無法竄改的資料具有弱點，造成身分認證程序可被略過的問題，但除此之外他們並未透露進一步細節，也沒有提供CVSS評分，因此後續影響有待觀察。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9138-and-cve-2024-9140-cvss-9-8-moxa-calls-for-immediate-security-action/">部分工業用路由器、網路設備存在重大漏洞，臺廠Moxa發布新版韌體修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nuclei-flaw-lets-malicious-templates-bypass-signature-verification/">開源弱點掃描工具Nuclei存在弱點，攻擊者有機會繞過身分驗證執行惡意程式碼</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166829"><strong style="font-size: 22px;">美國政府制裁中國資安業者永信至誠，原因是該公司支援駭客組織Flax Typhoon的攻擊行動</strong></a></p> <p>1月3日美國財政部外國資產控管辦公室（OFAC）對中國資安公司永信至誠科技（Integrity Technology Group）發布制裁令，原因是該公司高度與中國駭客組織Flax Typhoon有關連，並涉嫌對美國發動攻擊。</p> <p>美國國務院也發布聲明，指出永信至誠是中國政府大型委外業者，和中國國安部關係密切，提供中央及地方的國安單位、公安局及其他中國網路安全政府外包商服務。美國政府認為，Flax Typhoon是聽命於永信至誠。</p> <p>值得留意的是，Flax Typhoon活動至今，多次攻擊美國的關鍵基礎設施，攻擊範圍遍及北美、歐洲、非州、亞洲，且特別偏好針對臺灣下手。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月3日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166796"><strong>【1月2日】北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166762"><strong>【12月31日】駭客公布從思科、施耐德電機竊得的部分資料</strong></a></p> </div></div></div>
2025/1/6 16:22作者周峻佑https://www.ithome.com.tw/news/166833
【資安週報】1216~1220，年度威脅分析師高峰會揭露中國APT攻擊態樣與假訊息潮流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2024年在即，回顧12月第4個星期的資安新聞，我們優先推薦TeamT5威脅分析師高峰會上的重要揭露，他們解析這一年來的中國APT攻擊態樣與假訊息態勢，惡意活動顯著增加，不僅結合AI與邊緣裝置漏洞發動精準攻擊，而且過去由政府資助的中國駭客組織，因經濟壓力而必須自力更生，於是，不只攻擊國家、軍方與大企業，也開始以金錢為目的鎖定中小企業攻擊。</p> <p>另一重要消息，在於資安防護層面的作法。由於中國駭客對美電信業發動網路間諜攻擊，美CISA在12月初針對電信業者發布資安強化指引，到了18日，再發布行動通訊最佳實作指引，呼籲政府機關的高層等高風險用戶，應改用iOS與Android雙平臺皆支援全程加密（E2EE）的加密通訊軟體，以因應中國駭客入侵電信業的間諜活動威脅。</p> <p>此外，繼上星期美國政府傳出禁用TP-Link路由器，該國參議院通過新一年度國防授權法，當中要求無人機大廠大疆（DJI）在一年內證明自己並未威脅美國國家安全，否則美FCC將禁止其產品在美國境內銷售，也不會授權DJI廣播其無線電波使用美國固網連線。</p> <p>在威脅態勢上，有3起資安事件與殭屍網路病毒相關，其中兩起突顯資安界一直提醒的網路設備安全管理問題：使用Admin、0000等預設密碼、使用廠商停產且不再支援的設備。這些不安全狀態遲遲無法改善，持續成為攻擊者積極鎖定的目標。</p> <p>●Juniper Networks發布資安公告，指出有用戶回報其Session Smart Router路由器遭植入殭屍網路病毒Mirai，並指出受害設備共通點是使用預設密碼的狀況。<br /> ●臺廠永恒數位通訊（Digiever）已EOL的NVR設備DS-2105 Pro遭鎖定，被散布Mirai殭屍網路病毒變種Hail Cock，Akamai指出駭客可能利用零時差漏洞入侵。<br /> ●惡意軟體BadBox攻擊升溫，德國12月中旬以DNS陷坑技術中斷當地BadBox運作，全球仍有19.2萬臺安卓裝置被駭客控制並組成殭屍網路，其中包括Yandex智慧電視與海信智慧手機。</p> <p>還有一項消息涉及開源軟體供應鏈攻擊，企業與開發者需重視，有資安業者揭露新的Python惡意套件，指出Zebo與Cometlogger這兩款套件看似一般開源程式，但利用合法Python函式庫結合混淆技術，來隱藏其竊取憑證的目的。