iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cellebrite.com/en/cellebrite-to-acquire-corellium/" target="_blank">知名的數位鑑識業者Cellebrite周四（6/5）宣布</a>，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>1999年創立於以色列的Cellebrite，主要替執法機構、企業及服務供應商提供各種工具以管理數位資料，其旗艦產品為Universal Forensics Extraction Device（通用鑑識提取裝置，UFED），可協助執法機構從行動裝置中提取並分析資料，曾幫美國聯邦調查局（FBI）破解嫌犯的iPhone與Android手機，在2021年以CLBT為代號登上美國那斯達克股市（Nasdaq）。</p> <p>至於Corellium則是家專注於Arm架構虛擬化技術的美國業者，成立於2017年，打造支援iOS、Android與其它基於Arm架構的虛擬硬體，以讓開發者能夠測試系統漏洞，執行逆向工程或分析惡意軟體，並觀察系統行為，蘋果曾因此控告該公司侵權。</p> <p>Cellebrite表示，此一交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p>Cellebrite臨時執行長Thomas Hogan表示，該收購不僅能強化Cellebrite在Arm架構上的數位鑑識與安全測試能力，還引進了漏洞研究、惡意軟體分析及安全測試等領域的頂尖人才。</p> <p>消息曝光後，Cellebrite當天的盤後股價上揚了4.51%，漲至17.6美元。</p> </div></div></div>
2025/6/6 12:35作者陳曉莉https://www.ithome.com.tw/news/169405
Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同<a href="https://localmess.github.io/#disclosure">發表研究</a>，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>根據該項研究結果，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝有Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現Web與App間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>以Meta為例，研究指出其Facebook與Instagram應用程式會在背景啟動服務，監聽一組UDP與TCP本地埠口。當用戶瀏覽嵌有Meta Pixel的網站時，腳本會將_fbp Cookie透過WebRTC協定，以名為SDP Munging或TURN的方法傳遞至本機通訊埠，然後由原生App接收後，與用戶帳號一同傳送至Meta伺服器。這讓Meta能夠跨網頁與App層串接同一用戶，打破現有第一方Cookie僅限單一網站範疇的隱私保護。</p> <p>Yandex則採用HTTP與HTTPS請求發送至指定本地端埠口，由旗下如Yandex Maps、Yandex Browser等App監聽。這些App會回應包含Android Advertising ID等身分資訊，由瀏覽器腳本收集後一併上傳，這種設計還透過DNS解析將追蹤網域指向127.0.0.1，進一步隱匿流量與資料流向，使一般檢測機制更難發現。</p> <p>此種利用Android開放本機Socket設計的追蹤方式，受影響範圍極廣，據統計，Meta Pixel與Yandex Metrica分別被嵌入全球數百萬個網站。研究實測也顯示，即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能偵聽相關埠口，衍生更多資安與個資外洩風險。</p> <p>為了評估此追蹤手法對不同瀏覽器的影響，研究團隊針對多款主流瀏覽器，包括Chrome、Microsoft Edge、Firefox、DuckDuckGo及Brave進行測試。測試結果顯示，當網站腳本嘗試與本機通訊埠連線時，Chrome及Edge均受到Meta與Yandex這類追蹤行為的影響，能夠被追蹤腳本連接並傳遞身分資料。Brave則因為自2022年起針對本地主機連線實施嚴格封鎖策略，能有效防止這類攻擊，DuckDuckGo則透過增加阻擋清單減少部分風險。Firefox雖對Meta的技術較具防禦力，但對Yandex的HTTP請求仍會受到影響。</p> <p>目前主流瀏覽器已針對此類本地端Socket溝通提出初步防禦措施，例如封鎖特定埠口、限制SDP欄位操作等。不過，研究人員強調，Android平臺本身的設計限制若未根本改善，相關風險仍然存在。Meta與Yandex皆未在官方文件公開說明此類技術細節，也未針對外界或開發者社群的相關討論給出明確回應，但是皆已停止相關追蹤功能運作。</p> </div></div></div>
2025/6/6 08:21作者李建興https://www.ithome.com.tw/news/169394
【資安日報】6月4日，逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169362"><strong style="font-size: 22px;">逾250個Amazon代管的IP位址遭到濫用，鎖定多種應用系統發動攻擊</strong></a></p> <p>威脅情報業者GrayNoise指出，他們在5月8日發現一起不尋常的活動，有人利用251個由Amazon代管、位於日本的IP位址，進行大規模弱點掃描，針對75種應用系統曝險的情況而來，包含已知漏洞、錯誤配置，或是對系統進行偵察。特別的是，這些IP位址只在當天出現活動，在此之前及之後皆未有動靜，代表攻擊者可能租用臨時雲端基礎設施來從事活動。由於這種掃描行為往往是駭客從事攻擊行動的徵兆，他們呼籲IT人員要趕快檢查5月8日的事件記錄資料，並對相關惡意行為進行監控，以及動態封鎖從事這些行為的IP位址。</p> <p>針對駭客掃描的資安漏洞，涵蓋Adobe ColdFusion遠端程式碼執行（RCE）漏洞CVE-2018-15961、Apache Struts與Atlassian Confluence物件圖形導航語言（OGNL）注入漏洞CVE-2017-5638、CVE-2022-26134，以及Elasticsearch沙箱繞過漏洞CVE-2015-1427、Bash重大資安漏洞CVE-2014-6271（Shellshock）等，其共通點在於，都是已經揭露一段時間的已知漏洞，由於遭到鎖定的目標眾多，研究人員認為攻擊者並非針對特定應用系統而來，而是企圖尋找任何可能存在的弱點。</p> <p><a href="https://www.ithome.com.tw/news/169353"><strong style="font-size: 22px;">戶外用品與運動服飾業者The North Face遭遇帳號填充攻擊，部分客戶個資外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" style="width: 300px; float: right;" /></a>5月29日戶外用品與運動服飾業者The North Face向佛蒙特州總檢察長通報，該公司網站在2025年4月遭遇了帳號填充（Credential Stuffing）攻擊，導致部分客戶的個人資訊被竊取，該公司也對受到影響的客戶通知此事。</p> <p>針對事情發生的經過，The North Face於4月23日發現網站出現異常活動，隨即展開調查，結果發現有部分客戶資料外洩的情況。受影響的資訊包括姓名、購買記錄、收貨地址、電子郵件、出生日期及電話號碼等。附帶一提的是，由於該公司使用外部付款服務系統處理交易，付款資訊並未受到影響。不過，究竟有多少人受到影響，該公司並未透露。</p> <p>值得留意的是，自2020年以來The North Face已有多次遭遇帳號填充攻擊的記錄。其中最近一次在今年3月，母公司VF Outdoor向緬因州總檢察長辦公室通報資料外洩事故，這起事故影響The North Face與Timberland兩個品牌的網站，影響約15713個帳號。許多資安媒體不約而同指出，這類事件接連傳出，可能與The North Face未強制採用多因素驗證（MFA）有關。</p> <p><a href="https://www.ithome.com.tw/news/169348"><strong style="font-size: 22px;">精品業者Cartier驚傳遭駭，客戶個資外洩</strong></a></p> <p>精品業者Cartier本周通知客戶系統遭駭，導致客戶資料外洩。這起事件的曝光，源自於客戶張貼Cartier寄發的通知信件，內容提及未經授權的人士或組織存取了該公司系統，取得部分客戶資訊。但對於受影響的人數，該公司並末透露。</p> <p>經過調查，Cartier判斷該攻擊者存取客戶的個資，包括名字、電子郵件信箱和國籍。但業者強調外洩的資料不包含密碼、信用卡資料，以及其他銀行資訊。考量外洩資料可能導致詐騙或其他攻擊，Cartier呼籲用戶應提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coinbase-breach-tied-to-bribed-taskus-support-agents-in-india/">加密貨幣交易所Coinbase資料外洩調查有新進展，疑印度客服外包業者TaskUs員工收賄流出</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-crocodilus-adds-fake-contacts-to-spoof-trusted-callers/">安卓惡意軟體Crocodilus於受害設備加入假的通訊錄，以便駭客打電話行騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-docusign-gitcode-sites-spread.html">假借提供DocuSign、Gitcode為誘餌，駭客意圖散布NetSupport RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-rubygems-pose-as-fastlane-to-steal-telegram-api-data/">惡意RubyGems套件冒充CI/CD外掛散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169349"><strong style="font-size: 22px;">Google更新Chrome 137，修補已遭濫用的零時差漏洞</strong></a></p> <p></p> <p>6月2日Google發布電腦版Chrome更新137.0.7151.68、137.0.7151.69，這次修補3項漏洞，包含一個遭濫用的V8元件高風險漏洞。</p> <p>這次更新修補的三項資安漏洞，分別為高、中、低度風險。其中高風險漏洞編號CVE-2025-5419，為影響JavaScript引擎V8的越界讀寫漏洞，攻擊者可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損，CVSS評分為8.8。該公司指出，此漏洞已出現實際利用的情況。</p> <p>另一個出現在排版引擎Blink的漏洞CVE-2025-5068，也相當值得留意，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，同樣可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損。雖然Google認為該漏洞為中度風險，但資安業者Tenable、美國網路安全暨基礎設施安全局皆將其評為8.8分的高風險層級。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/over-30-vulnerabilities-patched-in-android/">Google發布6月份安卓例行更新，修補27項資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169347"><strong style="font-size: 22px;">中華電信8月起暫停簽發TLS網站憑證</strong></a></p> <p>Google宣布將移除Chrome瀏覽器對中華電信TLS憑證的預設信任後，中華電信決定8月起暫停簽發TLS網站憑證，並宣布將主動聯繫憑證效期將到期的客戶，免費提供TLS憑證更新。</p> <p>本周Google宣布將調整Chrome瀏覽器根憑證的預設信任機制，因中華電信未在規定時間內配合政策完成調整，Google將從Chrome 139及後續版本開始，不再信任中華電信在2025年7月31日之後簽發的新憑證，網站如使用這種的新憑證，Chrome瀏覽器用戶造訪該網站便會顯示不安全，無法正常瀏覽網站。</p> <p>中華電信決定從8月1日開始，暫停簽發TLS憑證，但該公司強調此舉並非其憑證存在漏洞或洩露私鑰，無關資安或網路安全，同時也對造成社會大眾的困擾表達歉意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> </div></div></div>
2025/6/4 16:37作者周峻佑https://www.ithome.com.tw/news/169365
【資安日報】6月3日，Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169318"><strong style="font-size: 22px;">合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" style="width: 300px; float: right;" /></a>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。</p> <p>Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信緊急發表聲明，坦言未按新政策規定在時間內完成調整，導致遭Google決定移除瀏覽器預設信任憑證，目前已完成調整且符合新政策要求，爭取明年3月重新回復Chrome瀏覽器信任。</p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應並啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，以維護政府公共服務的穩定度及可信度。</p> <p><a href="https://www.ithome.com.tw/news/169337"><strong style="font-size: 22px;">軟體供應商ConnectWise遭遇國家級駭客攻擊，部分ScreenConnect用戶遭鎖定</strong></a></p> <p>5月28日軟體業者ConnectWise發布資安公告，指出他們察覺網路環境出現可疑活動，攻擊者的身分疑似與國家級駭客有關，並指出這起事故影響極少數遠端桌面軟體ScreenConnect用戶，他們已尋求資安業者Mandiant協助調查此事，並通知受到影響的用戶。</p> <p>在網路環境遭到入侵後，該公司加強監控並強化防護，並於4月24日發布ScreenConnect修補程式因應，並指出他們對於雲端版本的ScreenConnect實體套用後，就再也沒有出現可疑活動的跡象。</p> <p>針對這起事故，ConnectWise透露的資訊並不多，他們初步認為這並非勒索軟體攻擊，並未透露實際受害用戶規模，也沒公布攻擊者的身分，說法也很含糊，該公司提及4月24日的修補程式，不禁讓人懷疑是否間接透露當時修補的驗證方式不適當漏洞CVE-2025-3935早就遭到利用？但這樣的猜測，顯然有待進一步的證據佐證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/cryptojacking-campaign-exploits-devops.html">GitHub現成工具被用於挖礦攻擊，駭客藉此濫用DevOps API</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-recruiter-emails-target-cfos-using.html">求職信網釣鎖定財務長而來，駭客利用遠端存取工具Netbird得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cloudsek.com/blog/50-000-azure-ad-users-exposed-via-unsecured-api-bevigil-uncovers-critical-flaw">研究人員揭露Azure AD重大漏洞，逾5萬用戶曝露於不安全的API而面臨風險</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169342"><strong style="font-size: 22px;">高通修補GPU已被用於實際攻擊行動的零時差漏洞</strong></a></p> <p>6月2日高通發布本月例行更新，總共修補18項弱點，其中有2項為重大層級、11項為高風險層級、5項為中度風險層級，值得留意的是，其中有3項漏洞CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，已被用於針對數量有限的目標從事攻擊行動。</p> <p>這些已遭利用的資安漏洞，先後由Google旗下的Android資安團隊通報，皆與顯示晶片（GPU）有關，其中被列為重大層級的CVE-2025-21479、CVE-2025-21480，發生的原因都是不正確的授權，在執行特定命令的過程中，可能導致GPU微節點（Micronode）未經授權執行命令，從而出現記憶體中斷的現象，CVSS風險為8.6分（滿分10分）。</p> <p>第3個遭到利用的漏洞CVE-2025-27038為高風險層級，同樣也會造成記憶體中斷，此為記憶體釋放後再存取利用（Use After Free）漏洞，發生在Chrome運用Adreno GPU驅動程式渲染圖像的過程，風險值為7.5。</p> <p><a href="https://www.ithome.com.tw/news/169322"><strong style="font-size: 22px;">針對遭殭屍網路AyySSHush利用的路由器漏洞，華碩針對這些資安弱點公告提出說明</strong></a></p> <p>上週威脅情報業者GrayNoise揭露鎖定華碩路由器而來的殭屍網路AyySSHush攻擊行動，並指出過程當中駭客運用已知漏洞CVE-2023-39780與兩個未登記CVE編號的弱點，停用與趨勢科技合作的內建防護機制AiProtection，從而控制約9千臺路由器，引起各家資安媒體報導此事。</p> <p>但對於這些漏洞的處理情形，GrayNoise僅透露皆已修補，其中CVE-2023-39780是透過近期的韌體更新緩解，鮮少有媒體掌握、透露進一步的資訊，我們嘗試查詢華碩的資安公告網頁，但難以找到相關資料。為了找到更多資訊，我們聯繫華碩，請他們回應此事。</p> <p>華碩表示，針對CVE-2023-39780的部分，他們已在2023年對RT-AX55發布的3.0.0.4.386_51948版韌體當中完成修補。特別的是，該公司提及另有4個漏洞編號實際上也是CVE-2023-39780，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347、CVE-2023-41348。</p> <p><a href="https://www.ithome.com.tw/news/169339"><strong style="font-size: 22px;">杜浦數位安全揭露並修補端點防護程式高風險權限提升漏洞</strong></a></p> <p>5月下旬台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出杜浦數位安全（TeamT5）旗下的EDR系統ThreatSonar Anti-Ransomware存在權限提升漏洞CVE-2025-4477，攻擊者在取得中等權限的情況下，就能透過特定的API遠端將權限提升至最高管理員層級，影響3.8.0以前版本，呼籲用戶套用修補程式hotfix-250327，或是升級至3.8.1版因應，CVSS風險為7.2（4.0版為8.6分）。由於相關漏洞說明都引述TWCERT/CC的公告內容，並未提其他細節，對此，我們也向杜浦數位安全詢問，請他們回應此事。</p> <p>針對這項漏洞的發現，杜浦數位安全表示是他們的PSIRT團隊找到，此漏洞形成的原因源自於ThreatSonar的API參數檢查環節出現問題，使得攻擊者能用來調整使用者的權限等級。而攻擊者利用這項漏洞存在必要條件，就是事先需要取得可登入系統的中等權限用戶帳號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/new-linux-flaws-allow-password-hash.html">Linux存在資訊洩露弱點，攻擊者恐藉此竊取密碼雜湊值</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169251"><strong style="font-size: 22px;">微軟公布新一代Windows Update平臺，將納管第三方應用程式更新</strong></a></p> <p></p> <p>企業環境中的各種應用程式，以及Windows元件，都是透過各自的更新機制運作，這樣的情況不但難以管理，而且在更新過程還會干擾用戶電腦正常運作、各種通知引發混亂，導致錯過更新期限等情況，對此微軟打算為Windows 11提供新的Windows Update協作平臺（Orchestration Platform），目前推出封閉測試的預覽版，用戶可寄送電子郵件申請參與。</p> <p>此協作平臺是以Windows Update相關技術為基礎開發而成，旨在提供管理工具開發人員API，以加入到其產品更新清單。這個平臺的協作者就會協調所有加入清單的產品在Windows 11上更新，以及微軟自己的Windows Update，使IT管理員及用戶不再被眾多更新混淆及干擾。</p> <p>這個協作平臺可提供智慧排程，根據使用者活動、系統效能、是否連上AC電源排定更新。微軟或第三方應用式更新，都可使用原生Windows Update的通知，可簡化使用體驗。這個協調工具可支援IT的更新期限和通知等管理政策；應用程式更新記錄會集中在「設定」，方便用戶統一檢視，若發生問題時也可讓IT透過事件錄進行排除。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/tenable-acquire-ai-security-apex">漏洞管理業者Tenable買下AI資安新創Apex</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> </div></div></div>
2025/6/3 17:43作者周峻佑https://www.ithome.com.tw/news/169343
高通修補GPU已被用於實際攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月2日高通<a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/june-2025-bulletin.html">發布本月例行更新</a>，總共修補18項弱點，其中有2項為重大層級、11項為高風險層級、5項為中度風險層級，值得留意的是，其中有3項漏洞CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，已被用於針對數量有限的目標從事攻擊行動。</p> <p>這些已遭利用的資安漏洞，先後由Google旗下的Android資安團隊通報，皆與顯示晶片（GPU）有關，其中被列為重大層級的CVE-2025-21479、CVE-2025-21480，發生的原因都是不正確的授權，在執行特定命令的過程中，可能導致GPU微節點（Micronode）未經授權執行命令，從而出現記憶體中斷的現象，CVSS風險為8.6分（滿分10分）。</p> <p>第3個遭到利用的漏洞CVE-2025-27038為高風險層級，同樣也會造成記憶體中斷，此為記憶體釋放後再存取利用（Use After Free）漏洞，發生在Chrome運用Adreno GPU驅動程式渲染圖像的過程，風險值為7.5。</p> </div></div></div>
2025/6/3 17:09作者周峻佑https://www.ithome.com.tw/news/169342
美國Google Wallet本月將停止支援PayPal
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/wallet/answer/12060039" target="_blank">Google近日更新了</a>美國Google Wallet對PayPal的支援，表示從今年的4月11日起，美國用戶已無法再於Google Wallet程式中整合PayPal帳戶，而自6月13日起，就算已於Google Wallet中連結PayPal，也不能再以PayPal付款，Google Wallet也會自動移除該關聯的PayPal帳戶，但依然支援PayPal簽帳卡。未來將僅剩德國市場的Google Wallet還支援PayPal。</p> <p>Google Wallet是Google所開發的數位錢包服務，讓用戶可以將實體錢包中的卡片與票券數位化並集中管理，它允許使用者註冊各種信用卡、簽帳卡或PayPal簽帳卡，以於實體或網路商店中付款；還能加入登機證、火車票、各種活動的門票、會員卡、禮物卡、識別證、身分證及數位駕照等票券或身分資訊以集中管理。</p> <p>而Google是<a href="https://android-developers.googleblog.com/2014/05/helping-you-go-global-with-more.html" target="_blank">在2014年開始</a>讓Google Wallet於12個國家支援PayPal，包括美國、加拿大、德國、法國、英國、奧地利、比利時、芬蘭、愛爾蘭、義大利、荷蘭與西班牙，不確定是在什麼時候開始陸續關閉於各國對PayPal的支援，如今只剩下美國與德國的Google Wallet還可使用PayPal服務，而美國服務也將在6月13日終止。</p> <p>此一舉動只是不再讓Google Wallet透過PayPal帳戶付款，但還是可以支援實體的PayPal簽帳卡。</p> <p>Google並未特別說明解除Google Wallet與PayPal關係的原因。</p> </div></div></div>
2025/6/3 14:14作者陳曉莉https://www.ithome.com.tw/news/169330
合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信對Google的新措施表達遺憾，並說明原因為未在Goole要求時限內改善，重申所發行的憑證安全無虞，並已完成調整，將爭取明年回復Chrome瀏覽器信任。</p> <p><a href="https://security.googleblog.com/2025/05/sustaining-digital-certificate-security-chrome-root-store-changes.html">根據Google在安全部落格的說明</a>，依據Chrome根憑證計畫政策，Chrome root store中的CA憑證授權單位必需為Chrome使用者提供價值大於其帶來的風險，其他考量的因素包括CA擁有者揭露、回應事件，當發生問題時，Google期望CA擁有者承諾進行有意義且可被證明的改善。</p> <p>Google指出，CA為網站與瀏覽器間的加密連線提供支援，在網路上扮演受信任的角色，因此必需遵守安全共識及合規的要求，包括CA/Browser論壇的TLS標準合規要求，從過去一年或幾個月觀察到，兩家CA授權單位合規性不達標，且承諾改進未符合要求，對於公開披露的事件報告缺乏實際且可被衡量的作為，可靠性信心下降，侵害到CA業者因公眾信任而在Chrome瀏覽器預設信任的信心，為確保Chrome使用者的安全及Chrome root store完整性而採取新措施。</p> <p>從Chrome 139及後續版本開始，TLS伺服器憑證驗證，其最早的SCT(Signed Certificate Timestamp)日期為2025年7月31日晚上11:59:59 UTC之後，將預設不再被信任。至於TLS伺服器驗證憑證，最早SCT在2025年7月31日晚上11:59:59 UTC或之前，則不受影響。</p> <p>新措施在8月實施後，影響包括Windows、macOS、ChromeOS、Android、Linux平臺上的Chrome 139及後續版本，Chrome將無法瀏覽採用兩家CA新憑證的網站，至於iOS平臺方面，因為Apple政策的限制，iOS 版Chrome瀏覽器不受影響。</p> <p>Google會依先前公布的Chrome功能，基於SCT時間來刪除瀏覽器對憑證的預設信任，以降低對訂閱者的干擾。但是，Chrome使用者和企業可透過明確信任憑證的設定，覆寫上述基於SCT的限制，使憑證仍能正常運作。</p> <p>為降低新的Chrome憑證預設信任政策影響，Google建議網站維運單位可以瀏覽器憑證檢視器先一步確認網站是否受影響，Google建議受影響的網站維運管理單位儘早遷移其他受信任的CA核發的憑證。此外，從Chrome 128開始新增命令列，允許使用者模型SCTNotAfter的不信任限制效果。</p> <p><span style="color:#B22222;"><strong>中華電信表達遺憾，爭取回復Chrome預設信任</strong></span></p> <p>對於Google新的Chrome瀏覽器將從8月起不再信任中華電信核發的新TLS憑證，中華電信也立即發表聲明，對Google的新措施表達遺憾，該公司解釋Chrome 139之後版本刪除瀏覽器預設信任中華電信新憑證的原因是，部分程序未能在Chrome新政策要求時限內調整完成，儘管日前中華電信已完成調整且符合Chrome新政策的要求，Google仍決定先移除Chrome預設信任，移除的原因並非因為憑證有漏洞或私鑰洩漏，仍會爭取回復預設信任，預計於2026年3月完成。</p> <p>中華電信並未詳細說明中間的過程，僅說明受影響的憑證為2025年7月31日之後發行的新憑證，7月31日之前發行的憑證不受影響，影響的是Chrome瀏覽器，微軟等其他瀏覽器則未受影響。</p> <p>該公司也強調中華電信及受委託營運的公開服務的憑證管理中心，符合電子簽章法規範，且通過WebTrust for CA及ISO 27001，提供的數位簽章具法律效力，請使用者安心；另外，該公司也強調所簽發的憑證完全合法合規，在政府、金融、證券、數位簽章等領域維持正常使用，不受影響。</p> <p><strong>數發部：3月已提前因應，推動雙憑證機制改善政府網站使用穩定性</strong></p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應，在今年3月起啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，政府公共服務的穩定度及可信度。</p> <p>數發部指出，因Chrome的信任政策調整是針對2025年8月1日後的新憑證，因此政府TLS憑證中心(GTLSCA)先前發的網站憑證，在1年效期內仍可正常使用，並未受到此次調整的影響。</p> <p>至於可能受到影響的公務機關網站，數發部提供技術支援、作業指引，輔導機關完成系統設定及相容性測試，以避免不同機關間的技術落差，致使公共服務無法使用，引發外界的誤會，影響對政府數位治理的信任。</p> </div></div></div>
2025/6/3 06:15作者蘇文彬https://www.ithome.com.tw/news/169318
Google悄悄測試能下載AI模型到手機執行的AI Edge Gallery App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">公布AI Edge Gallery App</a>，讓用戶能下載AI模型到手機上執行。</p> <p>AI Edge Gallery App是在Project Wiki下的實驗App，允許用戶搜尋、並從Hugging Face下載最新生成式AI模型，然後完全在Android及iOS裝置上執行AI應用。Google強調，Project Wiki為允許機上ML，提供核心API和輕量runtime，並且整合Hugging Face，可搜尋下載模型。</p> <p><a href="https://github.com/google-ai-edge/gallery?tab=readme-ov-file" target="_blank">Google鼓勵用戶</a>下載來實驗不同模型。目前分成三類模型，包括AI助理對話、上傳圖片詢問問題，或是下提示讓AI摘要重點、改寫文字或幫忙撰寫程式。用戶也能使用自己的模型來測試。本款App還提供配置功能供模型客製化，以及即時模型執行效能比較（TTFT/Time to First Token、解碼速度和延遲性）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Google%20AI%20Edge%20Gallery-experimental%20app-AI%20Chat.png" style="width: 500px;" /></p> <p>Android版現在已經可供下載，iOS版很快會推出。要下載AI Edge Gallery App<a href="https://github.com/google-ai-edge/gallery/releases/latest/download/ai-edge-gallery.apk" target="_blank">需安裝其APK檔</a>。<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">Project Wiki網頁</a>提供完整的使用指引。</p> </div></div></div>