</p> <p>在資安事件方面，這一星期有合晶美國子公司Helitek、日本航空JAL遭駭，另外，有兩起多年前發生的資安事故如今有後續消息。</p> <p>●上櫃半導體業合晶在12月26日代子公司Helitek公告發生網路資安事件，說明部分資訊系統遭受攻擊。<br /> ●日本航空（JAL）在12月26日早上公告連接內外網路環境的路由器設備出現異常，導致國內外航班延誤，當地媒體指出是伺服器遭DDoS攻擊造成。<br /> ●思科10月傳出資料遭竊的事故，如今有駭客聲稱握有4.5 TB資料。<br /> ●2014到2020年間萬豪國際及喜達屋連鎖飯店發生大規模資料外洩，美FTC指控飯店謊稱具合理適當的資安防護，如今祭出新和解條件，限期半年內強化資安。<br /> ●Meta、WhatsApp在5年前對以色列間諜軟體公司NSO Group提告，指控其利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，如今判決WhatsApp勝訴。</p> <p>在物聯網雲端平臺安全議題上，資安業者Claroty發現中國網路設備業者銳捷網路（Ruijie Networks）雲端設備管理平臺的10個漏洞，已通報該業者修補，並指出MQTT通訊協定實作的問題。</p> <p>在漏洞利用方面，有個零時差漏洞利用活動需關切後續發展，苦主是資安廠商Palo Alto Networks，他們修補防火牆與Prisma Access的漏洞CVE-2024-3393，並指出該漏洞已被用於攻擊行動。</p> <p>在重要漏洞修補動向上，Apache基金會針對Tomcat重大RCE漏洞（CVE-2024-50379）修補不全，再度發布資安公告，要求用戶調整Java元件部分組態因應，另也針對開源CDN軟體Traffic Control修補重大漏洞。</p> <p>其他可留意的漏洞修補消息，包括基於Git而成的程式碼管理系統Gogs修補一系列漏洞，Sophos修補兩項防火牆漏洞，以及MinIO修補物件儲存平臺漏洞等。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166628"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月23日】羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦</span></strong></a></h3> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <h3><a href="https://www.ithome.com.tw/news/166656"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月24日】鎖定M365帳號的網釣工具包FlowerStorm現身</span></strong></a></h3> <p>本月初揭露的網釣工具包Rockstar 2FA，資安業者Trustwave指出它的前身是DadSec、Phoenix，但最近有新的調查指出，疑似即將重出江湖的Rockstar 2FA平臺網路犯罪業者，近期改為經營新的網釣工具包租用服務。</p> <p>資安業者Sophos指出，他們留意到駭客一個月前開始關閉Rockstar 2FA部分基礎設施，事隔數週，名為FlowerStorm的工具包開始出現相關活動的跡象。</p> <p><a href="https://www.ithome.com.tw/news/166671"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月25日】美國政府下令萬豪、喜達屋旅館集團強化資安</span></strong></a></p> <p>最近幾年旅館集團萬豪國際（Marriott International）傳出多起資料外洩事故，至少超過3.4億旅客資料外洩，美國聯邦交易委員會（FTC）在經過調查後於10月提告，如今這起事件有了新的進展。</p> <p>FTC根據當時要求達成和解的條件，正式下令該集團與旗下子公司（Starwood Hotels & Resorts）必須導入完善的資安方案，來避免類似的大規模資料外洩事故再度重演。</p> <h3><a href="https://www.ithome.com.tw/news/166704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月26日】日本航空傳出遭遇網路攻擊導致部分航班延誤</span></strong></a></h3> <p>鎖定關鍵基礎設施（CI）的攻擊行動日益頻繁，其中一種標的，便是航空運輸產業，但過往鎖定這類目標的攻擊事故，多半發生在美洲和歐洲，如今有出現在東南亞的事故，引起當地高度關注。