2025/6/2 10:15作者林妍溱https://www.ithome.com.tw/news/169286
Telegram宣稱將整合xAI的Grok，遭馬斯克打臉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長<a href="https://x.com/durov/status/1927705717626003759" target="_blank">Pavel Durov周三（5/28）宣布</a>，即將於Telegram上整合xAI的聊天機器人Grok，幾個小時後，xAI創辦人暨執行長<a href="https://x.com/elonmusk/status/1927839555828220165" target="_blank">馬斯克（Elon Musk）便回應</a>，尚未簽署任何協議，直接打臉Durov。</p> <p>根據Durov的說法，雙方已同意展開一年的合作，Grok將在今年夏天全面進駐所有的Telegram應用程式，造福逾10億名Telegram用戶。此外，Telegram將從xAI獲得3億美元的現金及股票，再加上於Telegram上訂閱Grok的一半（50%）分潤。</p> <p>消息一出，由Telegram所開發的TON代幣價格，立即從3美元攀升到逾3.6美元。</p> <p>相較於Durov的興奮，馬斯克只冷冷地說了一句：「並未簽署任何協議。」Durov也在下方留言，雙方已經原則上同意，只是還有各種手續待辦。接著TON代幣的價格便隨之下滑至3.3美元。</p> <p>Grok聊天機器人目前已現身於同為馬斯克麾下的X平臺，也已推出Grok.com，以及支援Android與iOS的行動程式。</p> </div></div></div>
2025/5/29 12:47作者陳曉莉https://www.ithome.com.tw/news/169253
Anthropic公布Claude語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/AnthropicAI/status/1927463559836877214" target="_blank">Anthropic本周公布</a>以Beta版將語音模式推向聊天機器人Claude手機App，現在讓用戶可以英語和Claude互動，包括下達指令或聽取回應。</p> <p><a href="https://support.anthropic.com/en/articles/11101966-using-voice-mode-on-claude-mobile-apps" target="_blank">Anthropic說明</a>，Claude的語音模式允許iPhone和Android手機（或平板）用戶和Claude講話，聽取其回應，Claude說話同時也會在螢幕上顯示摘要重點。而在同一段對話中，Claude能無縫轉換文字和語音模式。</p> <p>如果你是付費用戶，Claude還能在語音模式下，存取Google Docs、行事曆、Gmail和上網搜尋。</p> <p>語音模式已提供給iOS及Android版Claude App。不過目前僅支援英文。語音對話次數計入用戶付費方案提供的使用量。在所有使用量方面，免費用戶每天可傳送100則訊息，<a href="https://support.anthropic.com/en/articles/8324991-about-claude-pro-usage" target="_blank">Pro方案</a>則為5倍。在語音模式下，每天可傳送20到30則語音訊息。</p> <p>點入輸入列中的麥克風圖示旁有個音波符號即可啟動語音模式。當中還有個人化選項供用戶選擇。語音模式控制項也很直覺，除了按「向上箭頭」傳送用戶聲音給Claude，按「方塊鍵」暫停對話，按「x」離開語音模式，按「＋」號存取相機、相片或檔案。</p> </div></div></div>
2025/5/29 08:31作者林妍溱https://www.ithome.com.tw/news/169247
研究人員相信Careto駭客組織背後是西班牙政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/05/23/mysterious-hacking-group-careto-was-run-by-the-spanish-government-sources-say/" target="_blank">Techcrunch引述消息人員報導</a>，11年前一個被視為世界上最狡猾的駭客攻擊行動，其實背後行動者是西班牙政府。</p> <p><a href="https://www.ithome.com.tw/news/85145" target="_blank">2014年資安業者卡巴斯基發現</a>一樁進階滲透攻擊（Advanced Persistent Threat，APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將其稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西語中的面具之意）的字樣。</p> <p>Careto最早現身於2007年，到2013年之間是其第一波活動期，而在沈寂幾年後<a href="https://www.kaspersky.com/about/press-releases/careto-apt-resurfaced-after-10-years-with-new-malicious-frameworks" target="_blank">2019年又再次活躍</a>。在前一次活動期間，Careto即已能使用極為複雜的惡意程式、rootkit、bootkit，除了能夠攔截所有的通訊管道且蒐集重要資訊外，其惡意程式還能隱身、針對防毒產品執行客製化的攻擊。它的目標平臺從Mac OS X、Linux外，到Android與iOS。到了近年，Careto的能力更提升為多模，能用惡意程式偷錄麥克風聲音、竊取瀏覽器或WhatsApp cookies，或是取得感染機器的控制權。而Careto的受害者國家也遍布歐洲、拉丁美洲到北、中非，受害組織高達數百。</p> <p>卡巴斯基從未明指Careto的身份，但Techcrunch最新報導引述卡巴斯基至少4名前員工指出，Careto/The Mask背後主謀者是西班牙政府。一名前員工透露，線索之一是一名古巴政府員工是西國巴斯克地區恐怖主義ETA成員。<a href="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/20133638/unveilingthemask_v1.0.pdf" target="_blank">根據卡巴斯基的調查</a>，其他受害者分布地區包括摩洛哥、巴西、英國屬地直布羅陀等地，也都是和西班牙有歷史新仇舊恨。</p> <p>卡巴斯基拒絕評論報導。</p> <p>駭客組織與政府資源有關連，甚至直屬政府單位，在全球都不是罕見，並非只有北韓和中國如此。例如，Equation Group據信屬於美國國安局（NSA），Lamberts為中情局（CIA）所有，而Animal Farm背後是法國政府。</p> </div></div></div>
2025/5/27 08:39作者林妍溱https://www.ithome.com.tw/news/169179
Kotlin跨平臺開發再簡化，Android Studio新增Android與iOS共享模組範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在自家整合開發環境Android Studio新增<a href="https://android-developers.googleblog.com/2025/05/kotlin-multiplatform-shared-module-templates.html">KMP（Kotlin Multiplatform）共享模組範本</a>，供開發者更簡單地以現有Android專案，建立可共用於Android與iOS的業務邏輯模組，進一步降低導入KMP的技術門檻，提升跨平臺專案維護與開發效率。</p> <p>KMP共享模組範本已整合進Android Studio，開發者僅需在現有專案中選擇新增模組，即可透過新範本建立同時適用於Android與iOS的共用業務邏輯，省去以往需手動設定多平臺架構、同步維護多套程式碼的繁複流程。新範本支援多項KMP相容Jetpack函式庫，例如Room、SQLite與DataStore。</p> <p>KMP推出以來，由於其單一語言、單一程式碼庫覆蓋多平臺應用的特性，逐漸受到開發社群關注。尤其在行動應用開發領域，KMP允許開發者將核心業務邏輯抽取為共用模組，分別在Android與iOS應用中呼叫，大幅減少重複程式碼與維護負擔。而過去要導入KMP至既有Android專案，常需調整專案結構與整合額外技術，還需深入理解各平臺編譯與建置流程，成為不少團隊採用KMP的挑戰。</p> <p>現在官方新增的共享模組範本，Android開發團隊可更迅速於現有專案中建立KMP模組，並將共用邏輯逐步搬遷至共享架構，無須中斷既有應用的開發與維護。根據Google官方說明，此舉簡化了雙平臺共用邏輯的導入工作，也有助於Android團隊主導跨平臺業務邏輯的設計與調整，降低錯誤發生機率，並提升同步更新功能的效率。</p> <p>Google目前已於Google文件iOS平臺採用KMP實作共用邏輯，依據官方說明，效能表現已達原生程式碼水準。KMP生態系也持續擴大，JetBrains收錄於klibs.io的KMP函式庫已超過1,500個，涵蓋資料存取、網路通訊、加密與UI元件等類型，使開發者在KMP專案可直接導入現成函式庫，加快專案建置。</p> </div></div></div>
2025/5/26 16:49作者李建興https://www.ithome.com.tw/news/169159
微軟正在開發類似MacOS/iOS Handoff的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在Build 2025大會上，微軟公布多項新產品，包含類似macOS的Handoff、允許用戶在筆電及手機等不同平臺間無縫轉移應用的新技術。</p> <p>該功能名為「跨裝置接續」（Cross-Device Resume），似乎Windows 11獨有。<a href="https://x.com/phantomofearth/status/1924862227846250612/photo/1" target="_blank">一名開發人員發現到</a>名為「以Windows為應用程式建立無縫跨裝置體驗」的<a href="https://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank">線上場次</a>，對Cross-Device Resume做了介紹。</p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0526-windows%2011-resume-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></a></p> <p>根據微軟的影片，當Spotify播出時工作列將出現，旁邊有手機圖案的Spotify圖示。若將滑鼠移近，會出浮動視窗及二層文字。上層為「Resume，最近在你行動裝置上運作」，說明目前手機或平板上的Spotify App正在播放音樂。下層為「Spotify，從你中斷的地方接續」。按下下行的Spotify視窗，播放畫面就會切到電腦上。Cross-Device Resume似乎只支援Android手機和Windows 11間的跨平臺切換。</p> <p>這項功能很類似蘋果用於macOS和iPhone/iPad應用程式無縫切換的Handoff。Handoff是讓在同一Apple ID下的鄰近macOS、iOS裝置，只要開啟藍牙、連上Wi-Fi即可實現應用內容流暢切換。<a href="https://techcommunity.microsoft.com/blog/microsoft365insiderblog/seamlessly-switch-between-your-apple-devices-with-handoff-support-for-word-excel/4275907" target="_blank">微軟去年宣布</a>，Word、Excel和PowerPoint也獲得蘋果Handoff支援。</p> <p>Cross-Device Resume是微軟規劃的三種跨裝置經驗之一。微軟規劃，透過應用程式加入Share、Resume及People API，可實現App內容跨裝置分享、接續執行、以及快速分享給重要用戶，而不需透過電子郵件或訊息軟體。</p> <p>一月時微軟釋出Windows 11 Build 27793，<a href="https://windowsforum.com/threads/windows-11-to-introduce-resume-features-for-spotify-and-whatsapp.351663/" target="_blank">相關文件展示</a>，除了Spotify，Resume也能整合WhatsApp App。</p> <p>微軟之前也發展<a href="https://learn.microsoft.com/zh-tw/windows/project-rome/" target="_top">Project Rome</a>。<a href="https://www.windowscentral.com/software-apps/windows-11/windows-11-is-getting-its-own-version-of-the-macs-handoff-feature-resume-apps-across-android-and-pc" target="_blank">Windows Central推測</a>，Cross-Device Resume應該是Project Rome的替代計畫。</p> </div></div></div>
2025/5/26 09:51作者林妍溱https://www.ithome.com.tw/news/169154
Kotlin 2.2語言強化與AI新工具開放，JetBrains加速多平臺應用布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains於KotlinConf 2025大會正式<a href="https://blog.jetbrains.com/kotlin/2025/05/kotlinconf-2025-language-features-ai-powered-development-and-kotlin-multiplatform/">發表</a>Kotlin 2.2，聚焦語言功能強化、人工智慧相關開發工具的開源，以及多平臺應用開發體驗的提升，展現推動Kotlin生態系持續成長的策略。此次Kotlin 2.2版本，除語言本身的進化外，同步推進K2新一代編譯器的採用，並配合人工智慧開源框架與多平臺工具的更新，擴展Kotlin於行動、網頁、伺服器端與人工智慧應用場景。</p> <p>Kotlin 2.2本次更新著重語言易用性與安全性，新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。K2編譯器正式成為IntelliJ IDEA 2025.1的預設，根據JetBrains實測，K2編譯器於大型專案有明顯效能提升，編譯時間較以往減少約40％，有助加速需頻繁建置與測試的開發流程。</p> <p>JetBrains強調人工智慧開發與Kotlin生態的整合，開源旗下的Koog人工智慧代理框架，供開發者以Kotlin打造可組合、高可靠性的人工智慧代理應用。該框架提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署。此外，JetBrains公開Mellum語言模型原始碼，該模型針對Kotlin程式碼進行最佳化，強調推理速度與準確性，適用於大型程式碼庫的產品環境。而針對人工智慧輔助程式撰寫與自動完成需求，JetBrains預告人工智慧助理Junie將於GitHub開放早期存取計畫，目前尚未宣布具體日期。</p> <p>Kotlin Multiplatform應用場景方面，JetBrains推出全新KMP擴充功能，支援IntelliJ IDEA與Android Studio多平臺專案開發，提升工具整合度與協作效率。Compose Multiplatform for iOS正式進入穩定版，提供iOS原生互動、文字選取、拖曳、可變字型與自然手勢等功能，並支援熱重載，開發者可即時預覽介面變更，改進使用體驗。針對網頁與WebAssembly目標，團隊持續調校效能與API完成，預計今年底進入Beta階段。</p> <p>JetBrains還與Spring框架團隊合作，加強Kotlin與Spring伺服器應用的型別安全與學習資源，並提升反射（Reflect）效能。Ktor 3框架於大會發表新版本，I/O效能最高提升至3倍，配置彈性增強，支援WebAssembly與伺服器推播事件。資料庫函式庫Exposed則經全面重構，擴充SQL支援並強化IDE體驗，利於企業級應用開發。</p> <p>Kotlin官方語言伺服器協定（LSP）及VS Code擴充功能目前皆處於pre-Alpha階段，僅具備基本程式碼完成、檢查與互通能力，預計今年稍晚釋出Alpha版，將有助Kotlin在更多開發場景發揮作用。</p> </div></div></div>
2025/5/24 22:03作者李建興https://www.ithome.com.tw/news/169139
主打行動裝置本地AI運算，Google釋出Gemma 3n輕量模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://developers.googleblog.com/en/introducing-gemma-3n/">推出Gemma 3n預覽版</a>，進一步推進語言模型在行動裝置本地端的應用。Gemma 3n為一套主打輕量與高效能的開放模型，專為手機、平板與筆記型電腦等裝置設計。與Gemma 3 4B模型於行動裝置端相比，Gemma 3n回應速度約快1.5倍，同時提升理解品質，展現本地人工智慧運算的即時性與實用價值。</p> <p>Gemma 3n的主要特色在於全新架構，並與高通、聯發科、三星系統LSI等多家行動晶片廠商合作。Google團隊根據現代行動處理器的特性進行架構最佳化，使模型可在2GB至3GB記憶體空間下運作。</p> <p>Gemma 3n公開版本提供5B及8B兩種參數規格，並透過PLE（Per-Layer Embeddings）等技術，降低記憶體需求並提升運算效率，官方也以E4B、E2B說明有效記憶體占用，讓開發者可在一般硬體條件下，在主流行動裝置或筆電部署具多模態潛力的生成式人工智慧。</p> <p>Gemma 3n在Chatbot Arena Elo評分達1283分，僅略低於專有模型Claude 3.7 Sonnet，並超越多數同級與開放模型。在多任務語言理解基準MMLU測試中，Gemma 3n支援mix’n’match動態組態，開發者可根據裝置與應用需求，靈活切換2B、4B等多種子模型組合，在記憶體與效能間取得平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3_OjwrVp1_original.png" style="width: 580px; height: 326px;" /></p> <p>Gemma 3n也強調多模態處理潛力，目前預覽版已支援文字與圖像功能，官方後續將釋出音訊理解、語音辨識與語音翻譯等功能。之後開發者便可利用該模型在裝置端，開發即時語音助理、影音互動應用及隱私敏感場景的人工智慧服務，減少對雲端依賴，實現即時且個人化的人工智慧功能。</p> <p>Google指出，Gemma 3n採用與Gemini Nano相同的次世代基礎架構，將帶動人工智慧功能進一步普及至Android、Chrome等終端應用，並陸續釋出更多模組與功能。官方目前提供Google AI Studio文字互動測試，以及Google AI Edge套件本地開發兩種體驗Gemma 3n的管道。</p> </div></div></div>
2025/5/22 08:53作者李建興https://www.ithome.com.tw/news/169081
Google行動AI開發方案Firebase AI Logic更新，升級多語言支援與串流回應能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下行動與網頁應用程式人工智慧開發方案Firebase AI Logic推出<a href="https://firebase.blog/posts/2024/05/introducing-vertex-ai-firebase/">新一輪更新</a>，增強多語言支援，並新增即時串流回應功能。目前Web平臺的串流回應功能仍在開發階段，之後隨相關功能上線，<a href="https://firebase.google.com/docs/ai-logic">Firebase AI Logic</a>將可進一步擴展人工智慧應用場景。</p> <p>Firebase AI Logic前身為Vertex AI in Firebase，現在正式更名並同步擴充服務範疇。Firebase AI Logic不只是支援Gemini與Imagen等模型，重點更在於行動與網頁端可直接透過Swift、Kotlin、Java、Dart、JavaScript及Unity等多平臺SDK，安全存取Google生成式人工智慧功能，無需自建後端API，有效降低人工智慧功能開發與部署門檻。</p> <p>除了更名，此次更新另一重點在於即時串流回應功能。Firebase AI Logic已整合Gemini Live API，讓開發者可於App中實現雙向串流互動，即時獲取模型回應結果，提升如聊天機器人、語音助理等互動型應用的用戶體驗。</p> <p>根據Google官方說明，目前Gemini Live API僅支援Android、Flutter及Unity平臺，並需搭配Vertex AI Gemini API。語音合成部分支援31種語言，有助於拓展人工智慧於語音服務及國際市場的應用。串流模式同時具備函式呼叫及結構化資料輸出能力，但僅適用於特定平臺與API組合。</p> <p>Firebase AI Logic持續強化App端存取防護，透過Firebase App Check等機制防止API金鑰外洩與未授權存取，降低濫用風險。系統預設每用戶每分鐘100次請求的速率限制，並可依企業需求調整。全新Proxy Service設計可避免API金鑰儲存在應用程式端，進一步滿足行動應用的安全需求。</p> <p>Firebase AI Logic延續與Firebase生態系雲端服務的整合，包括Cloud Storage管理多媒體檔案、Cloud Firestore等資料庫提供結構化資料支援，以及Remote Config遠端調整模型與提示參數，協助開發團隊靈活調整人工智慧服務內容，無須重新發布App即可進行功能最佳化或A/B測試。</p> <p>本次更新也強化<a href="https://firebase.google.com/docs/ai-logic/live-api?authuser=6&utm_source=chatgpt.com#use-standard-capabilities">多API來源支援</a>，開發者可依需求選用Gemini Developer API或Vertex AI Gemini API，靈活運用Google既有及新推出的人工智慧資源。</p> </div></div></div>
2025/5/21 16:18作者李建興https://www.ithome.com.tw/news/169071
Google Chrome可偵測並修正已外洩密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O大會上，<a href="https://developer.chrome.com/blog/io25-web-identity" target="_blank">Google宣布Chrome的安全功能</a>。為減少密碼帶來的風險，Chrome將加入新功能，可在偵測用戶輸入的密碼外洩時，建議、或自動使用更安全的新密碼。</p> <p>Chrome是以內建的Google Password Manager實現防護。之前Password Manager已經能自動產生安全性較高的密碼，以及名為Password Checkup的功能，它能檢查並通知用戶密碼外洩。</p> <p>現在Password Manager以前述功能為基礎，更新為自動密碼變更（automated password change）功能。Chrome若在用戶登入時偵測到已外流的密碼，其中的Password Manager會提示用戶，並提供它自動修復的選項。而在「支援的」網站上，Chrome會產生高強度密碼，並自動更新、取代舊密碼。這可以免除用戶辛苦尋找帳號設定，或者找到一半放棄的情形。</p> <p>Google在<a href="https://developer.chrome.com/blog/io25-web-identity" target="_blank">開發人員資源網頁</a>建議開發人員優化用戶上網體驗，包括autocomplete優化和變更密碼URL，前者可觸發autofill，後者可引導用戶變更密碼。</p> <p>不過同時間，Google也鼓勵用戶及網站開發人員導入無密碼登入，改使用通行密鑰（passkey）。去年Google已為Password Manager加入同步所有平臺passkey的功能以簡化登入。本月稍早<a href="https://www.ithome.com.tw/news/168879" target="_blank">Google再公布</a>Chrome Password Manager加入名為Automatic Passkey Upgrade的功能。一經用戶啟用，當用戶以Password Manager中儲存的密碼登入網站，它就會將用戶密碼升級為Passkey，並傳送通知給用戶。本功能將部署到桌機版Chrome 136及Android版本。</p> </div></div></div>
2025/5/21 12:38作者林妍溱https://www.ithome.com.tw/news/169066
Google找Warby Parker開發Android XR智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.warbyparker.com/news/news-details/2025/Warby-Parker-Partners-with-Google-To-Develop-Intelligent-Eyewear/default.aspx" target="_blank">Google宣布將挹注1.5億美元，與眼鏡品牌商Warby Parker合作開發下一代Android XR智慧眼鏡</a>。最新眼鏡預計在2025年以後上市。</p> <p><a href="https://blog.google/products/android/android-xr-gemini-glasses-headsets/" target="_blank">這項消息是在Google I/O大會上宣布</a>。一如Meta的智慧眼鏡，Android XR眼鏡將具備麥克風、攝影機及鏡片顯示器，在AI方面，則整合了Gemini AI助理，協助社交、預約、手把手的方向指引、照相及其他任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Google%20I%EF%BC%8FO%2025-Android%20XR-glasses.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Google%20I%EF%BC%8FO%2025-Android%20XR-glasses-AR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>雙方將整合Google Android XR及AI技術及Warby Parker的眼鏡設計能力，開發多模態AI智慧眼鏡，可在用戶配戴過程中提供即時環境感知及資訊。目前雙方已經展開研發，計畫未來推出一系列產品，第一款智慧眼鏡預計2025年以後推出結合多模態功能的處方或非處方眼鏡。</p> <p>Google希望藉由複製Meta與品牌商EssilorLuxottica合作的Ray Ban智慧眼鏡，在Google Glass跌倒的地方重新站起來。Ray Ban眼鏡推出後大受歡迎，<a href="https://www.counterpointresearch.com/insight/post-insight-research-notes-blogs-rayban-meta-crosses-1million-mark-success-indicates-promising-future-for-lightweight-ar-glasses/" target="_blank">市場調查機構CounterPoint估計到去年第3季為止</a>，Ray Ban智慧眼鏡已賣出超過100萬個。</p> <p>Warby Parker之前，Google和三星、Qualcomm合作開發代號Project Moohan的Android XR頭戴式裝置已經亮相，預計今年內上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Android%20XR-%E9%A0%AD%E6%88%B4%E5%BC%8F%E8%A3%9D%E7%BD%AE-Project%20Moohan-%E4%B8%89%E6%98%9F-MWC%2025.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> </div></div></div>
2025/5/21 11:39作者林妍溱https://www.ithome.com.tw/news/169062
NotebookLM行動程式來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://blog.google/technology/ai/notebooklm-app/" target="_blank">Google周一（5/19）釋出了支援Android及iOS的NotebookLM行動程式</a>。</p> <p dir="ltr">Google於<a href="https://www.ithome.com.tw/news/157776" target="_blank">2023年發表的NotebookLM</a>原本只是一個實驗性產品，定位為適合所有人的AI筆記本，它只會利用使用者上傳的資料來作答，包括PDF、文字、網址、聲音或影像等，以快速生成摘要及研究報告，或是回答使用者的提問，去年推出的<a href="https://www.ithome.com.tw/news/164978" target="_blank">語音概要（Audio Overview）</a>更能把各種資料轉變成由兩位AI主持人相互討論的內容，受到外界好評。</p> <p dir="ltr">NotebookLM與一般大型語言模型不同的是，它完全只仰賴使用者所提供的內容，不會出現想像或虛幻的答案。Google說，行動程式是NotebookLM用戶最想要的功能之一，使用者想要隨時隨地收聽Audio Overview，想到時就問問題，以及在瀏覽時直接將內容加入NotebookLM。</p> <p dir="ltr">行動版NotebookLM支援使用者上傳PDF、網站、YouTube影片或文字檔，以讓它們成為使用者信任的資訊來源，也支援Audio Overview，可於背景播放，亦支援離線播放。在Audio Overview播放期間，使用者亦可加入與兩位AI主持人互動，提出想要了解的問題。</p> <p dir="ltr">此外，使用者在行動裝置上查看網站、PDF或YouTube影片時，只要點擊分享，就能選擇分享至NotebookLM，讓它們成為NotebookLM上新的資訊來源。</p> <p dir="ltr">NotebookLM目前已支援包括臺灣在內的逾200個國家，<a href="https://blog.google/technology/google-labs/notebooklm-audio-overviews-50-languages/" target="_blank">Google在今年5月開放使用者</a>設定超過50種的Audio Overview輸出語言，當中也包含中文。</p> </div></div></div>
2025/5/20 12:20作者陳曉莉https://www.ithome.com.tw/news/169044
Android Find My Device擴增功能改名為Find Hub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/locate-lost-belongings-find-hub/" target="_blank">Google宣布Android Find My Device改名為Find Hub</a>，同時將陸續擴增功能，包括第三方整合功能及整合衛星定位。</p> <p>Google指出，Find My Device演進為Find Hub，將提供更多應用場景，像是整合到July、Mokobara行李箱內建的行李追蹤功能，運用於滑雪服務商Peak的人員定位功能、Pixbee推出的藍牙追蹤器等。5月底Find Hub將支援Ultra-wide band（UWB），用於在鄰近地區尋找失物，第一個應用的是汽車尋找。</p> <p>今年稍晚，Find Hub還將整合衛星定位，以便在沒有手機網路地區也能讓外界定位找到使用者。明年起，數家航空公司也將導入Find Hub定位技術，幫助旅客找到送丟的行李。</p> <p>這些合作夥伴不會只支援Google定位追蹤功能。<a href="https://www.apple.com/newsroom/2024/11/apples-find-my-enables-sharing-location-of-lost-items-with-third-parties/" target="_blank">去年底蘋果已宣布OS 18.2增加Share Item Location功能</a>，可允許航空公司更快找到旅客遺失的行李。</p> </div></div></div>
2025/5/16 14:51作者林妍溱https://www.ithome.com.tw/news/168991
Google發表新一代設計語言Material 3 Expressive
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/material-3-expressive-android-wearos-launch/" target="_blank">Google周二（5/13）發表了新一代的設計語言Material 3 Expressive</a>，它具備新的動畫及動態物理特性，支援更多個人化的顏色主題，更新了排版，並擁抱更具彈性的字型、形狀或漸變過渡，預計很快就會被應用在Android 16上，亦會現身於Wear OS 6上。</p> <p><a href="https://m3.material.io/blog/building-with-m3-expressive" target="_blank">Google強調</a>，Material 3 Expressive為Material 3設計系統的演變，並非Material 4，這是Google自2014年以來對設計系統作過最多研究的更新，針對逾1.8萬使用者進行46項研究，讓Android介面的設計演變不僅與美學有關，亦著重於強化使用者體驗，它含有新功能、新元件與設計策略，可用來創造具有情感影響力的使用者經驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Google_UX_M3%20Expressive-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>值得參考的是，Google對外分享了上述研究的關鍵收穫，包括富有表現力的設計受到所有年齡層的青睞，富有表現力的設計不管是在趣味性、活動、創造力或友善程度的得分都比較高，此外，富有表現力的設計更容易使用，參與者在基於相關設計的螢幕中，發現關鍵UI元素的速度提高了4倍。</p> <p>在Material 3 Expressive實際的展現上，它導入一個更自然、有彈力的動畫系統，例如在關閉某個通知時，旁邊的通知會巧妙地回應位置的改變。更新動態顏色主題、回應式元件及排版，允許使用者基於自己的風格及偏好來客製化手機介面。全新的Live Updates功能可即時顯示外送、叫車及導航的最新通知。</p> <p>Material 3 Expressive還特別針對圓形手錶介面進行設計，讓各種功能更容易點選，使其過渡功能更順暢，並適應更小的螢幕尺寸。此外，在Wear OS 6上，新的設計語言將能增加10%的電池續航力。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Keyword_Wear_Intro_1.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-Google_UX_M3%20Expressive-600-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2025/5/14 13:23作者陳曉莉https://www.ithome.com.tw/news/168933
【資安日報】5月13日，華碩修補主機板驅動程式管理工具驗證不當的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/168581">華碩針對旗下的4款工作站主機板發布韌體</a>，修補由資安業者Eclypsium揭露的滿分漏洞CVE-2024-54085而受到關注，該公司近日再對主機板用戶發布更新，主要是修補驅動程式管理工具DriverHub的資安弱點。</p> <p>耐人尋味的是，華碩強調相關漏洞僅影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置，而通報此事的研究人員MrBruh認為，無論是桌機還是筆電，只要有安裝DriverHub就可能曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168884"><strong style="font-size: 22px;">NPM套件rand-user-agent遭供應鏈攻擊，植入木馬遠端監控用戶系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot 2025-05-06 at 16_14_54.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot%202025-05-06%20at%2016_14_54.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Aikido研究人員發現開源NPM程式庫rand-user-agent被植入RAT木馬，攻擊者竊得發布權限，針對開發者常用的NPM套件進行供應鏈攻擊。由於rand-user-agent套件每周下載量達4萬5千次，推估已有部分用戶系統遭入侵。</p> <p>受影響的rand-user-agent版本包含1.0.110、2.0.83與2.0.84，均非由原開發團隊透過GitHub推送，疑似有第三方在原作者未維護套件期間竊用發布權限，將惡意版本上架至NPM。</p> <p>惡意程式碼在該套件內部以混淆工程隱藏，使用極長的字串與加密邏輯繞過靜態分析。攻擊者植入的後門程式可與遠端指令伺服器建立連線，並具備上傳本機檔案、切換工作目錄以及執行任意系統指令等能力。初始惡意程式會檢查系統中是否存在axios與socket.io-client套件，若無則自動於使用者主目錄下的隱藏路徑.node_modules，安裝所需模組以方便後續運作，並避免被開發者注意。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182159&SPOKE_DATE=20250512&COMPANY_ID=5522"><strong style="font-size: 22px;">遠雄發生系統異常的資安事故，出現郵件發送給外部無關人員的狀況</strong></a></p> <p>5月12日跨足營造與不動產領域的遠雄集團於股市公開觀測站發布重大訊息，指出該公司發生系統異常的情況，導致郵件發送給無關的外部人員。對此，該公司表示事發後已啟動相關防禦機制及復原作業因應。</p> <p>而對於這起事故可能造成的影響，遠雄表示根據初步的調查結果，未有資通訊系統、網站遭到攻擊的跡象，也沒有出現無法營運，該公司系統皆正常提供服務，因此未造成重大損害或是影響。但為何會發生系統異常的現象，遠雄並未說明，是否與網路攻擊有關？有待進一步釐清。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/fake-ai-tools-used-to-spread.html">惡意軟體Noodlophile佯裝AI工具散布，透過臉書鎖定逾6萬用戶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/seo-poisoning-campaign-hit-it-admins-with-malware/">SEO中毒攻擊鎖定Azure管理員而來，意圖左右HPC及AI工作負載</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/backdoor-by-design-malicious-npm-packages-hijack-cursor-ide-on-macos/">惡意NPM套件鎖定IDE工具Cursor用戶，在macOS平臺植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-now-testing-clickfix-attacks-against-linux-targets/">駭客試圖對Linux用戶發動ClickFix網釣攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168906"><strong style="font-size: 22px;">華碩主機板存在遠端程式碼執行漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" style="width: 300px; float: right;" /></a>5月9日華碩發布資安公告，他們為驅動程式管理工具DriverHub發布更新，修補資安漏洞CVE-2025-3462、CVE-2025-3463，呼籲用戶儘速安裝最新版軟體，也可存取DriverHub並按下立即更新（Update Now）來進行。</p> <p>這些漏洞為紐西蘭程式開發員MrBruh發現，並指出攻擊者有機會遠端利用，並於受害電腦執行任意程式碼，發生的原因在於外部發送的呼叫請求檢查不周全，以及欠缺嚴謹的安全檢查，未經授權的攻擊者可發送惡意HTTP呼叫，從而影響受害電腦的系統行為，或是與軟體功能進行互動，而對於CVE-2025-3462、CVE-2025-3463的危險程度評估，根據華碩以4.0版CVSS進行風險評分，分別得到9.4、8.4分（滿分10分）。</p> <p>值得留意的是，華碩特別強調上述漏洞只影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置。但究竟有那些主機板用戶會受到影響，以及DriverHub是否預設安裝於華碩電腦，該公司並未說明。</p> <p><a href="https://www.ithome.com.tw/news/168905"><strong style="font-size: 22px;">微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token存取特定專案</strong></a></p> <p>5月8日微軟發布資安公告，表示他們近期修補Azure DevOps、Azure Automation、Azure Storage、Power Apps的重大漏洞，其中有3項弱點特別危險，風險分數接近滿分10分而受到關注。</p> <p>其中最嚴重的漏洞是CVE-2025-29813，此為Azure DevOps權限提升漏洞，起因是Visual Studio對於管線工作（Pipeline Job）所使用的Token，出現處理不當的情況，一旦攻擊者成功利用，就可能存取特定的專案，CVSS風險達到10分。不過，利用這項弱點存在必要條件，那就是攻擊者必須事先存取專案，並置換特定的Token。</p> <p>另外兩個風險達到9.9分的漏洞CVE-2025-29827、CVE-2025-29972，分別存在於Azure Automation與Azure Storage。其中，CVE-2025-29827為權限提升漏洞，而CVE-2025-29972則是伺服器請求偽造（SSRF）漏洞，可被用於欺騙資源供應者。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-patches-major-security-flaws-in-ios-macos-platforms/">蘋果針對行動裝置、電腦、穿戴裝置、Apple TV發布更新</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168879"><strong style="font-size: 22px;">Google將自動把桌機、手機用戶密碼升級為通行密鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" style="width: 300px; float: right;" /></a></p> <p>Google積極推動無密碼登入，將利用桌機Chrome及手機版的密碼管理工具Password Manager，自動將用戶密碼升級通行密鑰（passkey）。</p> <p>上周Android Authority首先在25.19.31 beta版Google Play Services App發現，Android版Password Manager包含一個新功能，會自動將用戶密碼在用戶登入時轉成通行密鑰，而且，這項功能預設開啟。</p> <p>隨後Google宣布，Chrome加入Google密碼管理器自動建立通行密鑰的功能，並將這項功能稱為Automatic Passkey Upgrade。啟用該功能後，當用戶以密碼管理器儲存的密碼登入網站，此應用程式就會將密碼升級為通行密鑰，並傳送通知給用戶。這項功能將先透過桌機版Chrome 136釋出，Android版則即將推出。</p> <p><a href="https://www.ithome.com.tw/news/168880"><strong style="font-size: 22px;">為防止敏感資訊外流，微軟替Teams加入新功能，防止視訊畫面遭擷圖</strong></a></p> <p>本週微軟預告，他們預計在7月為Teams加入防止視訊時螢幕擷取的功能，防止敏感資訊外洩。</p> <p>微軟說明，為解決視訊會議時未經授權的螢幕擷取疑慮，新增的「防止螢幕擷取」功能可在用戶試圖擷取螢幕時，視訊視窗會變黑，防止敏感資訊外流。這項新功能將會同時提供給Teams網頁版、電腦版（Windows及Mac），以及行動裝置版（iOS、Android）用戶。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168893"><strong>【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168833"><strong>【5月8日】勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案</strong></a></p> </div></div></div>
2025/5/13 15:19作者周峻佑https://www.ithome.com.tw/news/168916
【資安日報】5月12日，中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩週危險程度達到滿分的資安漏洞不斷傳出，例如：<a href="https://www.ithome.com.tw/news/168623">Commvault備份管理平臺漏洞CVE-2025-3402</a>、<a href="https://www.ithome.com.tw/news/168751">PHP程式庫ADOdb漏洞CVE-2025-46337</a>、<a href="https://www.ithome.com.tw/news/168873">思科IOS XE無線區域網路控制器漏洞CVE-2025-20188</a>，值得留意的是，SAP在4月24日修補的NetWeaver資安漏洞CVE-2025-31324，於4月底<a href="https://www.ithome.com.tw/news/168653">傳出超過1千臺伺服器受害</a>，後續有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，他們看到中國駭客組織Chaya_004試圖發起攻擊行動，目的是散布名為SuperShell的後門程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168892"><strong style="font-size: 22px;">中國駭客鎖定SAP NetWeaver滿分漏洞，企圖部署後門SuperShell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog_SAP-Graph-Scans-on-AEE.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog_SAP-Graph-Scans-on-AEE.png" style="width: 300px; float: right;" /></a></p> <p>4月24日SAP緊急修補應用程式伺服器NetWeaver資安漏洞CVE-2025-31324，此漏洞CVSS風險高達10分，且已經被用於實際攻擊，通報此事的資安業者ReliaQuest指出，駭客將其用於在受害伺服器植入Web Shell，但還無法確認攻擊者的身分，現在有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，他們從4月29日開始，看到該漏洞遭到積極利用，當時駭客組織Chaya_004試圖掃描存在漏洞的NetWeaver伺服器，透過13個IP位址從事攻擊，此攻擊行動主要鎖定製造業環境，目的是部署後門程式SuperShell，而這些IP位址來自法國、德國、美國、波蘭的主機代管業者。</p> <p>研究人員指出，CVE-2025-31324存在於NetWeaver的Visual Composer元件，一旦攻擊者成功觸發，就能上傳惡意的Web Shell，從而達到遠端執行任意程式碼（RCE）的目的，攻擊者甚至有機會完全控制尚未修補的NetWeaver，因此他們呼籲IT人員，應儘速修補漏洞。</p> <p><a href="https://www.ithome.com.tw/news/168886"><strong style="font-size: 22px;">勒索軟體LockBit傳出遭駭，內部資料外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GqX-Ow4WIAAZhLo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GqX-Ow4WIAAZhLo.jpg" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的勒索軟體LockBit上周疑似遭駭，網站資產、密碼及程式碼公開於網路上，研究人員也發現了LockBit下手的攻擊目標及策略。</p> <p>根據資安新聞網站Bleeping Computer報導，名為Rey的人士發現，LockBit的聯盟網站首先被置換成文字訊息：「Donpt Do Crime. Crime is Bad. Xoxo from Prage」，並且貼上了連向下載外洩SQL資料庫壓縮檔的連結。</p> <p>Bleeping Computer及Qualys安全研究人員進一步分析壓縮檔內容，這份壓縮檔疑為LockBit的內部資產，其中包含近6萬個比特幣網址、由合作夥伴建立的攻擊程式build、儲存build的基礎架構配置、勒索軟體駭客和受害者從去年12月到4月底的協調對話記錄4000多筆。此外還有可存取合作網路資源的75名管理員密碼，有的還是明文儲存。</p> <p><a href="https://www.ithome.com.tw/news/168860"><strong style="font-size: 22px;">教育內容出版商Pearson遭網攻外洩客戶資料、程式原始碼</strong></a></p> <p>出版托福、雅思、GMAT等教材出版商Pearson近日遭駭，疑似被駭客竊走公司程式原始碼、財務、客戶資料。</p> <p>Pearson公告系統遭駭，未授權人士存取公司部分系統。該公司說已採取行動遏止惡意活動，並調查哪些資料受影響。這家教育出版商相信，被存取的多半是舊有資料，認為此事件對公司業務運作沒有影響。</p> <p>雖然Pearson輕描淡寫，不過資安媒體Bleeping Computer報導災情可能不小，他們取得消息人士的說法，指出事故出於今年1月Pearson開發環境的GitLab Personal Access Token（PAT）在公開的.Git/Config檔案外流。earson外洩的PAT資訊允許攻擊者存取原始碼，當中包含了寫死的憑證和雲端驗證令牌。而後幾個月攻擊者又利用這些資訊，從Pearson內部網路系統與AWS、Google Cloud、或Snowflake、Salesforce雲端系統竊取了數TB的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/google-uncovers-lostkeys-malware-used-by-russian-coldriver-for-cyber-espionage/">俄羅斯駭客ColdRiver從事ClickFix網釣，意圖散布惡意軟體Lostkeys</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/oriental-gudgeon-sophisticated-phishing-campaign-targets-japanese-companies/">逾40個日本金融服務遭網釣套件鎖定，中國駭客發起Oriental Gudgeon攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/sophisticated-iis-malware-targets-south-korean-web-servers/">IIS惡意軟體攻擊韓國網頁伺服器，疑中國駭客所為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168873"><strong style="font-size: 22px;">思科修補JWT寫死的令牌漏洞，防止IOS XE控制器被遠端操控</strong></a></p> <p>思科（Cisco）發布安全公告，指出其IOS XE無線區域網路控制器（WLC）軟體存在評為風險等級滿分（10分）的重大漏洞CVE-2025-20188，該漏洞源自系統內部寫死的JSON Web Token（JWT），允許未經驗證的遠端攻擊者，上傳任意檔案並執行指令，當受影響裝置啟用特定功能，便可能成為被入侵的高風險目標。思科目前已釋出新版本修補此問題，建議用戶儘速更新。</p> <p>CVE-2025-20188漏洞存在於Catalyst 9800系列的控制器平臺，包括部署於雲端、交換器內嵌控制器版本，以及部分無線基地臺的內建控制器，當用戶啟用Out-of-Band AP Image Download功能，攻擊者便有機會利用該漏洞發動攻擊。</p> <p>由於漏洞發生在遠端設備管理功能上，且可繞過使用者驗證機制，風險影響範圍不僅涵蓋資料完整性，也涉及控制權奪取與服務中斷等問題，因此該漏洞被列為CVSS 3.1等級10.0的最高風險。對於多數企業而言，WLC作為無線網路中樞，若遭入侵將可能成為橫向移動的跳板，進一步擴大網路攻擊面。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/microsoft-patches-four-critical-azure-and-power-apps-vulnerabilities-including-cvss-10-privilege-escalation/">微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/radware-cloud-waf-vulnerable-to-filter-bypass-via-crafted-requests/">Radware雲端WAF存在弱點，攻擊者可利用特製請求繞過過濾機制</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168858"><strong style="font-size: 22px;">為避免用戶遭到詐騙，Google在Chrome及搜尋中導入AI</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Frame_2134280780_1_width-1000_fo.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Frame_2134280780_1_width-1000_fo.png" style="width: 300px; float: right;" /></a></p> <p>AI不僅用來改善應用程式性能，也被用來改善安全，Google揭露如何利用AI來預防搜尋引擎、電腦版與Android版Chrome的詐騙行為。</p> <p>Google於發表的「打擊搜尋詐騙」（Fighting Scams on Search）報告中說明，其分類器原本是利用機器學習演算法來辨識詐欺行為的模式、異常狀況及語言線索，然而，詐騙者不斷改進與變更，因此防禦者必須能夠了解新威脅並主動制定對策。</p> <p>最近3年，Google不斷更新基於AI的反詐騙系統，AI與大型語言模型讓他們能夠分析大量文本，識別那些可能與協調詐騙或新興詐欺說法有關的微妙語言及主題連結，例如新系統得以辨識詐騙網站的互連網路，可以辨識各種不同語言的詐騙，在整合各種先進的AI模型之後，Google的詐騙偵測能力大增，可在詐騙網頁出現在搜尋結果之前，攔截20倍以上的詐騙頁面。</p> <p><a href="https://www.ithome.com.tw/news/168758"><strong style="font-size: 22px;">微軟逐步終止Authenticator儲存密碼功能，將以Edge內建功能為主</strong></a></p> <p>微軟宣布將從7月起，逐步取消Authenticator管理和Autofill密碼或通行密鑰（Passkey）的功能，最終把這些管理功能轉到Edge瀏覽器。不過，用戶還是可以採用其他廠牌的解決方案，例如：Google Password Manager或iCloud Keychain。</p> <p>從2025年6月起，用戶就無法再於Authenticator儲存新增密碼。7月間，Authenticator的密碼autofill無法使用。從8月起，Authenticator也無法存取（及autofill）已儲存的密碼。</p> <p>微軟提醒用戶應儘速行動，因為7月之後，Authenticator儲存的支付資訊就會從裝置刪除。8月之後，不但所有儲存的密碼無法從Authenticator取用，生成的密碼若未儲存也將會刪除。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168833"><strong>【5月8日】勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168800"><strong>【5月7日】勒索軟體駭客自帶安裝程式，繞過EDR防護機制加密檔案</strong></a></p> </div></div></div>
2025/5/12 17:42作者周峻佑https://www.ithome.com.tw/news/168893
Google將自動把桌機、手機用戶密碼升級為通行密鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google積極推動無密碼登入，將利用桌機Chrome及手機版Password Manager自動將用戶密碼升級通行密碼（passkey）。</p> <p><a href="https://www.androidauthority.com/google-automatic-passkey-upgrades-android-apk-teardown-3555935/" target="_blank">上周Android Authority</a>首先在Google Play Services App（25.19.31 beta版）發現Android版Password Manager包含一個能自動將用戶密碼在用戶登入時轉成通行密鑰（passkey）。這項功能預設開啟。</p> <p>而後，<a href="https://developer.chrome.com/blog/passkey-automatic-upgrades" target="_blank">Google周末宣布Chrome</a>加入Google密碼管理器（Password Manager）自動建立通行密鑰的功能，名為Automatic Passkey Upgrade。啟用該功能後，當用戶以Google Password Manger儲存的密碼登入網站，該App就會將密碼升級為Passkey。此時，Password Manager也會傳送通知給用戶。</p> <p>這項功能將先透過桌機版Chrome 136釋出，Android版則即將推出。</p> <p>在給開發人員的支援網頁中，Google說明，最近用戶以儲存的密碼登入網站，Google Password Manager才會自動建立passkey。<a href="https://developer.chrome.com/docs/identity/webauthn-conditional-create" target="_blank">Google並建議</a>開發人員使用WebAuthn API，使其網站或App呼叫「條件式建立（conditional create）」以便在用戶輸入密碼登入後立即啟用Automatic Passkey Upgrade功能。</p> <p><a href="https://support.google.com/chrome/answer/13168025" target="_blank">Google說明</a>，passkey可和其他驗證方式並行。若用戶不想改為Passkey，也可以從Chrome右上角的「More」選單中「password and autofill」>「Google Password Manager」>「設定」，關閉「Automatically create a passkey to sign in faster」。</p> <p>上周微軟也先後宣布，<a href="http://www.ithome.com.tw/news/168721" target="_blank">新增的微軟帳戶將預設啟用passkey登入</a>，<a href="https://www.ithome.com.tw/news/168758" target="_blank">以及逐漸將passkey儲存作業集中到Edge上</a>。</p> </div></div></div>
2025/5/12 08:45作者林妍溱https://www.ithome.com.tw/news/168879
微軟Teams將以新功能防止視訊畫面被螢幕擷圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/roadmap?id=490561" target="_blank">微軟預告</a>，7月Microsoft Teams將加入防止視訊時螢幕擷取的功能，防止敏感資訊外洩。</p> <p>微軟說明，為解決視訊會議時未經授權的螢幕擷取疑慮，新增的「防止螢幕擷取」功能可在用戶試圖擷取螢幕時，視訊視窗會變黑，防止敏感資訊外流。這項新功能將會同時提供給Web、桌機（Windows及Mac）版及手機（iOS、Android）版Teams。</p> <p>而從不支援平臺加入會議的用戶，就會被加入純聲音模式，以確保資訊安全性。</p> <p>根據微軟開發時程，這項功能目前處於「開發中」狀態，但預計2025年7月開始部署。</p> </div></div></div>
2025/5/12 09:08作者林妍溱https://www.ithome.com.tw/news/168880
Google Play強制App支援16KB記憶體分頁，提升Android 15效能與相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2025/05/prepare-play-apps-for-devices-with-16kb-page-size.html">宣布</a>自2025年11月1日起，所有提交至Google Play且目標為Android 15或更高版本的應用程式，必須支援16KB記憶體分頁大小。這項要求是Android系統在記憶體管理架構的重要技術變更，目的是配合裝置硬體逐漸採用更大記憶體分頁配置，以提升整體執行效能與系統相容性。</p> <p>Android過去長期使用4KB作為記憶體分頁單位，這是歷代裝置與核心函式庫設計的基礎。不過，隨著裝置記憶體配置提升，尤其是在高階手機與平板電腦上，改採16KB分頁能讓處理器與作業系統，在記憶體分配與I/O效能取得更佳的平衡。根據Google內部測試，支援16KB分頁的應用，可獲得多項效能提升，例如應用程式啟動速度最高可提升30％，系統開機與相機開啟時間也有明顯改善，平均省電幅度約為4.5％。</p> <p>對開發者而言，這項新要求不僅涉及編譯層級的調整，也可能對所使用的函式庫或原生程式碼產生影響。Google指出，多數純Java或Kotlin開發的應用程式，不需修改即可相容16KB分頁，而含有原生程式碼的應用程式，則需確認所使用的C/C++程式碼與函式庫是否支援新版記憶體分頁設定。如果是使用第三方SDK，例如React Native、Flutter與Unity等主流工具鏈，目前大多已提供對應的16KB支援版本，但部分仍需依個別情況進行升級或重新編譯。</p> <p>Google已在Play控制臺提供App Bundle Explorer工具，協助開發者檢查應用程式是否具備16KB記憶體分頁相容性，並可依據檢測結果指引進行相對應的調整。官方建議開發者盡早在支援16KB分頁的實體裝置或模擬環境進行測試，避免因記憶體對齊、位址運算等問題出現錯誤。</p> </div></div></div>
2025/5/12 08:13作者李建興https://www.ithome.com.tw/news/168874