</p> <p>今天早上日本航空（Japan Airlines，JAL）傳出遭遇網路攻擊，並導致部分航班延後起飛的情況，引起日本媒體高度關注，他們根據掌握的情報，指出日本航空很有可能受到DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/166722"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月27日】Palo Alto Networks防火牆阻斷服務漏洞傳出已有攻擊行動</span></strong></a></h3> <p>近期公布的重大漏洞相當多，例如：Apache開源CDN軟體<a href="https://www.ithome.com.tw/news/166697">Traffic Control重大層級SQL注入漏洞CVE-2024-45387</a>、<a href="https://www.ithome.com.tw/news/166703">程式碼管理系統Gogs重大漏洞</a>CVE-2024-39930、CVE-2024-39931、CVE-2024-39932等，這些都需要儘快完成修補或緩解作業，但還有一些喘息與觀望時間，如果是已經出現攻擊行動的漏洞，企業必須馬上動手處理。</p> <p>今天資安業者Palo Alto Networks公布的阻斷服務漏洞CVE-2024-3393，就是典型的例子。雖然該公司將漏洞僅列為高風險，但由於已有實際攻擊行動，IT人員最好儘速處理。</p> </div></div></div>
2024/12/30 11:06作者羅正漢https://www.ithome.com.tw/news/166733
【關鍵IT新趨勢8】GAI推論向邊緣端前進，催化場景新一波智慧化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">隨著大型語言模型快速發展，全球興起生成式AI（GAI）風潮，2024年可以說是企業探索GAI潛力的一年，GAI受到企業重視，根據2024年iThome CIO大調查，約2成2的企業為GAI提高對AI的投資，而有1成調整AI戰略，更聚焦在GAI在內部可能的應用場景。</p> <p dir="ltr">企業除測試GAI如何應用在內部營運提升營運效率，也逐漸向特定營運或生產場景應用，帶動GAI應用部署從公有雲、企業資料中心，漸漸向邊緣運算、IoT擴散。</p> <p dir="ltr">研究機構IDC指出，和企業資料中心核心端相比，GAI應用未來更大發展將在邊緣端，在推論需求快速增長的驅動下，預期許多企業2025年將擴大邊緣部署，將帶動邊緣IT基礎設施擴展。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>輕量化可在行動、邊緣裝置部署的小模型興起</strong></span></span></p> <p dir="ltr">過去兩年裡，大型語言模型LLM發展相當快速，除了向文字、圖片的多模態發展，也向小語言模型SLM發展，降低語言模型的參數規模，以更適合在運算資源有限的系統部署。</p> <p dir="ltr">例如Google在2023年釋出可在手機上執行推論的Gemini Nano模型，以推動手機能在離線狀態下使用GAI，Google更進一步看準邊緣端GAI推論的需求，在2024年5月推出採用相同技術的Gemma，目的即鎖定邊緣GAI應用需求，透過全球超過30億臺Android裝置，包括行動裝置、邊緣運算及IoT裝置，擴大GAI應用至更多場景。</p> <p dir="ltr">Meta也在2024年釋出Llama 3.2 1B與3B模型，讓開發人員得以針對邊緣運算及行動裝置開發具有文字生成及工具的裝置端應用程式，讓資料留在裝置端處理，降低資料上傳到雲端可能的資料外洩風險，也讓裝置端的GAI互動能夠更為即時。</p> <p dir="ltr">微軟則是釋出最新小語言模型Phi-3，包括mini（3.8B）、small（7B）及medium（14B）三個版本，以用於語言理解、推理、數學等等，強調小模型可用於運算效能有限或離線環境，讓許資源受限的組織將模型部署於低成本裝置，或是在頻寬受限環境下，確保一定的回應速度。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>裝置端AI算力提升</strong></span></span></p> <p dir="ltr">除了大型語言模型的輕量化發展，以滿足邊緣運算、IoT及行動裝置執行需求，另一個驅力則是硬體在AI運算的快速發展。</p> <p dir="ltr">以Arm為例，看好AI在各類裝置的運算需求，其在Arm架構中推出的Ethos系列NPU，在2024年推出效能更佳的第三代Ethos-U85，即鎖定Edge AI運算需求提升NPU效能，該公司也釋出函式庫等工具，以協助開發人員優化AI工作負載在Arm裝置的執行，Arm進一步喊出2025年達到全球1,000億臺採用Arm技術裝置執行AI的目標。</p> <p dir="ltr">而兩大行動處理器業者，高通及聯發科也分別在其高階行動處理器提升AI處理能力。</p> <p dir="ltr">高通旗下Snapdragon系列行動處理器整合NPU，並在2024年率先和微軟聯手發表Copilot+PC筆電，主打筆電上執行GAI應用，高通也與Mistral AI合作，將小模型導入用於PC、手機、汽車等Snapdragon平臺，強調在裝置上執行生成式AI的優勢，包括提升隱私、降低延遲、增加可靠性、節省成本及提高能源效率。</p> <p dir="ltr">聯發科在天璣系列高階行動處理器整合APU提升AI處理能力，以支援手機上的GAI應用，看好未來邊緣端應用發展潛力，與Nvidia合作將支援上百種預訓練模型及工具的Nvidia TAO工具套件整合到聯發科的軟體開發套件，進一步強化邊緣AI的推論晶片開發，目的在協助開發人員開發包括GAI在內的邊緣AI裝置，用於零售、製造、醫療、智慧城市、交通等場域。</p> <p dir="ltr">此外，英特爾、AMD也紛紛鎖定AI PC推出新款行動或桌上型處理器，通過整合NPU提高在裝置端的AI算力，未來不只用於PC，可望被用於工控電腦、伺服器，將使得AI算力擴大到更多的垂直應用場域。IDC預期2025年支援GAI的手機占有率將佔整體智慧型手機市場約的5成，而AI筆電則會占整體市場約4成1。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>邊緣端用GAI就地動態產生建議或方案</strong></span></span></p> <p dir="ltr">傳統的AI被訓練來處理特定任務，如人臉辨識、語音識識、預測分析等等，目前在邊緣運算已採用AI，以製造業為例，蒐集產線上的數據，利用AI偵測異常、設備故障預測、瑕疵等等。</p> <p dir="ltr">GAI優勢在於生成內容，包括文字、圖像、音樂、程式碼等，但是GAI如果集中在企業核心端的資料中心處理，需要建立大量的AI運算資源，GAI推論從核心走向邊緣端，一方面滿足低延遲、即時回應的需求，也能減輕核心端的算力資源需求，並達到節能的目的。</p> <p dir="ltr">另外，將資料上傳到核心端，可能增加資料外洩的風險，在高科技製造業，工廠內的數據具有相當高的機密性，在邊緣運算部署GAI推論就近處理資料，也能降低資安風險。</p> <p dir="ltr">相較於大語言模型可處理複雜的工作任務，需要較大的AI算力資源，，輕量化設計的小模型，可用於執行較簡單的任務，適用於成本較低、運算資源有限的行動或邊緣裝置，模型經過微調可滿足特定場域的用途。</p> <p dir="ltr">GAI在邊緣端的應用，例如智慧客服即時對話生成，在製造現場管理單位可根據現況動態調整，輸入資料動態生成操作指引，或是輸入多種產線資料，提出生產調度建議，或根據文字及圖像資料生成新的設計。</p> <p dir="ltr">Meta先前釋出Llama 3.2的輕量化模型，曾展示一款AI Glass眼鏡，將GAI整合到AR眼鏡，使用者可以語音和GAI助手對話，未來這項應用也可能用於智慧工廠，維修人員配載AI眼鏡後，現場設備出現異常或維修時，可利用語音在廠內查詢相關的維修紀錄或由AI提供維修建議，或是語音呼叫AI助手與遠方的專家通話獲得進一步的協助。</p> <p dir="ltr">不只是製造業，其他產業在邊緣的GAI應用，例如在智慧零售與顧客互動，提出個人化的行銷內容或推薦商品，在健康醫療業可產生即時的健康報告及建議。</p> <p dir="ltr">企業在邊緣端部署GAI應用，需要考量到不同運算裝置的算力、記憶體資源是否足夠，還需要考慮到不同的模型壓縮、生成內容的安全及準確性。IDC認為LLM的輕量化發展，SLM小語言模型將讓企業可建立彈性、敏捷部署的AI應用。</p> <p dir="ltr">但是，企業在邊緣端部署GAI應用，未來需要考慮到公有雲、企業資料中心、邊緣端如何協作混合運算策略，例如在雲端或核心端、邊緣端執行不同模型的策略。</p> </div></div></div>
2024/12/28 10:09作者蘇文彬https://www.ithome.com.tw/news/166724
【資安日報】12月23日，羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對Linux主機從事挖礦攻擊的情況，不時有研究人員揭露相關事故，如今在羅馬尼亞駭客Diicot（或稱Mexals）的攻擊行動裡，出現過往極為罕見的手法。</p> <p>資安業者Wiz指出，這些駭客一改過往的作風，他們不再眷戀雲端環境，而是鎖定企業內部環境的Linux伺服器而來，目的是為了避免攻擊行動東窗事發。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166626"><strong style="font-size: 22px;">羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1734455407-diicot-diagram.png" style="width: 300px; float: right;" /></a>最近幾年專門利用Linux伺服器從事挖礦攻擊的事故陸續傳出，其中一個專門從事這類攻擊行動的羅馬尼亞駭客Diicot（或稱Mexals），有研究人員揭露最新一波的攻擊行動。</p> <p>資安業者Wiz指出，這些駭客通常會利用自我散布工具、自製的UPX打包工具，透過網路掃描尋找下手目標，並植入挖礦軟體，但在他們最新一波的攻擊行動裡，駭客運用損壞的檢查碼（checksum）竄改UPX檔案標頭，以防正常的解包工具能夠進行拆解，而且，這次駭客使用了進階的惡意酬載與行為來從事相關攻擊。</p> <p>研究人員舉出其中一種手法為例，駭客會根據Linux作業系統的版本，來偵測惡意軟體是在雲端或是內部網路環境執行，一旦發現是雲端環境，則惡意軟體就會進行自我散布，直到是內部網路環境的Linux主機，才會執行部署挖礦軟體有效酬載的工作。