Google在Chrome及搜尋中導入AI以避免用戶遭到詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI不僅用來改善性能，也被用來改善安全，<a href="https://blog.google/technology/safety-security/how-were-using-ai-to-combat-the-latest-scams/" target="_blank">Google本周即揭露</a>該公司如何利用AI來預防搜尋引擎、桌面版Chrome及Android版Chrome上的詐騙行為。</p> <p>Google於本周發表的<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Search-Scam-Report-0508.pdf" target="_blank">「打擊搜尋詐騙」（Fighting Scams on Search）報告</a>中說明，其分類器原本是利用機器學習演算法來辨識詐欺行為的模式、異常狀況及語言線索，然而，詐騙者不斷改進與變更，因此防禦者必須能夠了解新威脅並主動制定對策。</p> <p>最近3年，Google不斷更新基於AI的反詐騙系統，AI與大型語言模型讓他們能夠分析大量文本，識別那些可能與協調詐騙或新興詐欺說法有關的微妙語言及主題連結，例如新系統得以辨識詐騙網站的互連網路，可以辨識各種不同語言的詐騙，在整合各種先進的AI模型之後，Google的詐騙偵測能力大增，可在詐騙網頁出現在搜尋結果之前，攔截20倍以上的詐騙頁面。</p> <p>此外，Google也會在偵測到詐騙時迅速部署防護措施。例如當觀察到與航空公司客戶服務查詢有關的詐騙時，迅速實施防護，而讓相關詐騙攻擊減少逾80%；新系統也讓去年冒充簽證或其它政府服務的詐騙網頁減少了70%以上。</p> <p>在Chrome瀏覽器上，Google替Android版Chrome打造了新的AI警告功能，它利用本機裝置上的機器學習模型來分析通知內容，此一模型是根據通知的文字內容進行訓練，包括標題、內容或操作按鈕文字，因此得以識別可能不需要或詐騙的通知，並跳出警告。當Chrome跳出警告時，會秀出發送通知的網站名稱，警告訊息，以及取消訂閱該站或查看內容的選項。</p> <p>使用者也可以選擇取消所有傳送到Android上的Chrome通知，以節省資料用量及電池壽命。</p> <p>至於桌面版Chrome的防詐功能主要是針對技術支援詐騙。Google表示，本周發表的Chrome 137將利用裝置上的Gemini Nano模型提供額外的保護層，利用該大型語言模型來產生訊號，並供動態支援黑名單的Google Safe Browsing使用，以對諸如技術支援詐騙的潛在風險網站提供更準確的判斷。</p> <p>Google解釋，使用裝置上的模型可以讓系統在使用者看到威脅時也發現它們，還讓系統可從用戶角度看到威脅，這些惡意網站的平均存在時間不到10分鐘，藉由裝置上的保護將能讓Google偵測並阻止先前未曾發現的攻擊。</p> <p>例如當使用者所造訪的網站，出現了技術支援詐騙網站經常使用的鍵盤鎖住API（Keyboard Lock API）時，便會觸發Gemini Nano評估該頁面的意圖，之後再傳送到Safe Browsing進行最終定奪，如若判斷是詐騙，Chrome便會出現警告插頁。</p> </div></div></div>
2025/5/9 12:04作者陳曉莉https://www.ithome.com.tw/news/168858
Google修補已遭利用的Android漏洞CVE-2025-27363
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/docs/security/bulletin/2025-05-01?hl=zh-tw" target="_blank">Google本周發布Android平臺的5月安全更新</a>，修補45個安全漏洞，並警告其中的CVE-2025-27363可能已遭利用。</p> <p>此一漏洞存在於FreeType中。FreeType是個開源的字型引擎，可用來解析與呈現字型檔案內容，支援點陣字型及向量字型，它並非用來排版，而是專注於將字型資訊轉換成圖形輪廓或點陣圖，讓開發者可在螢幕或列印設備上正確顯示文字。</p> <p>這是由<a href="https://www.facebook.com/security/advisories/cve-2025-27363" target="_blank">Facebook安全團隊在3月所發現</a>，當FreeType在解析TrueType GX與可變字型的子字型結構時，可能會觸發越界寫入漏洞，而允許駭客於系統上執行任意程式碼，波及採用FreeType 2.13.0及以下版本，當時Facebook研究人員便說該漏洞可能已遭到駭客利用。</p> </div></div></div>
2025/5/7 12:44作者陳曉莉https://www.ithome.com.tw/news/168797
美國陪審團要NSO Group支付1.6億美元的賠償金予Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過5年的審理，美國法院陪審團周二（5/6）裁定以色列資安業者NSO Group必須支付逾1.6億美元的懲罰賠償，以及逾40萬美元的補償予Meta。儘管NSO Group執行長Yaron Shohat早就宣稱該公司的財務困難，無力支付賠償金額，<a href="https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/" target="_blank">但Meta指出</a>，陪審團強制NSO Group支付賠償金的決定，將對那些鎖定美國與全球使用者的非法行為及惡意產業帶來威懾效果。</p> <p><a href="https://www.ithome.com.tw/news/133908" target="_blank">Meta是在2019年控告NSO Group</a>，原因是NSO Group利用Meta家族程式WhatsApp的安全漏洞，於超過1,400個行動裝置上植入了該公司所開發的Pegasus間諜程式，以竊取裝置上的電子郵件、簡訊內容，甚至可自遠端啟用手機麥克風與攝影機。</p> <p>美國法官Phyllis Hamilton<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.494.0_1.pdf" target="_blank">去年12月對此案作出裁決</a>，認為NSO Group違反美國《電腦詐欺與濫用法案》（Computer Fraud and Abuse Act，CFAA），加州《電腦資料存取與詐欺法案》（Computer Data Access and Fraud Act，CDAFA），也違反了WhatsApp的服務條款。</p> <p>2010年於以色列創立的NSO Group雖然宣稱所開發的技術，是用來幫助各國政府發現及預防恐怖主義與犯罪，卻被不少組織發現相關技術其實被用來監控與追蹤人權鬥士或異議人士，同時廣泛地尋找各種平臺、程式或軟體的安全漏洞，以用來植入間諜程式。</p> <p>Meta指出，NSO Group在審訊中被迫承認，該公司每年支出數千萬美元來開發各種惡意軟體安裝方法，危害Android及iOS裝置，WhatsApp並非NSO Group的唯一目標，這是一個泛產業的威脅，需要大家共同防禦。</p> <p>另一方面，根據<a href="https://www.courthousenews.com/israeli-spyware-company-ceo-testifies-in-meta-damages-trial/#:~:text=When%20asked%20about,water%2C%E2%80%9D%20Shohat%20said." target="_blank">Courthouse News Service的報導</a>，曾經出庭作證的NSO Group執行長Yaron Shohat否認該公司曾參與任何間諜行為，澄清他們只是政府的承包商，替政府機關開發網路情報工具。Shohat還向陪審團展示了NSO Group這兩年的財報，顯示該公司在2023年虧損近900萬美元，2024年虧損超過1,200萬美元，還說NSO Group應該付不起任何賠償金額。</p> </div></div></div>
2025/5/7 10:33作者陳曉莉https://www.ithome.com.tw/news/168791
【資安日報】5月6日，惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在受害電腦成功執行惡意軟體，駭客利用惡意軟體載入工具（Loader）、下載工具（Downloader）的情況，越來越常出現。最近有一款前身為殭屍網路病毒的惡意軟體下載工具Phorpiex，引起研究人員的高度關注，因為，駭客拿來散布惡名昭彰的勒索軟體LockBit 3.0。</p> <p>值得留意的是，關於勒索軟體LockBit 3.0的攻擊流程，駭客多半以手動方式操作，透過Phorpiex下載、部署，能讓整個流程高度自動化，而鮮少需要人工介入，使得攻擊者能同時對更多目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168740"><strong style="font-size: 22px;">惡意軟體下載工具Phorpiex捲土重來，被用於散布LockBit 3.0勒索軟體</strong></a></p> <p>資安公司Cybereason發表威脅分析報告指出，老牌殭屍網路Phorpiex近期再度現身，並被觀察到成為散布LockBit 3.0勒索軟體的載體。Phorpiex在受感染主機上自動下載並執行LockBit勒索程式，無需駭客進行後續操作，由於該攻擊流程高度自動化，與傳統勒索攻擊仰賴人工作業的模式有所不同，因此受到關注。 </p> <p>Phorpiex又名Trik，自2010年起即活躍於各類攻擊活動，最早是以垃圾郵件推送及挖礦行為為主，近年則被用於交付惡意程式。根據Cybereason觀察，該工具近來技術變動不大，甚至仍保留刪除Windows下載區域標記檔，以掩蓋惡意檔案真實來源的老舊行為。</p> <p>除了LockBit，Phorpiex也被用來投遞其他惡意程式，例如：TWIZT與GandCrab。TWIZT會透過捷徑檔觸發下載流程，並建立空白JPEG圖檔判斷是否重複感染，而散布GandCrab的版本則具備反偵測與關閉防毒的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lb infection flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lb%20infection%20flow.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168754"><strong style="font-size: 22px;">勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，該國否認遭駭</strong></a></p> <p>資安業者Comparitech上周五發現，勒索軟體駭客組織Rhysida在暗網貼文，聲稱攻擊秘魯政府的數位平臺，並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據（Gob.pe為祕魯政府數位平臺的網址），駭客宣稱已向祕魯政府要求在7日內支付5個比特幣，來換取資料不被外流。</p> <p>不過，祕魯政府否認此事。資安業者Venarix轉貼祕魯政府的聲明，他們宣稱該國數位平臺<a href="http://www.gob.pe">www.gob.pe</a>並未遭入侵或遭破壞，所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體流傳關於<a href="http://www.gob.pe">www.gob.pe</a>網域被劫持的訊息，並不準確。所謂的資安事件，實際上是發生於<a href="http://www.satp.gob.pe">www.satp.gob.pe</a>網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p><a href="https://www.ithome.com.tw/news/168637"><strong style="font-size: 22px;">電子商務平臺WooCommerce管理員遭鎖定，駭客佯稱網站有漏洞從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51 PM-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51%E2%80%AFPM-1.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定Magento、WooCommerce等電子商城平臺的攻擊行動不時傳出，其中最常見的入侵手法之一，就是利用零時差漏洞或已知漏洞而能得逞，但也有駭客反其道而行，佯稱電商網站有資安弱點為由，從事網釣攻擊。</p> <p>例如，資安業者Patchstack提出警告，他們發現專門針對WooCommerce網站管理員的大規模釣魚攻擊，駭客聲稱經過他們的掃描，網站有重大層級的資安漏洞，這項漏洞能被用於未經授權的狀態下，以管理者身分入侵網站，若是不處理，攻擊者就能竊取網站敏感的使用者資料，包含客戶資訊、訂單細節，以及付款方式的內容。駭客甚至恐嚇管理者，該漏洞可能會導致未經授權的付款，甚至讓網站失去控制。</p> <p>駭客建議網站管理者要儘速依照指示操作，從他們的網站下載修補程式，並以WordPress外掛程式的形式上傳、安裝，然後啟用，網站才會得到保護。然而，上述的一切，都是與駭客聲稱、卻不實際存在的假漏洞有關，一旦網站管理者照做，駭客就會透過後門與新建立的管理員帳號，來入侵受害網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-bring-your-own-installer-edr-bypass-used-in-ransomware-attack/">勒索軟體Babuk繞過EDR防護出現新手法，利用合法安裝程式達到目的</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/venom-spider-phishing-scheme">駭客組織Venom Spider冒充求職者，鎖定人力資源部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/npm-malware-crypto-wallets-mongodb-turkey-code/">惡意NPM套件鎖定CryptoJS用戶而來，企圖竊取加密貨幣錢包、MongoDB資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168751"><strong style="font-size: 22px;">PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險</strong></a></p> <p>PHP開源專案ADOdb上周釋出5.22.9版，以修補CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337為SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞，起因是最近想要強化對白盒的了解，於是他開始探索靜態分析安全測試（SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及客戶關係管理專案VtigerCRM。沒想到，Marco Nappi在Moodle或VtigerCRM都找到相同的SQL注入漏洞，進一步檢查才確認，該漏洞其實隱藏在ADOdb元件。</p> <p><a href="https://www.ithome.com.tw/news/168640"><strong style="font-size: 22px;">圖像化資料分析平臺Grafana出現高風險權限繞過漏洞</strong></a></p> <p>圖像化資料分析平臺Grafana發布安全更新，修正多項資安漏洞。其中，高風險漏洞CVE-2025-3260影響Grafana 11.6.0以上的版本，允許具Viewer或Editor角色的使用者繞過儀表板與資料夾的權限設定，查看、編輯或刪除組織內所有儀表板。當系統啟用匿名認證，且匿名用戶被指派為Viewer或Editor角色，未登入使用者也可能無需授權即可操作組織內所有儀表板。</p> <p>根據官方說明，該漏洞發生於新開發的/apis/dashboard.grafana.app/系列端點，在權限檢查邏輯上存在缺陷，影響所有啟用該API的部署環境。雖然組織隔離機制仍然有效，不同組織之間的資料不會因此洩漏，但單一組織內的權限防護卻會失效。該漏洞CVSS評分為8.3屬高風險等級，建議用戶盡速升級至11.6.0+security-01版本或同分支修補版本，即便使用者無法立即升級，也應以網路層封鎖特定API路徑因應。</p> <p><a href="https://www.ithome.com.tw/news/168650"><strong style="font-size: 22px;">研究人員公布使用Linux io_uring迴避偵測的手法</strong></a></p> <p>資安廠商Armo研究人員公布針對Linux的Rootkit，利用Linux提高效能的專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享緩衝區來大幅減低因複製產生的系統額外的資源消耗（overhead），加速I/O執行。</p> <p>但Armo研究人員發現，io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。基於io_uring的安全疑慮，Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援，Docker也預設不支援io_uring；Linux基金會也提供全系統關閉的方法。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/android-security-bulletin-may-2025-multi-vulnerabilities-including-actively-exploited-cve-2025-27363/">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/unauthenticated-dos-vulnerability-crashes-windows-deployment-services-no-patch/">Windows部署服務存在DoS漏洞，攻擊者有機會遠端發動零點擊攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> </div></div></div>
2025/5/6 11:20作者周峻佑https://www.ithome.com.tw/news/168762
Google可能正在開發類似三星Dex的Android桌機模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.androidauthority.com/android-desktop-mode-leak-3550321/" target="_blank">網路媒體Android Authority發現</a>，Google可能正在開發類似三星Dex一樣，以手機App模擬桌機介面的功能，但正式名稱不確定。</p> <p><a href="https://www.samsung.com/tw/support/apps-services/what-is-samsung-dex/" target="_blank">Dex</a>為三星獨有的控制功能，允許用戶將三星行動裝置（如Galaxy智慧手機或平板）連接至外部顯示器（電視或顯示器），讓用戶在更大螢幕上使用所有手機／平板上所有App、文件、檔案或操作所有設定。但它不像螢幕鏡像（screen mirroring）一樣限制手機上的操作；使用Dex用戶可以同時開啟多個App，例如將球賽投影到電視，一邊開啟瀏覽器上網，同時在Galaxy手機上回覆郵件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-samsung-dex.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p><a href="https://www.androidauthority.com/android-desktop-view-3533755/" target="_blank">Android Authority三月時在Android 16 的測試版本中</a>，發現名為Desktop View的功能位於開發人員功能選項中。該功能類似Dex，但是無法在Pixel手機開啟。</p> <p>媒體記者近日測試Android 16 Beta 4，Desktop View功能已可在Pixel手機上開啟，但是介面描述文字改為Desktop Windowing，顯示可能改名。</p> <p><a href="https://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank">根據記者的示範影片</a>，連接Google最新Pixel手機和電腦螢幕，即可在螢幕下方顯示類似Windows工作列的App行列，允許用戶利用滑鼠像是操作電腦一樣操作手機，也能在多個App間彼此切換或拖曳內容。</p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20DeX%20by%20Android%20Authority.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Android Authority</span></span></a></p> <p>但從本功能開發尚不完整來判斷，Android Authority相信可能不會在秋天隨同Android 16推出，而是在之後的Android 16季度更新甚至Android 17上市。</p> </div></div></div>
2025/5/6 09:46作者林妍溱https://www.ithome.com.tw/news/168757
NotebookLM升級Gemini 2.5 Flash，行動版App即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 受歡迎的NotebookLM原本只能從網頁存取，本周預告即將在5月20日釋出Android及iOS版App，將升級使用最新的Gemini 2.5 Flash模型。</p> <p>現在<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.labs.language.tailwind">Google Play Store</a>和<a href="https://apps.apple.com/us/app/notebooklm/id6737527615">蘋果App Store</a>分別顯示NotebookLM應用程式。Play Store說明App即將推出，但是App Store說明預計5月20日釋出。用戶按下「預先註冊」鍵後，等正式版釋出後會獲得下載App的通知。</p> <p>NotebookLM可將用戶上傳的PDF、純文字文件或是貼上來源網址的文章摘要重點，並允許用戶以聊天機器人介面輸入詢問問題。而其中的語音摘要（Audio Overview）功能還能將摘要重點製作成類似Podcast的AI人聲對話，並允許用戶和「AI主持人」互動。NotebookLM去年12月升級使用Gemini 2.0 Flash，</p> <p>上周<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/notebooklm-audio-overviews-50-langauges/">Google台灣宣佈</a>，NtotebookLM中的語音摘要功能將使用Gemini 2.5 Pro。<a href="https://x.com/NotebookLM/status/1918412708426244589">Google已證實</a> 最新的NotebookLM App 將升級使用Gemini 2.5 Flash，該模型是更輕巧、更快速的思維模型，針對複雜及多步驟推理問題，用戶將能看到更完整的答案。</p> <p>這對於許多國家期待NotebookLM的用戶會是雙喜臨門。上周Google<a href="https://www.ithome.com.tw/news/168671NotebookLM">宣佈</a>語音摘要支援包含繁體中文在內的50種語言。</p> </div></div></div>
2025/5/5 14:03作者林妍溱https://www.ithome.com.tw/news/168736
蘋果違反法院的反托拉斯裁決，恐面臨刑事調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.1508.0_2.pdf" target="_blank">美國聯邦法院法官Yvonne Gonzalez Rogers周三（4/30）裁決</a>，蘋果故意違反了法院要求蘋果開放第三方支付的命令，還有高階主管因此而作了偽證，要求展開刑事調查，並要蘋果限制作出改變。蘋果則說要針對此一判決提出上訴。</p> <p>此案始於2020年，當時Epic Games在iOS版與Android版的《要塞英雄》（Fortnite）遊戲中，自行加入了官方支付機制，以繞過App Store與Google Play的程式付費機制，同時遭到蘋果與Google將遊戲下架，促使Epic Games提出訴訟。美國聯邦法官在2021年9月作出裁決，要求蘋果不得強迫開發者使用蘋果支付，接著在2024年駁回蘋果的上訴，促使蘋果允許開發者於程式中嵌入外部連結，以採用其它支付機制。</p> <p>然而，法官發現蘋果故意違反上述禁令，並持續其反競爭行為。例如倘若使用者是從程式內連至外部網站完成交易，蘋果仍會向開發者收取27%的手續費，就算是在點擊連結之後的7天內才完成交易，依然必須支付27%手續費，該比例接近蘋果支付所收取的30%。</p> <p>此外，蘋果也限制了開發者與使用者之間的交流，例如當使用者要連往外部支付網站時，蘋果會跳出一個全螢幕的安全警告頁面；同時也僅允許開發者提供靜態的連結，不得針對用戶身分生成客製化的動態連結；亦禁止開發人員於程式中說明外部支付的折扣或付款方式。</p> <p>至於在作偽證的部分，蘋果財務副總裁Alex Roman向法官表示，上述的蘋果政策都是基於安全及用戶體驗的考量，然而，法院調查了蘋果的內部文件與郵件，卻發現蘋果高層討論的其實是「如何儘可能讓開發者少使用外部連結」，或是「如何設計新流程以維持原有的App Store收入」，認為Roman可能涉及藐視法庭或偽證罪，並指示檢察官展開調查。</p> <p>總之，Rogers要求蘋果在14天內必須提交一份全新的合規修正方案，警告蘋果若再採用「技術性遵守」手段來限制開發者，可能會面臨額外的強制命令或是懲罰性裁罰。</p> <p><a href="https://x.com/TimSweeneyEpic/status/1917716512347152499" target="_blank">Epic Games創辦人暨執行長Tim Sweeney指出</a>，若是蘋果願意把免費的蘋果稅框架部署至全球，那麼Epic Games下周就會把《要塞英雄》送回全球的App Store，並放棄所有相關的訴訟。</p> <p>有趣的是，與Epic Games站在同一陣線，亦不斷抨擊蘋果稅的Spotify也在該判決出爐的隔天<a href="https://newsroom.spotify.com/2025-05-01/following-landmark-court-ruling-spotify-submits-new-app-update-to-apple-to-benefit-u-s-consumers/" target="_blank">就更新了App Store上的程式</a>，新程式將提供商品價格與促銷資訊，可直接點選購買連結，也能使用除了蘋果之外的各種支付選項，雖然此一更新仍待蘋果審核，但Spotify相信，本周的裁決意味著蘋果的改變應該要立即生效才是。</p> </div></div></div>
2025/5/2 16:33作者陳曉莉https://www.ithome.com.tw/news/168727
Meta推出獨立AI程式Meta AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/04/introducing-meta-ai-app-new-way-access-ai-assistant/" target="_blank">Meta周二（4/29）發表了</a>支援Android與iOS的獨立AI助理程式Meta AI，它奠基在Llama 4模型上，具備全新的探索消息（Discover Feed）社交功能，展示了全雙工（full-duplex）語音技術，並打算用它來取代Ray-Ban Meta智慧眼鏡目前所搭配的Meta View程式。</p> <p>Meta AI提供語音、文字及圖像生成能力，還能辨識物體，先前Meta便已將Meta AI功能整合到旗下的Facebook、Instagram、Messenger與WhatsApp等家族程式中，現在則讓它成為一個獨立程式。Meta AI目前支援十多種語言及逾40個市場，但尚未支援中文及臺灣市場。</p> <p>新一代的Meta AI改善了個人化能力，會記住使用者所分享的個人資料，所互動的內容，對話脈絡中的細節，以針對使用者的問題提供更個人化的回應。此外，新版的Meta AI嵌入了社交功能Discover Feed，允許使用者分享自己與AI的對話，供大眾或親友查看。</p> <p>Meta亦開始於Meta AI上展示全雙工語音技術。一般的語音助理屬於半雙工，必須等一方說完之後，另一方才能說話，全雙工則代表使用者可以在AI回答的途中插話，AI則可據此調整回應，類似人類的對話節奏。現在該功能仍處於展示階段，無法存取網頁或即時資訊。</p> <p>在2023年從<a href="https://www.ithome.com.tw/news/146641" target="_blank">Ray-Ban Stories</a>更名為Ray-Ban Meta的智慧眼鏡，是Meta與眼鏡集團Essilor Luxottica共同開發的雷朋智慧眼鏡，可用「Hey Meta」喚醒，可以問它天氣，搜尋資料，或是設定提醒，也能接電話或是利用語音來控制拍照及錄影，並將拍攝內容同步至Meta View程式，未來Meta View則會直接被Meta AI取代。Ray-Ban Meta的最低售價為299美元，<a href="https://www.ray-ban.com/usa/electronics/RW4006ray-ban%20%7C%20meta%20wayfarer-black/8056597769440" target="_blank">由於它看起來就像是普通的眼鏡</a>，因而持續存在著隱私爭議。</p> </div></div></div>
2025/4/30 11:13作者陳曉莉https://www.ithome.com.tw/news/168674
研究人員公布使用Linux io_uring躲避偵測的PoC Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/armosec/curing/blob/main/README.md" target="_blank">資安廠商Armo研究人員公布一款針對Linux的Rootkit</a>，可利用提高效能的Linux專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享buffer來大幅減低因複製buffer產生的系統overhead，加速I/O執行。</p> <p><a href="https://www.armosec.io/blog/io_uring-rootkit-bypasses-linux-security/" target="_blank">但Armo研究人員卻發現</a>io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。</p> <p>研究人員因而設計了一個概念驗證rootkit，名為Curing，<a href="https://github.com/armosec/curing/blob/main/README.md" target="_blank">並公開給安全社群及企業</a>。</p> <p>廠商表示，兩年來已經有多項研究示範如何利用io_uring繞過偵測機制，但大部份資安廠商尚未解決這個問題。根據研究人員的測試，Microsoft Defender、雲端Runtime監控產品Falco都因基於系統呼叫而無法偵測到Curing，Kubernetes原生監測工具Tetragon則需定義好政策才會發現到該rootkit。</p> <p>基於io_uring的安全疑慮，<a href="https://en.wikipedia.org/wiki/Io_uring" target="_blank">Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援</a>，Docker也預設不支援io_uring。<a href="https://www.phoronix.com/news/Linux-6.6-sysctl-IO_uring" target="_blank">Linux 6.6也提供全系統關閉的方法</a>。</p> </div></div></div>
2025/4/29 12:23作者林妍溱https://www.ithome.com.tw/news/168650