駭客這麼做的目的，很有可能就是根據威脅情資曝露的蹤跡進行調整，以免相關攻擊行動曝光。</p> <p><a href="https://www.ithome.com.tw/news/166625"><strong style="font-size: 22px;">駭客UAC-0125濫用Cloudflare Workers散布惡意程式，目的是攻佔烏克蘭軍隊個人電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/UAC-0125-1.jpg" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭持續至今接近3年，為提升部隊呈交報告的效率，今年8月烏克蘭國防部發布名為Army+的行動應用程式，標榜能讓軍人使用安卓及蘋果的行動裝置快速呈交11種類型的報告，減輕他們在文書作業上的負擔，然而敵對陣營的駭客也趁機散布惡意程式。</p> <p>12月18日烏克蘭電腦網路危機處理暨協調中心（CERT-UA）提出警告，他們掌握駭客組織UAC-0125架設許多仿冒Army+應用程式的網站，濫用無伺服器運算服務Cloudflare Workers，意圖對烏克蘭軍人散布惡意程式。</p> <p>究竟駭客如何引誘烏克蘭軍人上門？目前仍不清楚，但CERT-UA指出，發起這波攻擊的駭客組織UAC-0125，與他們稱為UAC-0002的俄羅斯駭客組織Sandworm（也稱為APT44、Voodoo Bear）之間，存在某種關聯。CERT-UA提及，這些駭客於今年上半，就曾假借提供微軟Office軟體安裝檔案發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/166594"><strong style="font-size: 22px;">Juniper針對Session Smart Router提出警告，駭客利用預設帳密散布殭屍網路病毒Mirai</strong></a></p> <p>12月17日網路設備業者Juniper Networks發布資安公告，指出他們在上週三（11日）接獲用戶通報，部分Session Smart Router（SSR）路由器設備出現可疑活動，這些遭感染的系統被植入殭屍網路病毒Mirai，然後攻擊者將其用於對其他設備發動DDoS攻擊。</p> <p>值得留意的是，他們提及這些受害設備存在共通點，那就是都使用預設的密碼，因此，若是使用者並未遵循最佳實務進行配置，並延用預設密碼，就有可能成為這波攻擊事故的受害者。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/rspack-npm-packages-compromised-with.html">Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/12/lazarus-group-spotted-targeting-nuclear.html">核能工程師遭北韓駭客Lazarus鎖定，面臨惡意軟體CookiePlus攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html">鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，有人綁架19萬臺安卓裝置組成殭屍網路</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://securityaffairs.com/172191/malware/190000-android-devices-infected-by-badbox.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-rdp-proxies-to-steal-data-in-mitm-attacks/">俄羅斯駭客APT29架設RDP代理伺服器從事中間人攻擊，竊取帳密並部署惡意軟體</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166622"><strong style="font-size: 22px;">Sophos修補兩項防火牆重大漏洞，若不處理就有可能遭到SQL注入攻擊、曝露系統特權管理員帳號</strong></a></p> <p>12月20日資安業者Sophos發布資安公告，公布防火牆漏洞CVE-2024-12727、CVE-2024-12728、CVE-2024-12729，並指出這些漏洞影響執行Sophos Firewall 21以前的版本，他們已推送相關修補程式，呼籲IT人員儘速檢查系統是否已套用相關更新。</p> <p>這些漏洞分別涉及預先身分驗證SQL注入、弱密碼，以及後身分驗證程式碼注入，CVSS風險介於8.8至9.8。其中又以重大層級的CVE-2024-12727、CVE-2024-12728特別值得留意。</p> <p>CVE-2024-12727存在於電子郵件防護功能，為預先身分驗證SQL注入弱點，若是遭到利用，攻擊者就有可能利用防火牆的回報資料庫遠端執行任意程式碼（RCE），CVSS風險為9.8分。另一個被列為重大層級的漏洞為CVE-2024-12728，涉及高可用性叢集初始化過程當中，系統推薦用戶的非隨機SSH登入密碼短句（passphrase），而這個密碼短句在HA建置流程完成後仍然有效，使得防火牆在啟用SSH連線的狀態下，就有能可能曝露系統特權系統管理員帳號，CVSS風險為9.8。</p> <p><a href="https://www.ithome.com.tw/news/166613"><strong style="font-size: 22px;">MinIO修補物件儲存平臺弱點，包括允許任意使用者獲得完全管理權限的重大漏洞</strong></a></p> <p>憑藉高效能、高擴展性與簡易特色，近來在物件儲存領域聲名鵲起的MinIO，於12月16日通報1個重大漏洞CVE-2024-55949，並釋出修補版本。</p> <p>MinIO是一款相容於S3協定的物件儲存軟體平臺，能以開源的免費形式（基於GNU AGPLv3授權），與付費的商用授權形式使用。</p> <p>而日前通報的CVE-2024-55949則是評分達到9.3分的重大漏洞，這個漏洞是IAM身分存取識別匯入API（IAM import API）所導致，由於缺少權限檢查，攻擊者可以藉由建立iam-info.zip檔案，然後透過mc admin cluster iam import指令匯入該檔案，從而修改自身在MinIO平臺上的權限，進而還能取得完全的管理權限，控制整個MinIO平臺的管理與部署。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-fortiwlm-bug-giving-hackers-admin-privileges/">Fortinet無線網路管理系統FortiWLM存在重大漏洞，若不處理攻擊者有機會接管設備</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166615"><strong>【12月20日】資安業者BeyondTrust傳出部分SaaS服務遭遇重大層級命令注入漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166590"><strong>【12月19日】木馬程式HiatusRAT鎖定網路攝影機及DVR的已知漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166563"><strong>【12月18日】中國駭客組織Tidrone利用ERP軟體攻擊韓國企業</strong></a></p> </div></div></div>
2024/12/23 17:52作者周峻佑https://www.ithome.com.tw/news/166628
回應搜尋壟斷案判決，Google提議予開放不同平臺搜尋引擎預設彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回應搜尋壟斷案判決，Google上周向法院<a href="https://blog.google/outreach-initiatives/public-policy/google-remedies-proposal-dec-2024/" target="_blank">提議</a>開放不同平臺、瀏覽模式預設搜尋，或允許瀏覽器定期變更預設等彈性作法作為矯治措施。</p> <p>針對美國司法部控告Google非法壟斷線上搜尋、廣告市場官司，哥倫比亞特區聯邦地方法院8月做出最終<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>，認定Google以獨家通路協議，和硬體與瀏覽器業者合作等非法手段，鞏固搜尋引擎壟斷地位。而作為原告的司法部11月<a href="https://www.ithome.com.tw/news/166148" target="_blank">提議</a>多項矯治措施，包括Google出售Chrome業務。Google則在上周<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/2024.12.20_1108_Executive_Summary_of_Google_Proposed_Final_Judgment.pdf" target="_blank">提出</a>自有版本的矯治措施提案。</p> <p>一如之前的回應，Google仍然對司法部提議表達強烈反對意見，認為反映了一種「干預主義的議程」（interventionist agenda），超出了法院判決範疇。Google並說，如果司法部認為Google投資對Chrome、研發AI、搜尋網路方式及演算法開發是反自由競爭，司法部理應會提告，但是沒有，而且司法部的提議最終將損及美國消費者利益，以及美國在全球科技業的領導地位。</p> <p>Google強調自己的提案是依據法院判決的事實發現而規畫。其提案包含三大部份。第一是關於瀏覽器合作協議。Google認為瀏覽器業者如蘋果、Mozilla應要維持有決定和哪家搜尋引擎合作的自由，在此前提下，Google提議可在合作協議時允許不同平臺（如iPhone和iPad不同預設）或上網模式有多種預設搜尋引擎，以及他們可以至少每12個月變更預設搜尋引擎。