【資安日報】4月28日，SAP、Commvault修補風險達到10分的重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾天有多則CVSS資安風險達到10分的消息引起關注，這些包括了SAP NetWeaver的任意檔案上傳漏洞CVE-2025-31324、老牌備份軟體Commvault集中管理工具漏洞CVE-2025-34028、<a href="https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432">內容管理平臺Craft CMS漏洞CVE-2025-32432</a>，以及日前公布的<a href="https://www.ithome.com.tw/news/168538">Erlang/OTP SSH程式庫漏洞CVE-2025-32433</a>，思科確認<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Multiple%20Cisco%20Products%20Unauthenticated%20Remote%20Code%20Execution%20in%20Erlang/OTP%20SSH%20Server%26vs_k=1">旗下部分產品受到影響</a>。 </p> <p>其中最值得留意的部分，是資安業者ReliaQuest在調查資安事故發現的CVE-2025-31324，因為已被用於實際攻擊行動；此外，CVE-2025-34028也相當值得留意，因為近期勒索軟體鎖定備份軟體漏洞的情況，也有增加的趨勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168624"><strong style="font-size: 22px;">攻擊者藉Ivanti SSL VPN零時差漏洞，植入DslogdRAT滲透日本組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dslogdrat02-800wri.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dslogdrat02-800wri.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦緊急應變團隊暨協調中心（JPCERT/CC）近期通報指出，有攻擊者利用Ivanti Connect Secure裝置上已被發現的零時差漏洞CVE-2025-0282，對多家日本組織發動攻擊，成功植入DslogdRAT木馬程式與簡易Web Shell，持續控制受害者系統並展開後續滲透行動。這波攻擊主要發生於2024年12月前後，JPCERT/CC提醒企業加強防護，並持續監控Ivanti產品的異常行為。</p> <p>根據研究人員的分析，攻擊者首先在受害裝置上部署以Perl撰寫的Web Shell，該腳本在CGI環境運作，能讀取HTTP請求的Cookie標頭資訊，並驗證是否包含特定值。當驗證成功，Web Shell即可接收並執行攻擊者透過參數傳入的任意指令。由於Web Shell功能單純，研究人員推測攻擊者主要藉此建立遠端命令執行入口，以便下載及啟動DslogdRAT等後續惡意程式。</p> <p>附帶一提，研究人員也在同一受害系統上，發現名為SPAWNSNARE的惡意程式。SPAWNSNARE曾被CISA與Google揭露，不過，目前尚無法確認此次DslogdRAT攻擊行動，是否與先前操控SPAWN系列惡意程式的攻擊組織UNC5221直接相關。</p> <p><a href="https://www.ithome.com.tw/news/168626"><strong style="font-size: 22px;">安卓惡意軟體埋藏於地圖App，鎖定俄羅斯軍隊而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Android_Spy_1292_origin_telegram_group.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Android_Spy_1292_origin_telegram_group.png" style="width: 300px; float: right;" /></a></p> <p>俄羅斯資安業者Doctor Web發現，安卓地圖軟體Alpine Quest被植入木馬及間諜程式，可用來竊取受害者的地理位置與通訊錄，還能蒐集裝置上所存放的檔案資料，或是下載其他惡意程式，而且這波攻擊鎖定的對象是俄羅斯的前線戰士。Doctor Web說，Alpine Quest受到許多運動員、旅行者及獵人的喜愛，同時它也被俄羅斯軍人廣泛地在俄烏戰區使用，而這正是駭客的目標。</p> <p>駭客是在舊版的Alpine Quest軟體，嵌入Android.Spy.1292.origin間諜程式，然後建立假冒為Alpine Quest的Telegram頻道，宣稱要免費提供付費版產品，並將使用者導向俄羅斯的應用程式商店以進行下載。</p> <p>此惡意程式具備完整的Alpine Quest功能，使得它能夠蟄伏更久，每次啟用時，它就會蒐集裝置上的號碼、通訊錄、日期、位置及裝置上存放的檔案資訊等，並將它們上傳到駭客所控制的伺服器。</p> <p><a href="https://www.ithome.com.tw/news/168622"><strong style="font-size: 22px;">中國駭客組織IronHusky更新MysterySnail RAT，滲透蒙古與俄羅斯政府</strong></a></p> <p>資安廠商卡巴斯基發現，中國駭客組織IronHusky近期使用2021年曾曝光的後門程式MysterySnail RAT，針對蒙古與俄羅斯政府單位發動新一波網路攻擊。研究人員指出，攻擊者透過偽裝成蒙古政府公文的惡意MMC腳本，引導受害者下載並執行惡意載荷，進一步利用側載技術在系統部署中繼後門，以及更新版MysterySnail RAT。</p> <p>該攻擊活動涉及下載含有合法可執行檔CiscoCollabHost.exe、惡意程式庫CiscoSparkLauncher.dll的壓縮檔案，藉由合法程序載入惡意DLL，並以開源專案piping-server作為C2通訊中繼。為提升抵抗分析能力，後門通訊指令藏於外部加密檔案log\MYFC.log中，在執行時才解密讀取。</p> <p>研究人員進一步分析發現，中繼後門可下載並執行第二階段惡意程式，其中包含具備完整指令集的MysterySnail RAT。該RAT透過DLL挖空（Hollowing）技術，將加密於attach.dat的惡意酬載反射式載入（Reflective Loading），並以系統服務方式建立持久性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/">勒索軟體DragonForce東山再起，提供打手租用牟利</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/toymakers-playbook-cisco-talos-exposes-iab-tactics-leading-to-cactus-ransomware/">初始入侵管道掮客ToyMaker部署後門程式Lagtoy，為勒索軟體Cactus鋪路</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168625"><strong style="font-size: 22px;">SAP緊急修補允許非法上傳檔案的Netweaver安全漏洞，傳出已遭利用</strong></a></p> <p></p> <p>以開發企業資源管理（ERP）軟體聞名的德國廠商SAP，於4月24日緊急修補了CVSS風險評分高達10分的安全漏洞CVE-2025-31324，它允許駭客未經授權上傳並執行惡意程式，而且已經遭到駭客利用。該漏洞存在於SAP的應用程式伺服器SAP NetWeaver上。</p> <p>這項漏洞發現的緣由，是美國資安業者ReliaQuest在今年4月調查多起與SAP NetWeaver有關的安全事件，這些事故皆涉及未經授權的文件上傳及惡意檔案執行，同時發現駭客已經將許多JSP Web Shell上傳到可公開存取的目錄中。原本ReliaQuest團隊以為這是遠端檔案包含（Remote File Inclusion，RFI）漏洞作祟，但之後SAP卻證實它是個更嚴重的無限制檔案上傳漏洞，允許未經授權的駭客直接上傳任意檔案至受害系統。</p> <p>ReliaQuest在4月22日通報此事，隨後得到SAP確認，並發布緊急更新修補。</p> <p><a href="https://www.ithome.com.tw/news/168623"><strong style="font-size: 22px;">Commvault修補備份管理平臺，緩解遠端執行程式碼重大漏洞</strong></a></p> <p>當前最老牌備份軟體領導廠商、同時也是備份市場領導者之一的Commvault，於4月17日揭露影響旗下Command Center備份集中管理平臺的1項重大漏洞，並釋出修補。</p> <p>這項漏洞CVE-2025-34028是嚴重性達10分（原為9.0分，25日上修為10分）的重大漏洞，最初是由資安研究機構watchTowr研究人員Sonny Macdonald，於4月7日發現與通報，存在於Commvault用於備份環境集中管理的工具Command Center，可能導致未經身分驗證的遠端攻擊者執行任意程式碼，進而造成Command Center管理環境徹底受損。</p> <p>Commvault表示，這個漏洞只會影響其備份軟體11.38.0到11.38.19版的Innovation Release版本，而解決這個漏洞的方法，是升級到4月10日發布的11.38.20或11.38.25版。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/linux-io-uring-security-blindspot-allows-stealthy-rootkit-attacks/">Linux核心介面io_uring存在弱點，恐讓Rootkit在繞過資安系統偵測的情況下活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/craft-cms-rce-exploit-chain-used-in-zero-day-attacks-to-steal-data/">內容管理系統Craft CMS存在零時差漏洞，已有駭客用來從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/cisco-confirms-some-products-impacted-by-critical-erlang-otp-flaw/">思科確認部分產品受到10分Erlang/OTP重大漏洞影響</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168608"><strong>【4月25日】導致藍色當機畫面的RDP漏洞BlueKeep，再次出現利用活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168589"><strong>【4月24日】CISA傳出將停止使用Censys及VirusTotal</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168567"><strong>【4月23日】殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊</strong></a></p> </div></div></div>
2025/4/28 16:03作者周峻佑https://www.ithome.com.tw/news/168639
Jetpack Compose 1.8推出自動填寫支援並提升文字與動畫表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布Android原生UI工具包<a href="https://android-developers.googleblog.com/2025/04/whats-new-in-jetpack-compose-april-25.html">Jetpack Compose 1.8版本</a>，提供開發者多項實用改進。此次更新重點之一是新增表單自動填寫（Autofill）支援，讓使用者在輸入帳號、密碼和地址等資料時，能快速套用儲存資訊，降低手動輸入的負擔。Compose 1.8同時也強化了文字排版與動畫效果，進一步提升UI設計的靈活性與流暢度。</p> <p>在表單自動填寫功能上，開發者只需透過簡單設定，指定欄位內容類型，即可啟用系統自動帶出對應建議。資料儲存部分，當使用者離開頁面或提交表單時，系統會通知Autofill服務將新輸入的資訊儲存至裝置的Autofill資料庫，供日後快速填寫使用，資料管理與儲存則由Android系統的Autofill機制負責。</p> <p>文字顯示方面，Compose 1.8新增文字自動縮放功能（下圖），能依容器大小自動調整字體，並可設定字級範圍與變化間隔，讓版面更加自適應。本次更新新增單行文字溢出時的省略號位置設定，支援從開頭、中間或結尾插入省略號，提升文字顯示的可讀性與靈活度。此外，HTML格式的支援也擴展到項目符號清單，使動態文字排版更加豐富。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgZNR_Vyv757sb71bD4yNLcLxY-JuRaDtK-1vE8Hbxfe-nasbslviahELwDC8V_wntwKtuqmFL-DafdB_B4Jq_lLPAooAiQZKiUtU7uV2qFZCCOEC2h4jTqbZc3lRNfQwuVVqAguCOqvou1jvElCv2n42tzULYE9YbhgvbczY7cephNgc42gSgtwauujKY/w320-h320/helloworldautosize.gif" style="width: 320px;" /></p> <p>本次更新LookaheadScope升級為穩定版有助於提升動畫表現，並推出新的動畫工具，讓元件位置或尺寸變更時能自動產生順暢過渡效果，簡化過去需要自行設定動畫的流程。在效能改善部分，Compose 1.8以新推出的onLayoutRectChanged機制取代傳統定位方法，降低元件可視區域追蹤時的效能負擔，尤其適用於大量動態內容的場景如LazyColumn與LazyRow。</p> <p>官方也針對長期處於實驗狀態的API進行大幅精簡，從1.7版的172項縮減至1.8版的70項，使Jetpack Compose朝向更高穩定性與企業適用性前進。同時，先前推出但不夠理想的ContextualFlowRow與ContextualFlowColumn元件已被棄用，開發者如有需求可暫時自行實作，Google預計在之後提供更完善的替代方案。</p> </div></div></div>
2025/4/28 15:16作者李建興https://www.ithome.com.tw/news/168636
Android間諜程式鎖定俄羅斯前線軍人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.drweb.com/show/?i=15006&lng=en&c=5" target="_blank">俄羅斯資安業者Doctor Web上周發現</a>，有一款Android地圖軟體Alpine Quest被植入木馬&間諜程式，可用來竊取受害者的地理位置與通訊錄，還能蒐集裝置上所存放的檔案資料，或是下載其它惡意程式，鎖定的是俄羅斯的前線戰士。</p> <p><a href="https://alpinequest.net/" target="_blank">Alpine Quest是款專供戶外活動使用的地圖軟體</a>，不管是旅行、跑步、追蹤、狩獵或航海等；它可以線上使用，也能離線使用，或是存取SD記憶卡上的地圖；藉由裝置的上的GPS及磁性感測器，可即時定位使用者的位置；或是儲存與檢索地標，並與友人分享。它提供免費版與付費版，付費版具備高品質地形顯示，可讀取不同格式的離線地圖，能處理複雜且帶有時間戳的地標，能夠儲存與分享線上位置，並可匯出軌跡，售價為14.99歐元。</p> <p>Doctor Web說，Alpine Quest受到許多運動員、旅行者及獵人的喜愛，同時它也被俄羅斯軍人廣泛地在俄烏戰區使用，而這正是駭客的目標。</p> <p>調查發現，駭客是在舊版的Alpine Quest軟體中嵌入Android.Spy.1292.origin間諜程式，然後建立了一個假冒為Alpine Quest的Telegram頻道，宣稱要免費提供付費版產品，並將使用者導向一個俄羅斯的應用程式商店以進行下載。</p> <p>因為這個木馬&間諜程式具備完整的Alpine Quest功能，使得它能夠蟄伏更久，每次啟用時，它就會蒐集裝置上的號碼、通訊錄、日期、位置及裝置上存放的檔案資訊等，並將它們上傳到駭客所控制的伺服器，且只要裝置的位置發生變化，該程式就會自動向駭客的Telegram機器人送出位置資料。</p> <p>分析顯示，Android.Spy.1292.origin間諜程式不僅可用來監控使用者位置，還能劫持機密檔案，或是下載新模組來拓展其功能。</p> <p>Doctor Web建議使用者最好只從可靠來源下載Android程式，而非透過可疑網站或Telegram頻道，特別是宣稱免費提供付費程式版本時。</p> </div></div></div>
2025/4/28 08:53作者陳曉莉https://www.ithome.com.tw/news/168626
Alphabet公布首季財報，AI Overviews每月用戶數突破15億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google母公司<a href="https://abc.xyz/assets/34/fa/ee06f3de4338b99acffc5c229d9f/2025q1-alphabet-earnings-release.pdf" target="_blank">Alphabet周四（4/24）公布今年第一季財報</a>，顯示該季Alphabet創下902億美元的營收，成長12%，營業利潤（Operating Income）為306億美元，成長20%，皆超越華爾街分析師預期，而讓Alphabet當天盤後股價上漲4.6%，股價揚升至168.9美元。</p> <p>在902億美元的營收中，有高達773億美元來自Google服務的貢獻，包括廣告、訂閱及硬體裝置，成長9.75%，另有123億美元源自Google Cloud，成長28%，僅有4.5億美元來自新創事業（Other Bets），還低於去年同期的4.95億美元。</p> <p>Alphabet執行長Sundar Pichai指出，該季成果反應出Alphabet各項業務的健全成長，而支撐此一成長的是該公司獨特的全方位AI架構，包括推出了最新的Gemini 2.5模型，AI Overviews的每月用戶數已超過15億，顯示使用者的參與度很高。此外，YouTube與雲端硬碟Google One的付費用戶數也已突破2.7億名。</p> <p>AI Overviews是在使用者搜尋時，由AI彙整網路上的重要資訊並提供連結，在2024年10月部署至包括臺灣在內的逾100個市場，同時嵌入了廣告。</p> <p>在AI的布局上，除了AI Overviews之外，<a href="https://www.ithome.com.tw/news/167889" target="_blank">Google也計畫</a>於今年以Gemini聊天機器人，取代行動裝置上的Google Assistant，代表Google的AI聊天機器人即將全面進駐Android行動裝置。</p> </div></div></div>
2025/4/25 11:40作者陳曉莉https://www.ithome.com.tw/news/168605
DevOps快報第3期：連設計工具Canva都推出AI開發，Docker將推MCP目錄服務，要打造安全易用的MCP生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/3/27～4/25 精選DevOps與開發新聞：</strong></p> <p><strong><span style="color:#0000FF;">#AI開發 #免程式碼工具</span><br /> 知名線上設計工具Canva也推AI開發工具，設計超好看的網頁不用寫程式碼</strong></p> <p>最近知名設計工具服務Canva發表了一款AI輔助程式開發工具Canva Code，可以依據使用文字提示指令或語音與AI對話，自動生成美觀畫面的程式碼，也提供了預覽面板功能，讓開發者可以進一步下達提示指令，一邊預覽一邊修改畫面，讓程式開發就像是設計互動式簡報內容般的簡單。目前Canva Code生成內容，無法直接編輯程式碼，只能下指令要求AI調整，但在設計完成發布後，就可以進一步手動修改、加入自己的程式碼。生成的網頁設計和程式碼可用於個人或商業使用。Canva免費和付費用戶都可使用。<br /> Canva Code就像是一款NoCode開發工具，開發者不用撰寫任何一行程式碼，就能設計初美觀好看的網頁。這款程式碼生成工具也會整合到原本的設計工具中，用AI生成程式碼的每一個元件，都可以整合到原本的Canva設計，可用於簡報、文件或是社群平臺發表格式或網頁，也能支援響應式網頁，支援桌面、行動和平臺環境的瀏覽環境。在Canva Code中也提供了多層保護機制，來確保AI生成的內容合宜和安全。</p> <p><strong><span style="color:#0000FF;">#Docker #地端模型開發</span><br /> 瞄準GAI地端開發測試需求，Docker桌面版新增AI模型執行工具</strong></p> <p>Docker桌面版在4月初釋出了4.40新版，最大特色是新增加了可以在本地端執行AI模型的Docker Model Runner外掛Beta版，目前先支援MacOS環境，未來將支援Windows環境。開發者可以在命令列執行一個AI模型，也能用來管理本地端的AI模型，還提供了互動式模式，可對所執行的AI模型下提示指令來互動。</p> <p>Docker希望提供更快更簡單的方式，讓開發者在本地端執行和測試AI模型。這個新外掛用llama.cpp提供了一個內建的推論引擎，可以用類似OpenAI API的方式來呼叫。開發者也可以呼叫蘋果晶片上的GPU加速器來執行推論引擎。Docker Model Runner會將模型打包成開放標準OCI Artifacts模型封裝格式，讓開發者透過原本管理容器的註冊表和工作流程，來派送或管控模型的版本。未來將可以整合到開發者自己的CI/CD流程，推送自製模型。</p> <p>Docker也和Google和HuggingFace平臺合作，讓開發者透過標準Docker命令列來存取這兩大平臺提供的本地部署模型。另外也和Dagger、Continue、Spring AI 和 VMware Tanzu等應用工具商合作，來確保用Model Runner打造的應用可以整合到既有開發流程和工具中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DockerRunModel.png" /></p> <p><strong><span style="color:#0000FF;">#MCP #目錄服務 #工具包</span><br /> 要讓MCP像容器一樣安全易用，Docker預告5月推出MCP目錄和工具包</strong></p> <p>最近Docker公司新任營運長Mark Cavage近日宣布，5月將推出MCP目錄和MCP工具包。他指出，MCP協定實際已成為AI代理串接各種工具的標準，可提供一套標準，來簡化複雜分散的代理運作方式，但是，他觀察，MCP還有四個不足，還沒達到正式生產環境可用的程度。</p> <p>第一個不足是，開發者需要一個值得信賴的集中式中心來發現工具，提供主要派送管道來源，第二項是應該預設容器化，降低相依性管理和複製封裝的阻力，第三是需要一套憑證管理機制，才能整合到現代化的開發流程，最後一點是要有一套資安基礎才能信任，像是建立沙盒，可稽核，可控管權限等。</p> <p>針對這四個不足，Docker預告將在五月推出Docker MCP目錄服務，可以提供一個可信的MCP工具發現來源，也能整合到Docker Hub。Docker和多家企業合作，像是支付業者Stripe、搜尋引擎Elastic、IoC平臺工具商Heroku和Pulumi、可觀測平臺Grafana Labs、API管理工具Kong、視覺化工具商Neo4j、可觀察性服務商New Relic、AI開發助手Continue.dev聯合，來打造一個安全且開放的MCP生態平臺，提供一套經過來源驗證的MCP工具包，將提供超過1百款工具，都會具有發布者驗證和版本發布管理功能。這些MCP工具將透過Docker目前所用的容器拉取下載架構來發布，也就是說，開發者可以用原本拉取Docker映像檔的方式，來取得經過官方驗證的MCP工具。 </p> <p><strong><span style="color:#0000FF;">#MCP #代理型AI開發</span><br /> OpenAI宣布支持MCP，掀起代理型AI應用整合新浪潮</strong></p> <p>隨著3月底，隨著OpenAI執行長Sam Altman宣布將支援Anthropic的代理AI溝通框架MCP後，讓MCP框架成了跨主流模型支援的AI開發框架。這也帶動了新一波代理型AI應用的開發浪潮。OpenAI的Agents SDK，可以使用各種MCP伺服器程式，提供工具給LLM模型呼叫之用。Agents SDK也支援快取功能，可以自動將MCP伺服器提供的一系列工具建立快取，來縮短下一次使用的延遲時間。另外，Agents SDK還內建追蹤機制，可以自動記錄MCP伺服器的每一個操作，包括了每一次呼叫MCP伺服器的呼叫行為，或是與MCP相關的函式呼叫資訊，都會來下紀錄，以供後續的稽核之用。</p> <p><strong><span style="color:#0000FF;">#蘋果 #Swift版本管理</span><br /> 蘋果正式推出Swift版本管理工具Swiftly 1.0，不用XCode也能建立開發環境</strong></p> <p>Swiftly 1.0是第一個由蘋果官方支援的Swift版本管理工具，可支援macOS與多種Linux發行版，可以讓開發者能以簡單的命令在本機安裝多版本Swift，並以.swift-version設定檔統一團隊開發使用的版本，減少版本不一致產生的錯誤與部署問題。可透過指令自動更新，並支援切換不同版本的工具鏈，包括穩定版本、歷史版本與Nightly Snapshot版本，開發者無需依賴Xcode即可取得最新Swift版本，特別適用於獨立開發與測試應用場景。Swift團隊指出，Swiftly未來將成為非Xcode環境安裝Swift的標準方式，目前支援的Linux發行版包括Ubuntu、Debian、Fedora、RHEL與Amazon Linux。</p> <p><strong><span style="color:#0000FF;">#安全左移 #行動開發</span><br /> Android Studio加強安全左移措施，撰寫程式碼同時自動合規檢查</strong></p> <p>Google針對Android與Google Play生態系統推出多項強化措施，涵蓋開發工具、API更新與政策支援，藉由更新平臺安全機制，逐步推進安全設計前移，並簡化政策法遵的落實流程。Android Studio也開始導入與政策法遵相關的即時通知機制，當開發者在編寫程式碼階段違反特定規定時，系統將即時提醒，讓修正作業能前移至更早期的開發階段。而Play Console中擴充預先檢查功能，新增對隱私權政策連結與登入憑證要求的檢查項目，接下來一年將持續擴大適用範圍，要讓開發者在提交應用程式之前就先發現潛在問題。另外，開發者用Play Integrity API每日進行超過5億次風險檢查，減少了8成的未授權使用，未來將增強隱私保護設計。</p> <p><strong><span style="color:#0000FF;">#AI除錯 #AI代理開發</span><br /> 開發除錯有新幫手，微軟公布抓蟲AI工具</strong></p> <p>微軟近日公布一款可以幫開發人員除錯（debug）的AI工具Debug-gym，這是一個輕量代理人開發環境，可以讓企業開發除錯LLM代理人，這樣的代理AI可以用互動式除錯工具，如預設的python debugger（pdb），以積極尋找進一步除錯資訊。透過工具獲得的回饋，Debug-gym擴展代理人的行為和觀察面，使之設定斷點、導覽程式碼、列印變項值，或建立測試函式，甚至改寫程式碼。程式代理人研究、生成新的除錯建議，最後交由人類判斷及核准。在交付之前，這些除錯方法可在相關codebase、程式執行和文件脈絡下進行grounding，而不只是依據訓練資料憑空設想的方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%99%A4%E9%8C%AF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" /></p> <p><strong><span style="color:#0000FF;">#AI代理開發 #MCP #A2A</span><br /> 微軟AI代理開發框架Semantic Kernel兩頭押寶，雙雙支援MCP和A2A協定</strong></p> <p>微軟開源人工智慧代理開發框架Semantic Kernel，現已支援來自Anthropic與Google的兩項開放協定，分別是MCP（Model Context Protocol）與A2A（Agent‑to‑Agent），進一步強化跨代理上下文共用、工具協作與跨雲環境的互通能力。透過這兩項協定的整合，開發者不僅能在本地與遠端串接多個語言模型、工具與代理，也能實現跨平臺、跨生態的模組化任務委派與功能組合，進一步簡化多代理系統的建構流程。</p> <p>Semantic Kernel對MCP支援相對完整，涵蓋客戶端與伺服器角色的能力，但對Google剛發表的A2A協定，則只完成了初步整合，微軟提供的整合範例中，建置了一個旅遊代理，能根據任務類型動態路由至匯率查詢代理，或行程規畫代理，並透過A2A的Agent Card機制進行自動探索與任務派送。微軟也預告將持續擴充整合腳本，包含Azure AI Foundry與Semantic Kernel的整合範例，供開發者參考建構彈性多雲環境人工智慧代理應用。</p> <p><strong><span style="color:#0000FF;">#MCP #GitHub #VSCode</span><br /> GitHub也加入MCP生態圈，開發套件支援MCP還釋出自家MCP伺服器</strong></p> <p>最近GitHub Copilot正式推出AI代理模式（Agent Mode），可以自動迭代修改程式碼與修正錯誤，也開始能支援MCP，使AI能在存取外部系統及工具時，具備更多開發專案的情境知識。不只如此，GitHub還開源釋出了MCP伺服器程式碼，開發者能將MCP伺服器部署於自家環境，來存取GitHub上資源，打造AI代理工作流程。他們還宣布正式推出Copilot code review AI代理，以及讓開發者可以不斷按Tab來自動完成程式碼的Next edit suggestions功能。</p> <p><strong><span style="color:#0000FF;">#C++開發 #AI開發輔助 #地端LLM</span><br /> 老牌C++框架Qt升級AI開發助理，開始能支援本地LLM模型</strong></p> <p>知名C++開發框架維護公司Qt釋出Qt人工智慧助理0.9版本，正式支援本地部署大型語言模型，支援本地執行的兩款開源大型語言模型，分別是CodeLlama‑7B‑QML與DeepSeekCoder v2 Lite，開發者可透過Ollama架構在個人電腦上執行推論，無須仰賴雲端API，即可在本地進行程式碼完成（Code Completion）。另外也推出多項針對QML與C-->開發者的功能強化，包括即時文字串流顯示、Google Test測試碼自動產生與程式碼行內註解，進一步提升互動體驗與程式碼可維護性。新版助理需搭配Qt Creator 16.0.1使用，現已開放下載與更新。</p> <p><strong><span style="color:#0000FF;">#架站工具 #AI輔助開發</span><br /> WordPress.com發表AI工具，聊天機器人幾分鐘就能幫你架好網站</strong></p> <p>瞄準中小企業和自由創作者需求，網站代管平臺WordPress.com推出AI架站工具AI Website Builder，使用者在幾分鐘內就能建置一個新網站，完全不需要樣版，不需要撰寫程式碼，只要對聊天機器人聊，盡可能地詳述所需的網站，例如需要的是作品集網站、部落格或是商業網站，也能加進網站名稱，或是描述想要的風格，例如有趣、友善、簡約、優雅或任何的形容，並描述準備於網站發布的內容類型。<br /> AI會反問更多細節才開始建置，過程中會提供版面、顏色與字體的選擇，完成網站雛型，後續還能要求AI客製此網站的樣貌。目前購買WordPress.com代管服務的使用者，可輸入無限量的提示來客製化網站。</p> <p><strong><span style="color:#0000FF;">#程式碼開發代理 #OpenAI #本地開發</span><br /> OpenAI釋出命令列的程式碼代理工具Codex CLI，可存取本地端檔案來推理</strong></p> <p>隨著OpenAI o3與o4-mini推理模型的發表，OpenAI也開源了程式碼代理工具Codex CLI，這是個可安裝在開發人員電腦上的命令列介面（Command-line Interface，CLI），未來也可支援GPT‑4.1⁠等其它模型。開發人員能夠在自己的電腦上以自然語言與AI模型互動，以修改、執行或生成程式碼，所有的檔案讀寫及命令執行都在本地完成，僅將提示、脈絡與選用的差異摘要發送至模型進行生成，採用Apache-2.0開源授權。不過，因為它連結的是付費的OpenAI模型，因此設定時需要具備一個付費的OpenAI API帳戶。</p> <p><strong><span style="color:#0000FF;">#Ruby開發 #Java</span><br /> JRuby十年大改版，第10版跳版支援到最新的Ruby 3.4</strong></p> <p>JRuby是一個以Java實作的Ruby執行環境，讓Ruby應用能進入企業級部署場景。第10版最重要的升級是將Ruby相容性從3.1版直接跨越到3.4版，不僅完整導入了Ruby 3.2、3.3與3.4的語言特性，也通過Ruby官方測試套件的完整檢驗，超過5,000項Ruby官方核心類別測試，共190萬項斷言（Assertion），未出現任何錯誤與失敗，是JRuby歷來新版本發表中最完整的一次相容性更新。</p> <p>另一個重要升級是，JRuby 10結束長達十年的Java 8相容期，將最低需求調升至Java 21，來整合JVM近年新增的多項關鍵技術，包含Project Loom輕量執行緒、Project Panama的原生函式呼叫支援、AppCDS的類別快取技術等。新版JRuby的啟動延遲時間大幅縮短，也大幅改善長時間執行時的JIT最佳化行為。</p> <p><strong><span style="color:#0000FF;">#雲端開發工具 #AI輔助開發</span><br /> Firebase Studio開放預覽，結合AI助理與雲端IDE加速全端應用開發流程</strong></p> <p>Google推出全新雲端開發環境Firebase Studio，並開放預覽試用。在技術架構上，繼承了Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，具備完整的程式碼輔助、除錯工具與終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設應用架構是Next.js，也支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者能快速在Web應用中加入生成式人工智慧能力。另外，新開發工具特別針對人工智慧應用開發，加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Firebase%E7%95%AB%E9%9D%A2.png" /></p> <p><strong><span style="color:#0000FF;">#AI開發輔助 #法遵檢查</span><br /> GitLab 17.11擴充AI功能並強化法遵框架與控制項支援</strong></p> <p>GitLab釋出17.11版本，正式推出自訂法規遵循框架與全新法規要求設定機制，讓開發與資安團隊可依據組織所需遵守的標準與法規，精細定義稽核項目與對應控制項，強化內部法遵治理與審查透明度。法遵控制數量，從原本5項提升至超過50項，可自動檢查專案設定、合併請求規則與安全機制，支援SOC2、NIST、ISO 27001與GitLab CIS Benchmark等常見標準，並可於標準遵循報告中呈現與要求間的對應關係。此外，也可對應組織內部或GitLab平臺外部的控制項，統一於GitLab法遵中心呈現，用作法遵證據與稽核依據。</p> <p><strong>更多新聞</strong></p> <ul> <li>Fedora Linux 42正式釋出，採用最新發布的Linux 6.14核心</li> <li>Mozilla發布Rust 1.86新版，終於支援Trait物件向上轉型能力</li> </ul> <p>責任編輯：王宏仁<br /> 圖片來源：微軟，Google，Canva，Docker</p> </div></div></div>