</p> <p>其二是從Android合約著手。Google提議裝置業者獲得額外彈性，可預載多種搜尋引擎，以及Google App的預載，與Google Search/Chrome的預載分開，這讓硬體廠商獲得安裝微軟等競爭產品的彈性。</p> <p>第三方部份，關於Google與Android手機製造商、電信業者簽訂的搜尋引擎散布協議，以及Google與蘋果和Mozilla簽訂的瀏覽器預設搜尋引擎協議最終判決的期間。司法部希望期限為10年，Google要求縮短為3年，因為搜尋領域變化非常快，且隨著AI發展，線上運算產品和服務將會持續快速變化，規範太久將損害Google創新能力。</p> <p>Google指出，在法院審判結束一年多後，AI技術出現已經大幅改變了搜尋產業，有新進業者及新的搜尋方法，使產業競爭更加激烈。此言不假，雖然Google推出了AI搜尋如AI Overviews，但競爭者不少，包括微軟的Copilot、新創公司Perplexity AI，此外OpenAI的ChatGPT Search現在也已能搜尋最新網頁內容。</p> </div></div></div>
2024/12/23 10:09作者林妍溱https://www.ithome.com.tw/news/166621
【資安日報】12月17日，學術研究員與資安人員遭到鎖定，駭客竊得逾39萬筆WordPress帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>握有各式權限並經常會經手敏感資訊的資安從業人員，已成為最近幾年駭客下手的主要目標，最近一波大規模攻擊行動當中，有人藉此對資安人員散布惡意軟體，並竊得大批WordPress帳密。</p> <p>值得留意的是，攻擊者發起攻擊的管道，主要可分成兩種，一種針對資安研究人員而來，假借提供已知漏洞的概念性驗證程式碼，來讓他們中招；另一種則是鎖定學術研究機構，佯稱提供處理器漏洞緩解工具來進行。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166539"><strong style="font-size: 22px;">逾39萬筆WordPress帳密遭竊，攻擊者利用網釣與夾帶後門程式的身分檢查器進行滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MUT-1244-attack-graph.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/MUT-1244-attack-graph.png" style="width: 300px; float: right;" /></a></p> <p>資安從業人員是駭客的主要目標之一，原因是他們通常會處理敏感資訊，並且掌握廣泛的權限，這樣的現象，最近幾年傳出攻擊者會發布帶有惡意內容的假漏洞利用程式碼，藉此引誘資安人員中招，如今類似的攻擊行動再度傳出。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室指出，駭客組織MUT-1244發動大規模的攻擊行動，竊得超過39萬組WordPress帳密資料，然後藉由偽裝成WordPress帳密檢測工具的GitHub專案yawpp，利用其中的惡意程式碼將資料傳送給駭客，估計有數百名滲透測試人員、資安研究員受害，導致他們的SSH金鑰、AWS金鑰外流。</p> <p>針對這些駭客接觸攻擊目標的手法，研究人員指出主要有兩種管道，但目的相同，都是向受害者傳遞第二階段的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/166541"><strong style="font-size: 22px;">黏接PHP框架、增加隱匿度，中國駭客APT41打造PHP木馬程式Glutton</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/php_brief.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/php_brief.png" style="width: 300px; float: right;" /></a>駭客鎖定網頁應用程式而來，打造Linux惡意程式的情況，已有資安業者提出警告，呼籲IT人員要嚴加防範，如今有研究人員發現，惡名昭彰的APT41很可能在1年前就開始製作這類惡意程式。</p> <p>中國資安業者奇安信指出，他們今年4月底發現，代號為Winnti、Earth Baku、Brass Typhoon的中國駭客組織APT41，正在散播ELF形式的後門程式，由於駭客曾利用同一個IP位址散布惡意PHP檔案init_task.txt，這樣的情況引起了他們的注意。</p> <p>由於攻擊者透過各式元件組成的PHP木馬程式，能夠感染大量PHP檔案，並能於受害主機植入l0ader_shell元件，研究人員將其命名為Glutton。根據init_task.txt出現的時間，研究人員推測此後門程式活動已超過1年。</p> <p><a href="https://www.ithome.com.tw/news/166544"><strong style="font-size: 22px;">泰國政府官員遭到鎖定，駭客利用檔案系統的資料流傳遞後門Yokai</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Yokai-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yokai-3.png" style="width: 300px; float: right;" /></a></p> <p>隨著國際之間執法單位的互助合作越來越頻繁，有駭客看上這點，對政府官員散布惡意程式。資安業者Netskope揭露針對泰國政府官員的攻擊行動，駭客企圖於他們的電腦植入後門程式Yokai。</p> <p>究竟駭客如何接觸目標，研究人員表示並不清楚，但不排除是透過釣魚郵件進行。他們透過威脅獵捕找到攻擊者散播的RAR壓縮檔，當中包含兩個Windows捷徑檔案（LNK），檔名皆為泰文，其中一個佯裝與美國司法部有關的PDF文件，另一個則是Word檔案，宣稱美國政府將在打擊犯罪上行動進行國際合作。</p> <p>一旦使用者點選LNK檔，電腦就會將file.exf這個檔案的備用資料流（Alternate Data Stream，ADS）內容，複製、傳入作為誘餌的PDF或Word檔案，過程中濫用一種叫做Esentuti的執行檔，目的是透過ADS傳輸惡意酬載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-spots-hiatusrat-malware-attacks-targeting-web-cameras-dvrs/">惡意軟體Hiatus鎖定網路攝影機及DVR而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-novispy-spyware-linked-to-qualcomm-zero-day-bugs/">安卓間諜軟體NoviSpy疑鎖定高通零時差漏洞而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/cicada3301-ransomware-french-peugeot-dealership/">寶獅汽車法國經銷商傳出遭勒索軟體Cicada3301攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://techcrunch.com/2024/12/12/researchers-find-security-flaws-in-skoda-cars-that-may-let-hackers-remotely-track-them/">福斯車載資訊系統存在漏洞，攻擊者有機會遠端控制、跟蹤車輛位置</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/166548"><strong style="font-size: 22px;">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox，感染設備至少3萬臺</strong></a></p> <p>12月12日德國聯邦資訊安全辦公室（BSI）指出，他們已中斷名為BadBox的惡意程式運作，這種惡意軟體於安卓物聯網裝置執行，估計該國有3萬臺設備預載該程式，而曝露於相關資安風險。</p> <p>對此，BSI已經藉由DNS陷坑（Sinkholing）的手段，切斷惡意程式與C2之間的通訊，這些惡意程式將會被導向警方控制的伺服器。對於受影響的裝置類型，BSI指出涵蓋數位相框、影音播放器，也可能對智慧型手機和平板電腦造成影響。</p> <p>值得留意的是，這些裝置還搭配老舊版本的安卓作業系統，而可能存在其他弱點。雖然攻擊者控制受害設備的管道已被BSI切斷，不過，只要這些高風險的物聯網設備連上網際網路，還是會成為其他攻擊者下手的目標。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://techcrunch.com/2024/12/12/researchers-find-security-flaws-in-skoda-cars-that-may-let-hackers-remotely-track-them/">資安業者Arctic Wolf傳出買下EDR業者Cylance</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/166536"><strong>【12月16日】勒索軟體駭客Clop聲稱對Cleo檔案共享系統零時差漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166505"><strong>【12月13日】西班牙與秘魯共同破獲跨國大型電話網釣集團</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166484"><strong>【12月12日】羅馬尼亞政府證實電力公司Electrica遭遇勒索軟體Lynx攻擊</strong></a></p> </div></div></div>
2024/12/17 16:20作者周峻佑https://www.ithome.com.tw/news/166550