2025/4/25 10:26作者王宏仁https://www.ithome.com.tw/news/168602
【資安日報】4月24日，CISA傳出將停止使用Censys及VirusTotal
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府大幅縮減行政預算的情況，其中網路安全暨基礎設施安全局（CISA）也受到影響，先是一度傳出廣泛受到全球資安界運用的「常見漏洞披露（CVE）」資料庫，他們將暫停委託MITRE維護，如今又有新的消息傳出。</p> <p>本週傳出CISA將停止採用部分資安工具，當中包含Censys威脅情報服務，以及惡意軟體分析平臺VirusTotal，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168543"><strong style="font-size: 22px;">謊稱美國政府效率部，勒索軟體Fog打著政府機構的名號犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dogebinary-fig12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dogebinary-fig12.png" style="width: 300px; float: right;" /></a>最近兩到三年，不斷有新的勒索軟體出現，這些駭客通常都在短短幾個月攻擊大量受害組織，從而得到資安圈的關注，但如今有新興的駭客團體打著美國政府團隊的名號，吸引研究人員的目光。</p> <p>趨勢科技近期發現勒索軟體Fog最新一波攻擊行動，他們一共在惡意軟體分析平臺VirusTotal看到9個惡意酬載，這些檔案上傳的時間介於3月27日至4月2日，一旦執行，受害電腦的檔案就會被加密，並將副檔名竄改成.flocked，然後留下勒索訊息。特別的是，研究人員發現駭客在勒索訊息當中，自稱是美國的政府效率部（Department of Government Efficiency，DOGE），由於3月底DOGE才有成員被起底疑似曾協助網路罪犯竊取資料，這樣的情況引起他們注意。</p> <p>針對攻擊行動發生的過程，趨勢科技指出駭客透過釣魚郵件接觸受害組織，信件挾帶聲稱是與調整薪資有關的LNK附件，一旦收信人開啟，電腦就會下載PowerShell指令碼stage1.ps1並執行，啟動多階段的攻擊流程，接收勒索軟體載入工具及其他的PowerShell指令碼。附帶一提的是，stage1.ps1還會在受害電腦開啟與政治有關的YouTube影片，但為何攻擊者這麼做，研究人員沒有說明。</p> <p><a href="https://www.ithome.com.tw/news/168562"><strong style="font-size: 22px;">安卓惡意軟體SuperCard X橫行，透過NFC中繼攻擊竊取信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68010820c5afb7539ca73e92_fig_3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68010820c5afb7539ca73e92_fig_3.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Cleafy揭露名為SuperCard X的安卓惡意軟體，能利用NFC中繼技術，偽造實體信用卡進行詐騙交易。這款惡意軟體採用惡意軟體即服務（MaaS）模式，具備低偵測率與即時資料傳輸能力，已在多起案例中被用於未經授權的POS消費與ATM提款。</p> <p>根據研究人員的分析，SuperCard X有兩個主要元件，其一是部署在受害者裝置上的Reader，以及安裝在攻擊者端的Tapper。Reader應用程式會在用戶授權NFC權限後，於背景中攔截卡片感應時傳輸的資料，並透過HTTP協定與C2伺服器進行通訊，將資料即時轉發至Tapper端。攻擊者可藉由Tapper應用模擬實體卡片，對POS或ATM進行交易操作，繞過實體卡驗證流程。</p> <p>此中繼攻擊的技術核心，與NFCGate開源專案有高度相似之處。研究團隊發現，SuperCard X與2024年ESET所揭露，曾於捷克出現的NGate惡意軟體，在程式碼與功能模組上重疊，推測SuperCard X可能沿用開源工具或前代惡意軟體進行包裝，並導入商業化平臺運營邏輯，使其具備模組化、帳號管理與區域部署的彈性。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181017&SPOKE_DATE=20250423&COMPANY_ID=6874"><strong style="font-size: 22px;">資服業者倍力資訊遭到網路攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/0_RwDo0lGJV3mySetT.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_RwDo0lGJV3mySetT.png" style="width: 300px; float: right;" /></a>4月23日晚間資訊服務業者倍力資訊發布資安重訊，表示他們的資訊系統遭到網路攻擊，事發當下立即啟動資安應變機制，清查受影響的系統。對於這起事故可能帶來的影響，該公司表示，他們正在清查，但目前對公司營運無重大影響。</p> <p>巧合的是，<a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%BF%AB%E8%A8%8A-nightspire-%E5%8B%92%E7%B4%A2%E6%94%BB%E6%93%8A%E5%86%8D%E5%8D%87%E6%BA%AB-%E5%8F%B0%E7%81%A3%E4%B8%8A%E5%B8%82%E8%B3%87%E6%9C%8D%E5%A4%A7%E5%BB%A0%E6%88%90%E6%96%B0%E7%9B%AE%E6%A8%99-%E6%8E%8C%E6%8F%A1%E9%A7%AD%E5%AE%A2%E6%88%B0%E8%A1%93%E8%88%87%E4%BC%81%E6%A5%AD%E9%98%B2%E7%B7%9A%E6%96%B0%E6%80%9D%E7%B6%AD-915eec34e7ed">資安業者竣盟科技指出</a>，日前對中壢長慎醫院發動攻擊的勒索軟體駭客組織NightSpire，聲稱在4月18日對上櫃資服業者下手，竊得300 GB資料，要脅若不理會將於26日外流。這項情報不禁讓人與倍力的事故產生聯想，然而，究竟該公司的事故是否就是NightSpire所為，仍有待釐清。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p> </p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/apt41-redgolf-infrastructure-briefly-exposed-fortinet-zero-days-targeted-shiseido/">中國駭客APT41有關的惡意程式伺服器曝光，駭客企圖針對日本知名公司下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/iran-linked-hackers-target-israel-with.html">伊朗駭客假借徵才名義發動攻擊，對以色列散布惡意軟體MurkyTour</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-army-targeted-by-new-android-malware-hidden-in-mapping-app/">安卓惡意軟體埋藏於地圖App，鎖定俄羅斯軍隊而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-abuse-zoom-remote-control-feature-for-crypto-theft-attacks/">Zoom遠端控制功能遭到濫用，駭客用於洗劫數位資產</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168581"><strong style="font-size: 22px;">華碩修補伺服器產品BMC元件的資安重大漏洞</strong></a></p> <p>今年3月，資安業者Eclypsium揭露American Megatrends（AMI）基板管理控制器（BMC）系統MegaRAC重大漏洞CVE-2024-54085，這項漏洞相當危險，CVSS風險評為10分（滿分10分），本週有設備製造商發布修補程式。</p> <p>4月23日華碩發布資安公告，指出他們為旗下4款主機板發布韌體，修補CVE-2024-54085，這些主機板的型號是：Pro WS W790E-SAGE SE、Pro WS W680M-ACE SE、Pro WS WRX90E-SAGE SE、Pro WS WRX80E-SAGE SE WIFI。</p> <p>對於這項弱點帶來的影響，攻擊者能藉由Redfish遠端管理介面或是BMC介面，於本機或遠端觸發漏洞，一旦成功利用漏洞，攻擊者就有機會遠端控制伺服器，並遠端部署惡意軟體、勒索軟體、竄改韌體，並造成主機板BMC或UEFI元件損壞，甚至讓伺服器硬體受損，或是無限循環地重開機，而且受害者無法阻止。</p> <p><a href="https://www.ithome.com.tw/news/168586"><strong style="font-size: 22px;">日本知名Web郵件系統Active! Mail爆重大漏洞，已出現攻擊導致服務中斷</strong></a></p> <p>日本企業與教育機構常用的Web電子郵件系統Active! Mail，爆出重大層級的資安漏洞CVE-2025-42599，已有攻擊者利用該漏洞發動攻擊，並造成多家主機代管服務商緊急中止服務。根據開發商Qualitia與JPCERT/CC公告指出，該漏洞為堆疊型緩衝區溢位，已確認有實際攻擊行為利用此弱點。</p> <p>受該漏洞事件影響，多家主機代管服務商如Wadax、Optage與Kagoya相繼公告暫停提供Active! Mail服務，並協助用戶以其他郵件客戶端因應。目前部分業者已恢復Active! Mail的系統運作，但仍有部分服務尚在修復中。</p> <p>Qualitia於4月16日釋出Active! Mail 6修補版本，對應修正已揭露的CVE-2025-42599漏洞，並指出已觀察到利用此漏洞的實際攻擊，CVSS評分為9.8，JPCERT將此事件列為2025年重要資安警示之一，顯示該漏洞已具備廣泛影響與高風險性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/redis-vulnerability-exposes-servers-to-denial-of-service-attacks/">記憶體資料庫Redis存在高風險漏洞，攻擊者有機會發動阻斷服務攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168563"><strong style="font-size: 22px;">CISA傳出將停止使用Censys及VirusTotal，恐波及美國政府資安防護能力</strong></a></p> <p>4月中旬傳出美國政府將終止MITRE的維護合約，此舉將影響廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案，導致停止運作，雖然後續美國網路安全暨基礎設施安全局（CISA）表示他們決定續約，CVE專案的維運暫時不致中斷，但如今傳出CISA將棄用部分資安工具，以縮減維運成本的情況。</p> <p>根據新聞網站Nextgov、GBHackers On Security、Cyber Security News等媒體報導，有兩名知情人士取得CISA內部4月16日對旗下超過500名員工發出的信件，信中提到他們已在3月底停止採用Censys的威脅情報服務之後，接著將於4月20日停止使用知名的惡意軟體分析平臺VirusTotal，CISA正在尋求其他替代方案。針對這項傳聞，CISA、Censys、Google皆拒絕發表評論。</p> <p>其中一名知情人士透露，另外兩家資安承包商Nightwing、Peraton正在歸還公務電話，這樣的情況也與另一家新聞網站Axios於4月初報導相符，他們指出CISA正在縮減這兩家承包商的工作人員。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168567"><strong>【4月23日】殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168545"><strong>【4月22日】中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168530"><strong>【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動</strong></a></p> </div></div></div>
2025/4/24 16:16作者周峻佑https://www.ithome.com.tw/news/168589
Android惡意軟體SuperCard X透過NFC中繼攻擊竊取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cleafy<a href="https://www.cleafy.com/cleafy-labs/supercardx-exposing-chinese-speaker-maas-for-nfc-relay-fraud-operation">揭露</a>一款名為SuperCard X的Android惡意軟體，能利用NFC中繼技術，偽造實體信用卡進行詐騙交易。這款惡意軟體採用惡意軟體即服務（MaaS）模式，具備低偵測率與即時資料傳輸能力，已在多起案例中被用於未經授權的POS消費與ATM提款。</p> <p>根據研究人員的分析，SuperCard X有兩個主要元件，其一是部署在受害者裝置上的Reader，以及安裝在攻擊者端的Tapper。Reader應用程式會在用戶授權NFC權限後，於背景中攔截卡片感應時傳輸的資料，並透過HTTP協定與C2伺服器進行通訊，將資料即時轉發至Tapper端。攻擊者可藉由Tapper應用模擬實體卡片，對POS或ATM進行交易操作，繞過實體卡驗證流程。</p> <p>此一中繼攻擊的技術核心，與NFCGate開源專案有高度相似之處。研究團隊發現SuperCard X與2024年ESET所揭露，曾於捷克出現的NGate惡意軟體，在程式碼與功能模組上重疊，推測SuperCard X可能沿用開源工具或前代惡意軟體進行包裝，並導入商業化平臺運營邏輯，使其具備模組化、帳號管理與區域部署的彈性。</p> <p>攻擊者通常先透過SMS或即時通訊軟體發送銀行警告訊息，引導受害者撥打指定電話，進一步在電話交談，誘導受害者透露PIN碼或解除卡片交易限制。隨後，受害者會在攻擊者指示下，安裝看似安全工具的惡意應用程式，也就是Reader模組本體。安裝完成後，攻擊者便會要求受害者將信用卡靠近手機，藉此完成卡片資料的擷取。</p> <p>由於SuperCard X主程式所請求的Android權限，僅包含NFC存取與標準網路存取權限，未使用如SMS攔截、螢幕疊加等典型銀行木馬常見的高風險權限，使得現有的防毒產品難以偵測其惡意行為。該應用甚至採用mTLS進行C2連線的雙向認證，防堵未授權裝置或研究人員分析通訊內容。</p> <p>研究人員指出，SuperCard X在不同地區出現多種客製化版本，例如義大利版本移除登入頁面的註冊功能，改由攻擊者事先建立帳號並提供給受害者使用，以降低操作難度並簡化詐騙流程。此外，新版中也刪除了原本導向Telegram頻道的資訊，顯示該惡意軟體已進入更成熟的運作階段，具備規模化部署與更強的反偵查能力。</p> </div></div></div>
2025/4/23 20:25作者李建興https://www.ithome.com.tw/news/168562
OpenAI出席Google反壟斷案聽證會，透露有興趣買下自Google拆分的Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院本周開始衡量Google搜尋違反反托拉斯法令的補救措施，並傳喚了OpenAI的ChatGPT負責人Nick Turley，根據<a href="https://www.bloomberg.com/news/articles/2025-04-22/chatgpt-chief-calls-search-crucial-for-openai-in-google-trial" target="_blank">彭博社（Bloomberg）</a>與<a href="https://www.reuters.com/sustainability/boards-policy-regulation/google-contemplated-exclusive-gemini-ai-deals-with-android-makers-2025-04-22/" target="_blank">路透社（Reuters）</a>的報導，Turley作證時除了表示曾經企圖與Google搜尋合作，但遭拒絕之外，<a href="https://www.bloomberg.com/news/articles/2025-04-22/openai-would-buy-google-s-chrome-browser-chatgpt-chief-says" target="_blank">也說要是法院要求Google拆分Chrome，OpenAI也有興趣購買</a>。</p> <p>美國法院是在去年8月判決Google利用不當手段維持搜尋引擎的壟斷地位，提告的美國司法部還建議了幾項補救措施，包括要求Google剝離對Chrome的控制權，必要時亦應考慮剝離Android，以邊際成本向競爭對手提供搜尋索引，以及禁止Google與第三方簽署排他性合約等。</p> <p>Turley在法庭上表示，該公司從未只想建立簡單的ChatGPT，而是想要打造一個可以協助使用者完成任務的超級助手，然而，由於大型語言模型缺乏最新資訊且容易產生幻覺，或是在不知道時編造錯誤的答案，因此非常需要搜尋引擎功能。</p> <p>這使得OpenAI於2024年初開始打造自己的搜尋索引，卻發現它窒礙難行，於是在同年8月向Google求助，希望能存取Google搜尋索引，因為Google曾與Meta AI訂定類似的合約。Turley說，Google在口頭上拒絕了OpenAI，但未曾以書面回應。</p> <p>OpenAI與Google之間屬於潛在的競爭對手，OpenAI企圖建立自己的搜尋索引，而Google則極力發展自家的AI搜尋。根據市場調查機構Statcounter的數據，<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">Google搜尋市占率在今年首度跌破90%</a>，儘管Statcounter並未把OpenAI視為Google搜尋的競爭對手，但另一家專門提供SEO服務的數位行銷業者<a href="https://www.highervisibility.com/seo/learn/how-people-search/" target="_blank">HigherVisibility針對1,500名美國人的調查發現</a>，已有高達71.5%的受訪者會使用ChatGPT等AI工具進行搜尋，但大部分是用來補充傳統搜尋引擎，而非取代，目前以AI來搜尋的頻率還不是太高。</p> <p>另一方面，司法部建議Google可以剝離Chrome，以避免Google利用市占率居冠的自家瀏覽器來推廣自家搜尋引擎。Turley則說，萬一法院要求Google拆分Chrome，那麼OpenAI將有興趣買下Chrome，而且不只是OpenAI，應該還有其它業者也想要Chrome。</p> <p>Turley認為，如果可以將ChatGPT整合到Chrome中，將可帶來非常難以置信的體驗，這使得OpenAI有能力向使用者介紹以AI為優先的體驗，解決散布ChatGPT的難題。</p> <p><a href="https://gs.statcounter.com/browser-market-share" target="_blank">Statcounter的數據顯示</a>，Chrome瀏覽器的市占率為66.2%，遙遙領先第二名Safari的17.6%，以及第三名Microsoft Edge的5.2%。</p> </div></div></div>
2025/4/23 13:03作者陳曉莉https://www.ithome.com.tw/news/168558
【資安日報】4月22日，中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼勒索軟體駭客組織CrazyHunter攻擊馬偕和彰基，有駭客組織也加入行列，對臺灣中大型醫院發動攻擊，而引起全臺高度關注。</p> <p>根據國內多家媒體報導，駭客組織NightSpire攻擊中壢長慎醫院，並聲稱竊得大量病歷資料，由於長慎醫院是老年專科醫院，專門照顧洗腎、糖尿病等慢性病患者，一旦資料外流，不光是病人隱私曝光，還有可能影響連續就醫的記錄，干擾醫生的診斷。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168544"><strong style="font-size: 22px;">中壢長慎醫院傳出遭駭客組織NightSpire攻擊，駭客聲稱竊得800 GB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NightSpire-image-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NightSpire-image-7.png" style="width: 300px; float: right;" /></a></p> <p>今年2月、3月，勒索軟體駭客組織CrazyHunter傳出對馬偕、彰基發動攻擊，衛生福利部不排除駭客將系統性對全臺中大型醫院下手，如今傳出也有其他駭客加入攻擊醫院的行列。</p> <p>根據民視新聞網4月20日的報導，位於桃園中壢的老年專科醫院長慎醫院，於4月13日遭到駭客組織NightSpire攻擊，導致網路掛號、初診、醫師開處方箋等業務停擺。長慎醫院也在網站發出公告，表示電腦系統異常，他們暫停掛號並改為現場叫號，醫師手寫處方因應。後續21日中央社、聯合新聞網、壹蘋新聞網等多家媒體報導，衛生福利部資訊處長李建璋接受媒體採訪證實此事。</p> <p>今天資安業者竣盟科技也揭露他們的調查結果，駭客聲稱握有13萬張含有病徵及個資的醫療影像、10萬份電子病歷文件，以及數百萬筆實驗室、X光、CT、MRI的記錄。而對於駭客入侵的手法，竣盟科技認為很有可能透過釣魚郵件、社交工程，也不排除是利用尚未修補的已知漏洞得逞。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=225229&SPOKE_DATE=20250420&COMPANY_ID=6187"><strong style="font-size: 22px;">萬潤科技部分資訊系統遭受病毒攻擊</strong></a></p> <p></p> <p>專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技，於4月20日在股市公開觀測站發布資安重訊，表示有資訊系統遭受網路攻擊的情況，且病毒入侵部分主機與電腦。但對於駭客使用的病毒為何，該公司並未透露。</p> <p>針對這起事故可能帶來的影響，萬潤表示根據初步評估，對於公司營運無重大影響，沒有個資、機密或重要文件外流的跡象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/supercard-x-android-malware-use-stolen-cards-in-nfc-relay-attacks/">安卓惡意軟體SuperCard X透過NFC中繼攻擊竊取信用卡資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.security.com/threat-intelligence/billbug-china-espionage">中國駭客鎖定東南亞而來，透過防毒軟體元件載入作案工具</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/japan-warns-of-unauthorized-trades-hacked-accounts">日本警告挾持證券帳號攻擊升溫，駭客網路下單中國股票並洗劫數億美元資產</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/scallywag-ad-fraud-operation-generated-14-billion-ad-requests-per-day/">WordPress廣告詐欺外掛一天產生14億請求</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168537"><strong style="font-size: 22px;">深度學習框架PyTorch存在重大漏洞，恐被用於RCE攻擊</strong></a></p> <p>研究人員Ji'an Zhou在深度學習框架PyTorch發現重大層級的漏洞CVE-2025-32434，指出該框架在使用名為torch.load的功能，並搭配weights_only=True的功能參數載入模型的過程裡，他能夠突破安全防護機制並遠端執行任意程式碼（RCE），4.0版CVSS風險達到9.3分（滿分10分），相當危險。這項弱點影響去年10月發布的2.5.1版，PyTorch於今年1月推出的2.6.0版予以修補。</p> <p>如前所述，CVE-2025-32434的問題，在於特定功能的使用方式可能產生資安風險。Ji'an Zhou指出，照理來說，torch.load是底層資料載入工具，而weights_only=True是高階模型載入API的配置，通常不會一起使用，PyTorch的正式文件卻提及，開發者應同時使用兩者來降低相關資安風險，然而，這麼做，反而產生問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-21204-system-level-privilege-escalation-in-windows-update-stack-exposed-poc-released/">針對微軟4月例行更新修補的權限提升漏洞CVE-2025-21204，研究人員公布細節</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168534"><strong style="font-size: 22px;">Microsoft 365將預設關閉ActiveX</strong></a></p> <p>微軟4月中旬公告，基於安全考量，微軟將預設關閉Microsoft 365及Office 2024中的ActiveX。去年9月微軟決定預設關閉Office及M365應用程式中的ActiveX，但是還要用戶主動選擇。那時用戶需在「信任中心設定」頁中的ActiveX設定選項，選擇「以最小限制關閉所有控制項前提示我」。但微軟說，這設定可能讓攻擊者利用社交工程或惡意檔案濫用，而為惡意活動開了大門。新的預設設定可完全封鎖控制、降低惡意程式碼執行的風險。因此，用戶如果開啟包含ActiveX控制項的檔案，M365應用程式的上方就會顯示：「封鎖內容：本檔案內的ActiveX內容已經封鎖。」</p> <p>不過，只有在之前從未手動設定ActiveX設定的用戶會收到這通知。關閉ActiveX物件後，用戶就無法再和M365 ActiveX物件互動或新增物件。現有檔案的ActiveX物件則會呈現靜態圖像，但無法再使用。</p> <p><a href="https://www.ithome.com.tw/news/168481"><strong style="font-size: 22px;">後量子資安產業聯盟成立屆滿一年，數產署頒布專為臺灣設計的PQC遷移指引</strong></a></p> <p>去年臺灣資安大會上，數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC-CIA），目標是凝聚我國產官學研能量，確保臺灣具有後量子密碼準備（PQC Ready）的能力，同時加速後量子資安產業的發展，如今一年過去，該聯盟揭露最新成果。</p> <p>在2025 CYBERSEC臺灣資安大會第二天（4月16日），數產署與PQC-CIA聯盟在臺灣資安館展區宣布，正式發表我國首版《後量子密碼遷移指引》1.0版，目的是幫助對於PQC遷移毫無頭緒的臺灣企業組織，能有一套可依循的具體工作項目來展開行動。</p> <p>對於我國後量子產業發展，數位發展部數位產業署署長林俊秀指出，臺灣已經關注PQC議題多年，從學界到產業，現在國內已經有7家業者，投入後量子密碼實測，已有初期成果展現，並需要更多產業投入。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168530"><strong>【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> </div></div></div>
2025/4/22 17:11作者周峻佑https://www.ithome.com.tw/news/168545
法院開庭討論Google如何補救搜尋壟斷，結果將於夏季出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法官Amit Mehta本周一（4/21）開始主持一場預計持續數周的聽證會，以討論在判決Google的搜尋引擎違反壟斷法令之後，該公司將採取哪些補救措施，而美國司法部（DOJ）以一貫的態度認為，法官應該要求Google剝離旗下的Chrome瀏覽器。此一聽證會的結果可望於今年夏天出爐，而Google已經決定要就搜尋引擎違反托拉斯法一案提出上訴。</p> <p>此案是由美國司法部所提出，<a href="https://www.ithome.com.tw/news/164309" target="_blank">法院於去年8月判決</a>Google利用不當手段維持搜尋引擎的壟斷地位；司法部也控告Google的數位廣告技術違反壟斷法令，<a href="https://www.ithome.com.tw/news/168477" target="_blank">法院則在今年4月認定</a>Google供出版商銷售廣告的DoubleClick For Publishers（DFP），以及用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange（AdX）違法。</p> <p>對於Google搜尋的壟斷，美國司法部早<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">在去年11月</a>就遞交法院文件<a href="https://www.ithome.com.tw/news/166148" target="_blank">以提出建議</a>，包括禁止Google與第三方簽訂排他性合約，以避免排擠競爭對手；還要求Google剝離對Chrome的控制權，以及必要時亦應考慮剝離Android，以促進公平競爭。</p> <p>雖然違反壟斷法的是搜尋引擎，但司法部認為Google利用擁有主導地位的Chrome瀏覽器來優先推廣Google搜尋，同樣的，在行動平臺上具主導地位的Android也內建了Google搜尋，這些用來分發搜尋服務的平臺都是造成搜尋壟斷的關鍵角色。</p> <p>此外，司法部亦要求Google以邊際成本向競爭對手供應搜尋索引及用戶資料，以促進競爭；提高廣告效果的透明度，改善廣告商的控制權；以及禁止Google在新裝置上預裝自家的搜尋引擎，並應提供選擇視窗，以讓用戶選擇其它搜尋引擎；以及設立技術委員會來監督Google的遵循情況。</p> <p>由於本周司法部及Google就要在法庭上展開攻防，負責Google法規事務的副總裁Lee-Anne Mulholland前一天就公開<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-apr-2025/" target="_blank">說明了Google的立場</a>，闡明Google已經決定要對此案提出上訴，但在此之前，法院必須先決定有哪些補救措施。</p> <p>對於美國司法部的提議，Mulholland認為，人們使用Google是因為他們想用Google，而非被迫，當司法部逼迫瀏覽器或手機將預設值改為諸如Bing等其它搜尋服務時，人們將更不容易存取Google。</p> <p>此外，司法部認為Google搜尋的散布方式會提高價格並減緩創新，但裝置製造商或Firefox等瀏覽器業者其實仰賴從搜尋中所獲得的收入，取消相關收入將會增加手機成本，並妨礙使用者每天使用的瀏覽器。Mulholland也批評司法部的建議將迫使Google與名不見經傳的公司分享敏感的搜尋查詢，危及使用者的隱私。</p> <p>對於拆分Google耗費大量心力且免費提供的Chrome及Android，則可能會破壞這兩個平臺，同時傷害建立在這些平臺上的企業，Mulholland指出，若將Chrome與Android自Google的技術、安全及基礎設施剝離，不僅會帶來網路安全與國家安全風險，還會提高裝置成本。</p> <p>因此，<a href="https://blog.google/outreach-initiatives/public-policy/google-remedies-proposal-dec-2024/" target="_blank">Google提出了自家的建議</a>，認為應該讓瀏覽器業者自由選擇最適合的任何搜尋引擎，或是輪替所預設的搜尋引擎，而不應採用極端的補救措施。</p> </div></div></div>
2025/4/22 11:25作者陳曉莉https://www.ithome.com.tw/news/168536
群暉科技消費型NAS將限制使用第三方硬碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DIY用戶常自行買NAS系統在家備份，選擇自己要的硬碟品牌，但<a href="https://www.synology.com/en-eu/company/news/article/DACH_VL_plus/Synology%20is%20increasingly%20relying%20on%20its%20own%20ecosystem%20for%20upcoming%20Plus%20models" target="_blank">群暉科技（Synology）歐洲官網上周宣布</a>未來售出的家用及小型企業的網路附加儲存（Network-Attached Storage，NAS）Plus系列，只對自有品牌及經過認證的他牌硬碟才會提供自動韌體更新、資料去重複功能，<a href="http://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的說詞</a>，當時他們曾表示此政策不影響消費級與SMB產品。</p> <p>群暉科技上周表示，2025年出售的DiskStation Plus系列開始，只有自家硬碟及經過該公司驗證的第三方硬碟，才能相容NAS系列，且獲得全功能和完整支援，理由是使用自有品牌硬碟，能為自家NAS系列提高效能及穩定性。</p> <p>在新措施下，未來全volume的去重複（deduplication）、產品壽命分析、自動韌體更新都只提供給自有硬碟。群暉科技表示，透過自有NAS系統和硬碟的緊密整合，可減少相容性問題，提升系統穩定性和效能。韌體更新和安全修補釋出，則提高資料安全性。</p> <p><a href="https://www.androidcentral.com/heres-why-synology-switched-validated-disks-enterprise-nas-enclosures" target="_blank">群暉科技2021年開始</a>限制企業級NAS機種使用自家硬碟，當時承諾不會影響消費級及SMB產品DiskStation（現簡稱為DS）系列。不過那時該公司已大幅縮減可用的第三方硬碟機種。<a href="https://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的承諾</a>。</p> <p>根據<a href="https://www.synology.com/en-global/compatibility" target="_blank">群暉科技的產品相容清單</a>，部份DS產品只適用自家硬碟。</p> <p>目前，2024年以前出售的Plus，除了XS Plus系列與機架型機種以外都不受影響。但是群暉科技也表示，會持續推動現有Synology NAS系統搬移到新的Plus機種。值得注意的是，群暉科技說，現有相容或「未列相容清單」硬碟的使用，未來也可能會減縮，像是因使用不相容硬碟造成問題或故障時，致使無法建立儲存池，且無法獲得支援。這也暗示，可能舊機種用戶未來也將被迫改變硬碟品牌。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 編按 </span></span> <span style="color:#3366ff;">截至本文發布前，群暉科技臺灣官網並未公告上述產品政策異動，iThome今日（4/21）上午詢問群暉科技臺灣，官方回應重點摘要如下：</span></strong></p> <p><span style="color:#3366ff;"><strong>據客戶服務統計資料顯示，使用經 Synology 驗證硬碟，發生嚴重儲存相關問題的情況，較未經驗證硬碟低了 40%。Synology今年預計上市機種的硬碟相容性清單，皆可在各市場正式推出時，於 Synology 官方網站查詢最新資訊。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0421-%E7%BE%A4%E6%9A%89%E7%A7%91%E6%8A%80_%E8%87%BA%E7%81%A3.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-synology-taiwan(2).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/4/21 12:48作者林妍溱https://www.ithome.com.tw/news/168500
Google要求Android 15手機儲存容量不得小於32GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Android向來是追求性價比的用戶的手機平臺選擇，而低價手機往往提供相對小的儲存記憶體，但是Google為了提升使用體驗，近日調整Android 15智慧型手機的記憶體容量下限，要求不得少於32GB。</p> <p dir="ltr"><a href="https://www.androidauthority.com/android-15-minimum-storage-requirement-3543169/" target="_blank">Android Authority本周發現</a>Google一份針對搭載Android 15的智慧型手機及Google手機App的新版最低規格，這份規格包含在Google給手機品牌商及製造商的Google Mobile Services授權相關文件中。其中，安裝執行Android 15的智慧型手機，最低應具備32GB的快閃記憶體。而且，32GB中的75%必須配置給資料分區，後者主要儲存系統App及App資料、系統檔案，以及所有用戶App和檔案。</p> <p dir="ltr">在此之前，Android13、14的儲存容量要求是16GB，古早的Android 12則是8GB。</p> <p dir="ltr">如果手機製造商使用的是開源版的AOSP（Android Open Source Project），AOSP授權條款並沒有這規定，廠商也無需照辦。但如果手機廠商希望取得Google行動服務（Google Mobile Services,GMS），包括Google Maps、Gmail、YouTube等受歡迎的App，就必須和Google簽署GMS授權合約。未能滿足要求的手機就無法通過GMS驗證及取得Google Apps。</p> <p dir="ltr">報導指出，Google這項新規定是希望能改良低階Android裝置的使用體驗。更高的記憶體容量意謂用戶和手機業者都能安裝更多App，不過，這不代表儲存運算速度一定會更快，因為還要考慮手機搭載的eMMC儲存晶片效能夠不夠快。</p> <p dir="ltr">其他Android 15系統及功能要求包括：手機必須提供用戶選擇，使之得以分享聯絡資料在緊急通話時給緊急定位服務，這讓手機能將用戶所在位置提供給救援單位。新晶片組必須支援2D、3D圖形運算API Vulkan 1.3以上；提供ANGLE函式庫作為原生OpenGL ES驅動程式以外的選擇；最後，Android 15新授權規定要求RAM為2GB、3GB的手機必須啟用Android低記憶體優化才能獲得認證，RAM為4GB的Android 15手機今年未強制啟用優化，但可能下一代Android會開始要求。</p> </div></div></div>
2025/4/16 09:39作者林妍溱https://www.ithome.com.tw/news/168430
AI趨勢周報第271期：Google揭新一代TPU、推跨平臺AI代理協定A2A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0406～0410）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A2A </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭新一代TPU、推跨平臺AI代理協定A2A</strong></span></p> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，除了有專為推理模型設計的新一代<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">TPU處理器Ironwood</a>，還祭出可支援AI代理跨平臺協作的<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定</a>。</p> <p>其中，Ironwood是Google第七代張量處理器（TPU），專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，其每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載。再來，有別於用一套標準將模型、資料和工具連結起來的MCP協定，Google推出Agent-to-Agent協定（簡稱A2A），開發者可用來打造高互通性的代理。也就是說，只要是按A2A協定開發的AI代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/TPUv7_Inline_TPUComparison_v3.width-1000.format-webp.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Amazon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nova Sonic </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Amazon推出Nova Sonic語音轉語音模型 </strong></span></p> <p>一如去年12月AWS:reInvent年會中預告的，Amazon最近終於推出全新基礎模型Amazon Nova Sonic，將語音理解和語音生成整合在單一的模型中，來實現語音轉語音。使用者可由AWS生成式AI服務Amazon Bedrock上的API使用，來簡化語音應用開發流程，例如客戶服務通話自動化，或是打造旅遊、教育、醫療、娛樂等領域的跨產業AI代理（AI agents）。</p> <p>進一步來說，傳統的語音應用模型，並非單一模型，而是由多個模型組成，比如將語音轉為文字的語音辨識模型、理解並生成回應的大型語言模型（LLM）、將文字再轉為音訊的文字轉語音模型等。這種方法不僅增加開發的複雜性，也難以保留自然對話中重要的聲音情境和細微差別，如語氣、語調韻律和說話風格等。</p> <p>不過，Nova Sonic採不同方法，將語義理解和語音生成功能，整合在單一模型中，讓模型能根據語氣、風格等聲音情境和口語輸入，來調整語音回覆，達到更自然的對話。比如，當模型捕捉到潛在的客戶語氣，從興奮轉為擔憂費用時，AI的語音回覆更具安撫性，並能即時提價格資訊。<a href="https://aws.amazon.com/blogs/aws/introducing-amazon-nova-sonic-human-like-voice-conversations-for-generative-ai-applications/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發環境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新推行動開發環境Firebase Studio，用自然語言就能開發</strong></span></p> <p>Google最近在旗下行動與Web應用開發平臺Firebase中，新推雲端開發環境Firebase Studio，並開放預覽試用。該服務結合AI助理、雲端IDE和Firebase生態系多項開發工具，專門鎖定想快速打造AI應用或全端Web服務的開發者。Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、AI功能和無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合AI協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，包括完整的程式碼輔助、除錯工具和終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者快速在Web應用中加入生成式AI能力。</p> <p>Firebase Studio還加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">（詳全文）</a></p> <p><img alt="" src="https://firebasestorage.googleapis.com/v0/b/first-class-blog.appspot.com/o/video%2Fstudio-canvas-ai-prompt.gif?alt=media&token=5336b9b8-1e1e-4ff1-a7ca-c84e7f785af9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI推論效能提高50%！IBM推出新一代大型主機z17</strong></span></p> <p>IBM揭露最新一代大型主機IBM z17，是經典Z系列的升級版，主打全面整合AI，範圍涵蓋硬體、軟體和作業系統，要讓企業能即時執行AI，提高營運效率和安全。進一步來說，IBM z17採用新一代 Telum II處理器，內建AI加速器，每天可執行4500億次推論、每次反應時間僅1毫秒，比前一代z16高出50%的AI推論運算量。z17的AI能力可應用於250多種情境，如風險評估、聊天機器人、醫學影像分析、零售防詐等。</p> <p>再來，該主機採用PCIe擴充卡IBM Spyre Accelerator（預計2025第四季推出），可強化z17的生成式AI能力，讓主機可直接執行AI助理、分析內部資料等工作。而且，新系統支援還多模態AI，可同時處理文字、圖像等不同形式的資料，另也整合IBM watsonx系列工具，包含程式助理和Z助手，可助開發者、IT團隊更快偵錯與維護系統。</p> <p>不只如此，在安全性方面，新主機還加入HashiCorp Vault技術，支援跨平臺密鑰與憑證管理，也支援AI自動偵測敏感資料功能，辨識潛在的網路攻擊。這臺z17預計在今年6月18日正式推出。<a href="https://newsroom.ibm.com/z17">（詳全文）</a></p> <p><img alt="" src="https://newsroom.ibm.com/image/New_IBM_z17_Mainframe_banner.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google瞄準AI代理，推出多款代理開發管理工具</strong></span></p> <p>在今年度Cloud Next大會中，Google揭露不少AI代理（Agent）工具，包括在自家AI開發平臺Vertex AI中，新添代理開發工具包<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/">Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行等工作，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。Google預計今年第三季提供ADK公開預覽版。另一項AI代理亮點是<a href="https://blog.google/feed/cloud-next-latest-features-google-agentspace/">Google Agentspace新功能</a>，企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。</p> <p>為顧及企業資料隱私需求，Google在原本的Google Distributed Cloud（GDC）平臺中，新支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供服務。此外，Google還打造<a href="https://console.cloud.google.com/marketplace/browse?filter=category:ai-agent&hl=en&invt=AbthNw">AI Agent Marketplace市集</a>，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的自動化流程工具<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results">Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。<a href="https://blog.google/products/google-cloud/next-2025/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聊天機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic也推200美元月費的個人版Claude方案</strong></span></p> <p>繼OpenAI推出月費高達200美元的Pro方案後，Anthropic日前也宣布，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。此前，Anthropic針對個人用戶，僅有免費方案和每人每月20美元（年費200美元）的Pro方案，免費用戶每天可傳送100則訊息，Pro可享有免費方案5倍用量，每5小時可傳送45則短訊息。</p> <p>Anthropic說Max方案適合與Claude大量對話的用戶，可用來改進作品、分析大量文件和複雜資料。Max又分成2種級別，其中月費100美元的擴充用量方案，適合經常用Claude來執行多種任務的用戶，提供Pro 5倍用量上限。另一種是最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天用Claude執行重要任務的用戶。<a href="https://www.anthropic.com/news/max-plan">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia揭露新模型，效能超越DeepSeek R1</strong></span></p> <p>Nvidia最近開源Llama-3.1-Nemotron-Ultra-253B-v1模型，號稱效能與DeepSeek R1相當，但只有一半的參數量。進一步來說，這款模型是Nvidia三月宣布的Llama Nemotron系列模型之一，這一系列共有Nano、Super和Ultra三個版本，其中8B參數的Nano可在PC和邊緣裝置執行、49B參數的Super可在單一GPU上執行，253B參數的Ultra則需要多顆GPU執行，其中Nano、Super已經開源。</p> <p>最新發布的Llama-3.1-Nemotron-Ultra以Meta Llama-3.1-405B-Instruct為基礎，可支援128K字詞的上下文長度，能兼顧模型準確性和執行效率。因為，Nvidia用新的神經架構搜尋（NAS）技術，來降低3.1 Ultra所需的記憶體，可支援大型工作負載並減少執行模型需要的GPU數量。此外，Nvidia也用這個方法垂直壓縮本模型，大幅改善延遲性。</p> <p>Llama-3.1-Nemotron-Ultra現已提供商用，可在Hugging Face下載。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、RAG和其他AI應用，不過，模型主要支援程式語言和英文，以及德、法、義、葡、西語、泰語、北印度語等。<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-ultra-253b-v1/modelcard">（詳全文）</a></p> <p><img alt="" src="https://assets.ngc.nvidia.com/products/api-catalog/llama-3_1-nemotron-ultra-253b-v1/accuracy_plot.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WordPress </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站架設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風格 </span></strong></span></p> <p><span style="font-size:22px;"><strong>WordPress.com推出AI工具架網站</strong></span></p> <p>Automattic旗下網站代管平臺WordPress.com最近提供AI Website Builder網站架設工具，使用者在幾分鐘內就能打造一個新網站，不需樣版，也不需寫程式，只要用自然語言告訴它需要什麼風格或網站用途，就能快速生成。</p> <p>使用者進入AI Website Builder後，可在聊天對話框中盡可能詳述網站需求，例如是要展示作品集、部落格還是商業網站，另也能加進網站名稱或描述想要的風格，比如有趣、簡約、優雅等。接著系統開始建置網站，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後，使用者還能給提示，讓AI工具客製化網站樣貌，例如新增社交媒體圖示等。<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/">（詳全文）</a></p> <p><img alt="" src="https://en-blog.files.wordpress.com/2025/04/wordpress-ai-website-builder.jpg?w=1600&h=1000&crop=1" /></p> <p>圖片來源／Google、IBM、Amazon、Nvidia、WordPress.com</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. GitHub Copilot正式推出AI代理模式</strong></p> <p><strong>2. Midjourney測試最新一代圖片生成模型V7 </strong></p> <p><strong>3. 歐盟啟動「AI大陸行動計畫」，要趕上美、中AI建設</strong></p> <p>資料來源：iThome整理，2025年4月</p> </div></div></div>
2025/4/12 19:57作者王若樸https://www.ithome.com.tw/news/168407
Firebase Studio開放預覽，結合AI助理與雲端IDE加速全端應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下行動與Web應用開發平臺Firebase，宣布推出全新雲端開發環境<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">Firebase Studio</a>，並開放預覽試用。該服務結合人工智慧助理、雲端IDE與Firebase生態系多項開發工具，鎖定希望快速打造人工智慧應用或全端Web服務的開發者，進一步擴大Firebase在應用開發領域的產品版圖。</p> <p>Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、人工智慧功能與無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合人工智慧協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，具備完整的程式碼輔助、除錯工具與終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者能快速在Web應用中加入生成式人工智慧能力。</p> <p>Firebase Studio特別針對人工智慧應用開發，加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。</p> <p>Firebase Studio提供CodeOSS編輯環境，讓熟悉程式碼操作的開發者可自由編輯專案。完成開發後，開發者可透過Firebase App Hosting，將Web應用快速部署至Firebase平臺，系統自動處理建置、CDN快取與伺服器端算繪，並能即時產生可供手機或其他裝置掃描測試的QR code，方便進行行動裝置上的介面與功能驗證。</p> <p>Firebase Studio針對Web應用與人工智慧應用場景，適合開發行動裝置可瀏覽的PWA應用或企業內部工具，並提供可擴充的虛擬機器環境，支援Nix語言自訂套件與環境配置。開發者也可匯入本機或GitHub、GitLab、Bitbucket等平臺的既有程式碼，並共享自訂模板供團隊使用。</p> <p>Google表示，Firebase Studio預覽版開放所有開發者免費使用3個Workspace，Google Developer Program會員可使用10個，付費的Premium會員則可使用30個。部分進階服務如Firebase App Hosting部署則需綁定Google雲端帳單。Google同時預告，未來將陸續開放Gemini Code Assist代理功能，支援程式碼搬遷、人工智慧模型測試與自動文件生成，進一步強化人工智慧輔助開發的能力。</p> </div></div></div>
2025/4/11 14:20作者李建興https://www.ithome.com.tw/news/168371
Google宣布強化安全、IP防護的Gemini in Android Studio for Business
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google在Cloud Next 2025大會上<a href="https://android-developers.googleblog.com/2025/04/gemini-in-android-studio-for-business.html" target="_blank">宣布企業用Gemini in Android Studio for Business</a>，協助企業開發Android應用程式，強調對安全及智財的防護。</p> <p dir="ltr">Gemini in Android Studio for Business是專為企業開發設計，提供和Gemini in Android Studio同樣的功能，但更強化隱私、安全和管理功能。在Android應用程式開發方面，和一般版相同，Gemini in Android Studio for Business提供從程式碼撰寫、重構（refactoring）到文件紀錄整個過程的協助。</p> <p dir="ltr">要使用Gemini in Android Studio for Business，開發人員和管理員必須具備Gemini Code Assist標準版或企業版訂閱。Google Cloud管理員則可購買訂閱，並從Google Cloud管理介面，直接將授權指派給同公司的開發人員。</p> <p dir="ltr">在安全方面，Gemini in Android Studio for Business具備Google Cloud內建的安全功能，例如Private Google Access、VPC（virtual private cloud）Service Controls以及具備精細控管的企業存取控管。Google說，使用Gemini Code Assist訂閱服務，可幫助企業滿足SOC 1/2/3、ISO/IEC 27001（資安管理）、27017（雲端安全）、27018（PII保護）及27701（隱私資訊管理）等安全標準的要求。</p> <p dir="ltr">具有Code Assist企業授權的開發人員可獲得客製化效益，他們可以將GitHub、GitLab或BitBucket程式庫（包括本地部署的系統程式碼）連結到Gemini in Android Studio，使Gemini了解開發團隊常用的classes和methods，而提供滿足公司政策或最佳典範（best practice）的程式碼、程式碼建議、和對話回應，不需要開發人員額外花時間整合公司偏好的開發框架。</p> <p dir="ltr">Google還為Gemini in Android Studio for Business提供智財權賠償（<span style="box-sizing: inherit; font-size: x-large;">I</span>P indemnification），即若企業因使用了Gemini提供的程式碼遭第三方業者控告侵權，Google可代為賠償。</p> <p dir="ltr">最後，Google強調，不會使用Gemini in Android Studio for Business內所傳輸的客戶程式碼、輸入內容或建議，來訓練Google任何共用模型。當中涉及的智慧產權都歸企業所有，Google不會儲存任何程式碼。</p> </div></div></div>
2025/4/11 10:23作者林妍溱https://www.ithome.com.tw/news/168359
Google Gemini 2.5 Pro Experimental開始支援Deep Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/deep-research-gemini-2-5-pro-experimental/" target="_blank">Google周二（4/8）宣布</a>，已於<a href="https://www.ithome.com.tw/news/168176" target="_blank">3月底發表</a>的Gemini 2.5 Pro Experimental最新模型中支援個人AI研究助理 Deep Research，可供所有Gemini Advanced訂閱用戶使用。</p> <p>Deep Research在去年12月<a href="https://www.ithome.com.tw/news/166493" target="_blank">首度亮相</a>，為Gemini模型的第一個代理人工具，在使用者輸入問題之後，它會先建立一個多步驟的研究計畫，使用者可變更或批准該計畫，確定後Deep Research就能代表使用者深入分析來自網路的相關資訊，例如分析競爭對手的產品，展開盡職調查，了解特定的主題，或是比較不同的產品。並在今年2月開始<a href="https://blog.google/feed/deep-research-gemini-mobile/" target="_blank">支援Android及iOS平臺</a>。</p> <p>除了Google之外，<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>、<a href="https://www.ithome.com.tw/news/167399" target="_blank">Perplexity AI</a>及<a href="https://www.ithome.com.tw/news/168263" target="_blank">微軟</a>，也都紛紛在今年於旗下的AI模型中提供Deep Research。</p> <p>本周Google比較了Gemini與OpenAI的Deep Research，並由人類使用者負責評分，發現Gemini版本的Deep Research不管是在指令遵循，全面性，完整性，以及撰寫品質上的表現，都明顯優於OpenAI。</p> </div></div></div>
2025/4/9 11:41作者陳曉莉https://www.ithome.com.tw/news/168320
Google發布4月份安卓例行更新，修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月7日Google<a href="https://source.android.com/docs/security/bulletin/2025-04-01?hl=zh-tw">發布本月安卓例行更新</a>，總共修補62個資安漏洞，值得留意的是，他們提及有兩個漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53150">CVE-2024-53150</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53197">CVE-2024-53197</a>，出現局部、針對特定目標進行濫用的跡象。</p> <p>上述兩項漏洞最早是去年12月揭露，存在於Linux核心，CVSS風險評分都達到7.8分，屬高風險層級漏洞。</p> <p>其中，權限提升漏洞CVE-2024-53197特別引起注意，因為這正是傳出<a href="https://securitylab.amnesty.org/latest/2025/02/cellebrite-zero-day-exploit-used-to-target-phone-of-serbian-student-activist/">去年12月被塞爾維亞警方濫用</a>的其中一項漏洞，揭露此事的國際特赦組織（Amnesty International）指出，當時塞爾維亞警方利用數位鑑識業者Cellebrite的工具，觸發3項零時差漏洞，企圖解鎖社運人士的手機。附帶一提的是，另外兩項被串連的資安漏洞CVE-2024-53104、CVE-2024-50302，Google先後於<a href="https://www.ithome.com.tw/news/167218">2月</a>、<a href="https://www.ithome.com.tw/news/167657">3月</a>完成修補。</p> <p>另一項已遭利用的漏洞CVE-2024-53150，存在於USB元件，屬於資訊洩露類型的漏洞，但攻擊者如何運用在實際攻擊行動，有待研究人員進一步公布相關資訊。</p> </div></div></div>
2025/4/8 17:29作者周峻佑https://www.ithome.com.tw/news/168301
微軟Copilot新增Deep Research、網頁搜尋等代理人功能、Vision推向桌機/手機版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2025/04/04/your-ai-companion/" target="_blank">微軟上星期公布Copilot AI助理新增多項代理人功能</a>，包括深度研究（Deep Research）與搜尋、購物能力，並且具備為使用者執行多種任務。而幫用戶讀取螢幕內容的Copilot Vision也推向了Windows和行動版本。</p> <p dir="ltr">微軟AI部門主管Mustafa Suleyman在微軟上周慶祝50周年時，宣布一系列Copilot功能。</p> <p dir="ltr">Copilot Vision的電腦視覺能力可理解用戶正在讀取的螢幕內容，聽取使用者指令動作。去年10月公布時只整合於Edge瀏覽器中，現在正式推向Windows版及手機Copilot應用程式。Windows版Copilot可操作多種應用程式、瀏覽器分析和檔案，能讀取文件，解答用戶問題、翻譯、摘錄重點，提供分析洞見，或是搜尋、變更設定、組織檔案、協同專案作業，完全不需開關檔案或切換不同應用程式。而在手機上，Copilot Vision可以利用手機相機「看」周遭環境，或是分析手機串流的視訊或儲存的相片。例如用戶可以讓它判斷一下眼前的植物健康狀態，以及建議如何照護，或是掃視辦公室環境請它建議如何裝飾。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-microsoft%20copilot-Copilot%20Vision.png" style="width: 548px;" /></p> <p dir="ltr">現在Copilot Vision將先推給測試方案Insiders用戶，之後逐步推向更多用戶。手機版Vision將部署到iOS及Android版Copilot App。</p> <p dir="ltr">微軟也為Copilot AI助理加入多項代理人功能，包括當前最夯的Deep Research、Copilot Search in Bing、podcast等。一如Google Gemini、OpenAI ChatGPT，Copilot的Deep Research也可執行多步驟搜尋計畫，搜尋網上來源及大量文件與圖片，來完成複雜的研究任務。Copilot Search in Bing搜尋整合了傳統搜尋及生成式搜尋，Bing會交叉比對多個網站提供更完整的回答，加入引用來源及進一步搜尋建議。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-microsoft%20copilot-deep%20research-600.png" style="width: 600px;" /></p> <p dir="ltr">此外，現在Copilot也加入了類似Google NotebookLM中的Audio Overview的功能，它能分析用戶提供的檔案或網站資訊，並生成個人化podcast，為用戶解釋主題，例如解說旅遊計畫、新的休閒活動、困難專案或學校作業。當用戶聽取podcast時還能持續和Copilot對話互動。</p> <p dir="ltr">其他代理人功能包括可幫用戶研究及比較購物選項、並提供建議的Shopping、及將混亂想法整理成有系統文件的Pages。Copilot也提供Actions幫用戶訂表演票、訂餐廳或上網下單，合作店家包括1-800-Flowers.com、Booking.com、Expedia、Kayak、OpenTable、Priceline、Tripadvisor、Skyscanner、Viator和Vrbo。</p> <p dir="ltr">微軟強調，隨著用戶和Copilot互動愈久，它會愈了解用戶喜好而提供更精準而個人化的協助。該公司預告正在開發一項Google、OpenAI等其他大廠沒有的個人化功能，允許用戶選擇Copilot外觀，如動物、水果或其他擬人化造型。</p> <p dir="ltr"> </p> <hr /> <p> </p> </div></div></div>
2025/4/7 09:52作者林妍溱https://www.ithome.com.tw/news/168263
【資安日報】4月3日，刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往捉拿犯案的勒索軟體駭客組織，我們多半聽聞歐美國家偵辦、主導這類執法行動的消息，但如今臺灣也針對這類駭客的調查有新的突破，找出攻擊者的真實身分。</p> <p>刑事警察局宣布找到接連攻擊臺灣醫院、上市櫃公司的駭客CrazyHunter真實身分，掌握明確的犯罪事證，地檢署也對這名駭客發布通輯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168224"><strong style="font-size: 22px;">接連攻擊臺灣醫院企業的CrazyHunter現形，主嫌身分為20歲中國籍羅姓駭客</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CrazyHunter.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CrazyHunter.png" style="width: 300px; float: right;" /></a></p> <p>臺灣這兩個月接連發生遭CrazyHunter勒索軟體攻擊的事件，從2月馬偕醫院、3月彰基醫院受害以來，接續又有國內多家上市櫃公司遇害，由於這些攻擊專門鎖定臺灣攻擊，情況相當嚴峻。4月2日刑事警察局宣布他們有了新的突破，首次揭露了勒索軟體攻擊的幕後真兇。</p> <p>刑事警察局科技犯罪防制中心主任林建隆在記者會上表示，自2月6日馬偕紀念醫院遭攻擊並報案後，他們聯合刑警大隊科技偵查隊成立專案小組偵辦，如今調查出犯嫌是一名20歲的中國浙江籍羅姓駭客。林建隆強調，地檢署現已發布通緝，顯示偵查結果已掌握明確的犯罪事證。此外，這次能夠發布通緝的另一大關鍵，就是成功追查出嫌犯的真實年籍資料。</p> <p>由於攻擊者位於境外，後續警方將依據《海峽兩岸共同打擊犯罪及司法互助協議》，尋求中國的協助追查。只是，能否真的跨國逮捕歸案需要運氣，但不可否認的是，相比過去勒索軟體犯罪的偵辦，總是由歐美國家主導，臺灣警方能以專業技術更清楚辨識出幕後攻擊的真實身分，可堪稱是全球勒索軟體防護上的一大突破。</p> <p><a href="https://www.ithome.com.tw/news/168179"><strong style="font-size: 22px;">WordPress外掛程式資料夾成網路攻擊溫床！網站被植入惡意程式及垃圾內容</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/webshell.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/webshell.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Sucuri於2月中旬揭露新型態的WordPress網站攻擊行動，駭客鎖定Must-Use Plugins（mu-plugins）外掛程式資料夾而來，藉此在網站植入後門程式，以便遠端執行惡意程式碼，如今相關攻擊規模再度擴大，駭客濫用上述外掛程式來埋入更多惡意軟體，並進一步對網站使用者發動攻擊。</p> <p>研究人員發現，駭客濫用部署這類外掛程式的資料夾wp-content/mu-plugins/，置入惡意程式碼，他們一共看到3種型態的攻擊行動。</p> <p>其中一種是假借提供更新的名義，將網站使用者重新導向外部網站的惡意軟體攻擊。第2種則是在網站植入Web Shell，使得攻擊者能夠執行任意程式碼，從而近乎完全控制整個網站。最後一種是注入垃圾內容的工具，駭客利用指令碼在網站裡注入垃圾內容，從而用來提升搜尋引擎最佳化（SEO）排名，或是從事詐欺行為。</p> <p><a href="https://www.ithome.com.tw/news/168221"><strong style="font-size: 22px;">NPM老套件久未維護成攻擊破口，淪為資訊竊取惡意工具</strong></a></p> <p>DevOps廠商Sonatype揭露一系列長年存在於NPM儲存庫中的加密貨幣相關套件，其最新版本被惡意竄改，內含用以竊取環境變數等敏感資訊的混淆腳本。受影響的套件部分存在時間已超過9年，由於這些舊有開源專案未積極維護，便成為攻擊者鎖定的攻擊入口。</p> <p>Sonatype資安研究人員分析，涉及的套件涵蓋區塊鏈SDK、使用者介面函式庫、開發工具組態與型別定義等，常見於加密貨幣與Web3應用開發的模組。其中country-currency-map套件的下載量更累積達近29萬次，近期上架的2.1.8版本即為被植入惡意程式碼的版本。該套件5年來未曾更新，其GitHub原始碼儲存庫也無異動紀錄，卻在近日於NPM上出現新版，說明攻擊並未透過原始碼貢獻流程，而是直接操控NPM發布權限。</p> <p>值得注意的是，本次事件涉及多個維護者不同、用途不一的套件，卻在相近時間內陸續出現異常版本，研究人員推測可能與NPM帳號遭重用密碼攻擊，或網域過期遭他人接管有關。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/shelby-malware-abuses-github-for-control-and-data-theft/">惡意軟體Shelby鎖定中東而來，透過GitHub接收命令、外傳竊得資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/koiloader-reloaded-new-variant-uses-lnk-abuse-script-chains-and-powershell-to-deliver-stealer-payload/">惡意軟體載入工具KoiLoader透過LNK檔案散布，藉由PowerShell傳遞竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/microsoft-teams-vishing-deploy-malware-via-teamviewer/">駭客組織Storm-1811利用微軟Teams訊息及語音網釣發動攻擊，藉由TeamViewer部署惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/irans-mois-linked-apt34-spies-allies-iraq-yemen">伊朗駭客MuddyWater鎖定盟國伊拉克、葉門從事網路間諜活動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168218"><strong style="font-size: 22px;">Canon印表機存在重大層級漏洞，攻擊者有機會用以執行任意程式碼</strong></a></p> <p>3月28日Canon發布安全公告，警告多款多功能事務機及雷射印表機驅動程式存在重大風險漏洞，可能讓攻擊者執行任意程式碼。</p> <p>本波安全更新修補的漏洞CVE-2025-1268為一EMF Recode處理過程中的越界漏洞。EMF Recode是微軟在Windows 11 加入的圖形渲染與性能優化技術，特別是在EMF（Enhanced Metafile）格式的處理上。這項漏洞可能造成用戶無法列印，而如果為惡意應用程式存取了列印功能，可能允許攻擊者執行任意程式碼。</p> <p>CVE-2025-1268 CVSS風險值達9.4，屬重大風險。受CVE-2025-1268漏洞影響的Canon驅動程式包括V3.12版以前的PCL6、PS、UFR II LIPS4及LIPSLX，適用機器涵括數款大型、小型多功能事務機及雷射印表機。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/vyos-and-debian-systems-vulnerable-to-man-in-the-middle-attacks-cve-2025-30095/">網路作業系統VyOS存在中間人攻擊漏洞，以Debain為基礎的作業系統也可能曝險</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168168"><strong style="font-size: 22px;">Google推動安全機制前移，Android程式碼撰寫階段即啟動政策違規提醒</strong></a></p> <p>Google針對Android與Google Play生態系統宣布多項強化措施，涵蓋開發工具、API更新與政策支援，目標是協助開發者有效建構安全、可信任的應用程式環境，同時防堵詐騙與惡意行為。Google藉由更新平臺安全機制，逐步推進安全設計前移，並簡化政策法遵的落實流程。</p> <p>該公司在Play Console中擴充預先檢查功能，新增對隱私權政策連結與登入憑證要求的檢查項目，接下來一年將持續擴大適用範圍，要讓開發者在提交應用程式之前就先發現潛在問題。此外，Android Studio也開始導入與政策法遵相關的即時通知機制，當開發者在編寫程式碼階段違反特定規定時，系統將即時提醒，讓修正作業能前移至更早期的開發階段。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月2日】駭客聲稱握有28億筆X用戶詳細資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月1日】CrazyHunter勒索攻擊規模擴大，同時對同集團旗下3家公司出手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168171"><strong>【3月31日】安卓惡意軟體PJobRAT鎖定臺灣使用者而來</strong></a></p> <p> </p> </div></div></div>
2025/4/3 12:00作者周峻佑https://www.ithome.com.tw/news/168231
臺灣要有自己的醫療作業系統，衛福部資訊處揭3大關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電子病歷會不會有iPhone時代？」這是衛福部資訊處處長李建璋在衛福部部落格一篇文章中的大問，也是他給自己的課題。</p> <p>答案是肯定的。他認為：「當電子病歷系統如iOS一樣，讓所有應用程式以共同的標準，放入一個共享市集，」就會催生出各種醫療AI應用，使用者能選用適合自己的App，客製化工作環境，「電子病歷iPhone時代就會降臨。」</p> <p>這正是李建璋對臺灣未來智慧醫療的想像。為將這個願景轉換為現實，他上任後延續衛福部醫療IT改革方向，祭出3大基礎建設目標，包括「資料統一」、「規則統一」和「應用程式統一」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>目標1：資料統一</strong></span></span></p> <p>資料統一是要協助醫療院所導入國際醫療資料標準HL7 FHIR，透過這個「共通語言」來記錄電子病歷、降低資料互通門檻。李建璋自己是醫師出身，長年從醫經驗，讓他體會到臺灣電子病歷交換的困難。尤其醫療院所各自開發的電子病歷系統互不相容，每當病人轉診時，還是得靠燒錄光碟、影印資料等傳統方法，來將資料從A醫院轉至B醫院。</p> <p>而採用FHIR標準，可統一電子病歷架構，解決資料交換問題。有了這個基礎，還能進一步發展加值應用，比如以FHIR標準開發含有AI功能的健康管理App，加速智慧醫療的開發和導入。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>目標2：規則統一</strong></span></span></p> <p>再來，「規則統一」是要採用臨床品質語言HL7 CQL，來達到健保申報規則和評鑑標準的統一。因為，FHIR只定義框架，就像規範每張病歷的組成區塊，但區塊中的欄位內容，得靠CQL定義。</p> <p>CQL是一套國際標準程式語言，它包含醫療概念和文法，其設計非常直覺、很好上手。衛福部計畫用CQL編寫健保申報規則，並將這些規則放置於國家規則圖書館（Rule Library，類似代碼庫）中，供醫界取用。</p> <p>如此，每當健保申報規則修改時，比如出現新適應症，或像COVID-19疫情間新藥和規範推陳出新，醫院IT就不必再趕工修改申報程式，直接從規則圖書館下載更新即可。目前，衛福部委託執行的次世代數位醫療平臺辦公室團隊，已建置了50條健保申報規則。</p> <p>有了FHIR和CQL，還能讓醫學評鑑更公平。因為，過往醫療機構參與評鑑，會根據政府公布的標準來整理資料。但這些標準只是「文字規則」，醫院得自己從資料庫中，撈出符合規則的數據。這種做法，容易存在解讀空間，因此發生數據被美化或調整的問題，未必完全反映真實狀況。</p> <p>採用CQL，就可參照電子化的醫療品質指標eCQM，醫院系統直接根據指標需求，提取數據、產出報表，大幅減少人工整理時間，產出的資料也更客觀、真實，評鑑也就更公正。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>目標3：應用程式統一</strong></span></span></p> <p>只有資料統一、規則統一還不夠，李建璋還提倡以FHIR為基礎的SMART標準，來實現應用程式統一。</p> <p>SMART提供一套App開發框架，開發者用來打造一款應用程式後，就能在所有符合SMART on FHIR標準的電子病歷系統上執行，不必針對不同電子病歷系統，一一客製化開發不同版本。</p> <p>李建璋坦言，在臺灣，各家醫院電子病歷系統不同，要上線一套好用的AI系統，往往得耗費3到6個月才完成一家醫院的導入，過程更是勞師動眾，拖慢了創新應用的腳步。採用SMART，就像是把電子病歷系統變成一個App平臺，讓上面的應用程式可以隨插即用，加速智慧醫療的採用速度和規模。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1228-%E6%9D%8E%E5%BB%BA%E7%AB%A0-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>進展1：醫學中心驗證標準轉換工具</strong></span></span></p> <p>為將這些目標落實到全臺醫療院所，衛福部針對導入對象，提出3種差異化策略。首先是醫學中心，李建璋指出，醫學中心擁有完整的醫療資訊系統（HIS），因此，衛福部採取的策略是建置國家電子病歷數據中臺，來將醫學中心的病歷資料，進行標準轉換和交換，而非全面更新醫院HIS。</p> <p>這個資料標準轉換，又可細分為幾種做法。因為，病歷資料雖然採FHIR標準，但FHIR只規範病歷架構，欄位內容並未統一，比如同樣是疾病欄位，A醫院可能寫糖尿病，B醫院寫DM（Diabetes Mellitus），C醫院寫Type 2 Diabetes，這就造成後續分析的混亂。</p> <p>因此，衛福部要導入3種國際標準編碼，包括實驗室檢測數據編碼LOINC、醫學術語編碼SNOMED CT，以及處方用藥編碼RxNorm，來在FHIR框架下，統一欄位寫法。</p> <p>但要導入這些編碼，勢必會挑戰醫學中心現有做法，尤其醫院才從國際疾病分類代碼ICD-9過渡到ICD-10沒幾年，現在還要學習數量高達10倍之多的新編碼，對第一線醫師和專門審查病歷代碼的疾病分類人員來說，簡直是洪水猛獸。於是，衛福部專案辦公室團隊開發一款標準轉換工具，由大型語言模型（LLM）驅動，能將病歷欄位中的內容，轉換為幾個相似性高的LOINC、SNOMED CT和RxNorm編碼，疾分人員再核對、勾選即可，大幅減輕人力負擔。目前，這套工具正在馬偕醫院、林口長庚醫院和中山附醫中試辦，已完成1,000份病歷測試，接下來要用10萬份病歷來驗證。</p> <p>衛福部團隊和試辦醫院預計用1年時間，將這套工具優化到能正式上線。也就是說，全臺22家醫學中心在2026年就能開始使用。</p> <p>這套工具上線後，李建璋期待的第一件事是打造「My Health Portal」，也就是一套彙整各種醫療資料的健康管理平臺，提供比健康存摺更豐富的數據，讓民眾可存取自己的醫療資料，也能授權家人查看，利於平時追蹤和就醫。</p> <p>甚至，他打算在平臺中新增一個「捐資料」選項，來讓民眾決定，是否要將自己的資料捐出做AI訓練。如此一來，既符合大法官釋憲要求、保障民眾退出權，也能推進醫療AI研究。「我們不用2,300百萬，我們只要2、300萬人資料，就能形成一個世界級的資料庫，訓練出很強大的AI，」李建璋說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>進展2：建置區域與地區醫院的數位底盤</strong></span></span></p> <p>第2個差異化策略瞄準區域醫院和地區醫院。衛福部盤點發現，這層級的醫療機構系統老舊，因此他們計畫，逐步翻新這些醫院的HIS，來改善IT體質。</p> <p>衛福部的構想是，由資訊處帶領專案辦公室團隊和協力廠商，開發出臺灣HIS共用數位底盤PAUL，同時保留客製化開發的彈性，來供區域／地區醫院使用，就像是Android架構般。</p> <p>這個數位底盤由不同模組組成，包含底層SDK、K8s容器、API框架、醫療相關模組（如電子病歷、健保申報、排程預約）以及醫療應用模組（如HIS、PACS影像管理系統等）。由於臺灣醫資業者規模不一，衛福部打算請不同業者開發個別模組，來組成數位底盤。</p> <p>考量到業者可能擔憂生意受損，李建璋回應：「所以我們要建立信任，讓他們知道，他們可以將建好的模組程式碼授權給衛福部，還能拿數位底盤來升級自己的電子病歷系統。」</p> <p>衛福部規畫分3階段建置底盤，預計共打造30至40個模組。第一階段瞄準行政模組，目前已完成9個模組的開發，接下來將建置醫療相關模組。</p> <p>為確保這些模組的前瞻性，衛福部也設計3道機制來把關，首先由專案辦公室團隊草擬需求，再由國內醫療IT專家提供建議和回饋，最後考量國外專家意見。比如去年，衛福部資訊處邀請SMART共同創辦人、哈佛大學波士頓兒童醫院臨床資訊中心主任Kenneth Mandl簽署備忘錄，也請他對數位底盤設計給予建議。同時，李建璋還希望建置專屬網站，視覺化揭露數位底盤建置進展，讓大眾看得到進度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>進展3：用開源工具打造衛生所公版系統</strong></span></span></p> <p>落實三大目標的另一項差異化策略，是要針對全臺衛生所，打造名為黑熊的公版電子病歷系統。這套公版系統，要以國際開源的電子病歷系統OpenEMR為基礎，將其客製化為適合臺灣環境的電子病歷系統。</p> <p>說到開源系統，許多人抱有刻板印象，認為功能不好、介面不友善、沒人維運，但其實，這套OpenEMR不僅獲得美國醫療IT辦公室（ONC）標章，還有5,000多家美國醫院使用中，有著強大、穩健的社群生態支援，這也是衛福部看上OpenEMR的原因之一。</p> <p>為將OpenEMR順利引進臺灣，衛福部第一步要將系統本土化，第一屆找來花蓮慈濟醫院，已替花蓮衛生所建立慢性病管理、癌症篩檢、肺結核防治等模組，先作為黑熊版系統的部分模組。</p> <p>接著第二步，衛福部要找國內衛生所電子病歷業者，來打造醫師看診介面、約診流程和藥局處方等系統。李建璋指出，這一步仍需與業者溝通，讓業者放心，「衛福部不是公司，只是開發工具、將工具裝到衛生所，還是需要業者提供客製化、維運服務。」他比喻，就像是造車廠轉型為租車公司，業者商業模式不會因此大受衝擊。</p> <p>對李建璋來說，標準統一、規則統一和應用程式統一這3大目標，就是要打造世界級的臺灣智慧醫療基礎建設，為未來10年發展鋪路。他甚至期望，臺灣能因此發展出屬於自己的醫療作業系統（OS），形成強大生態系。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>衛福部資訊處處長李建璋</strong></p> <p>學歷：美國哈佛大學流行病學博士畢業</p> <p>經歷：美國哈佛大學流行病學博士畢業後，於2012年進入臺大醫院雲林分院，擔任急診醫學部主任至2016年。而後，2021年起開始擔任臺大智慧醫療中心顧問，同時兼任臺大醫學院急診醫學科臨床教授。2024年起借調至衛福部資訊處擔任處長至今</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1228-%E6%9D%8E%E5%BB%BA%E7%AB%A0-300-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><strong>衛生福利部</strong></p> <p>●成立時間：1928年成立內政部衛生司，經十次改組於2013年升格為衛生福利部</p> <p>●業務介紹：整合社會福利及衛生醫療資源，針對福利服務輸送、關懷弱勢、醫療照護、全民健保、健康促進、疫病防治、食品藥物管理等議題，來擬定整合連續性之公共政策</p> <p>●網址：<a href="http://www.mohw.gov.tw">www.mohw.gov.tw</a></p> <p>●地址：臺北市南港區忠孝東路6段488號</p> <p>●員工人數：約1萬2千人</p> <p>●部長：邱泰源</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管：李建璋</p> <p>●直屬主管：邱泰源</p> <p>●資訊部門名稱：資訊處</p> <p>●資訊部門人數：30人</p> <p>●資訊部門分工：共4科，包括基礎設施及資訊安全、共用性資訊系統及服務、公衛醫療資訊系統、社會行政資訊系統</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●1988年：建立全國醫療資訊網（HIN）計畫</p> <p>●1989年：推動醫療資訊標準化</p> <p>●1995年：全民健保開辦</p> <p>●2004年：全民健保IC卡建置</p> <p>●2008年：推動電子病歷計畫</p> <p>●2012年：辦理健康雲計畫</p> <p>●2013年：持續辦理醫院電子病歷和互通補助計畫；建置健保雲端藥歷系統</p> <p>●2015年：建置健保醫療資訊雲端查詢系統</p> <p>●2017年：推動醫療雲2.0計畫</p> <p>●2018年：建置醫療資安資訊分享暨分析中心H-ISAC；建長照資訊系統</p> <p>●2019年：強化醫療資安聯防機制</p> <p>●2020年：擴大遠距醫療適用範圍；推動醫事人員行動憑證</p> <p>●2021年：規畫將電子病歷交換中心改為FHIR架構</p> <p>●2022年：開放電子病歷上雲</p> <p>●2023年：成立次世代HIS平臺專案辦公室；建置數位同意書平臺</p> <p>●2024年：衛福部3大AI中心啟動；開發醫學術語轉換器；與耶魯大學附設醫院簽署合作備忘錄，鎖定醫療資訊長培訓、醫療IT系統與AI</p> <p>●2025年：正式啟動臺灣醫療資訊標準大平臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1228-li_jian_zhang_-960-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="衛福部資訊處處長李建璋　（攝影／洪政偉）" /></div></div></div>
2025/4/2 10:36作者王若樸https://www.ithome.com.tw/people/168189
【資安日報】4月1日，CrazyHunter勒索攻擊規模擴大，同時對同集團旗下3家公司出手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客CrazyHunter肆虐，接連對臺灣大型企業組織而來的情況，已發生多起，如今攻勢並未緩和，甚至發生一口氣攻擊多家公司的現象。自2月開始這些駭客攻擊國內兩家大型醫院引起外界關注，從3月下旬開始，他們先後針對環保裝潢加工板材業者科定、喬山健康科技下手，如今再傳新的資安事故。</p> <p>值得留意的是，這次駭客一起對振曜集團3家公司出手，甚至竄改網頁嘲笑國內資安業者TeamT5防護不力。對此杜浦數位安全（TeamT5）澄清此事，表示這些公司並非他們的客戶，也沒有部署相關防護工具。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168167"><strong style="font-size: 22px;">CrazyHunter勒索攻擊規模擴大，振曜、沛亨、東荃同時遭攻擊，駭客一次攻擊鎖定同集團的3家公司</strong></a></p> <p>專門鎖定臺灣的CrazyHunter再度犯案，受關注的是，這次攻擊鎖定臺灣企業集團而來，包括振曜、沛亨半導體與其子公司東荃科技，該集團有3家公司成為受害者。振曜集團在3月31日上午向我們證實，他們的確遭遇該勒索軟體攻擊。</p> <p>這兩個月來，CrazyHunter的攻擊事件頻繁登上新聞版面，受害對象涵蓋國內醫院與上市公司。我們持續追蹤該組織的動向，發現X社群平臺上再次出現爬取暗網資訊的警示貼文，指稱沛亨半導體（Analog Integrations）與東荃科技（Zunidata Systems）被CrazyHunter列為受害者。</p> <p>一次有兩家公司受害，情況頗不尋常，經過進一步追查，我們發現振曜科技（Netronix）也遭受攻擊，而這三家公司皆隸屬振曜集團，這可能意味駭客膽子越來越大，或是同一集團的多家子公司可能有共通資安弱點。</p> <p><a href="https://www.ithome.com.tw/news/168172"><strong style="font-size: 22px;">振曜科技網站首頁遭置換，駭客恐嚇已竊取3家公司資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-31_100204.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-31_100204.jpg" style="width: 300px; float: right;" /></a></p> <p>3月31日再度傳出CrazyHunter鎖定臺灣企業犯案，我們在上午發現CrazyHunter勒索攻擊規模擴大，振曜集團有3家公司同時遭攻擊，而且駭客攻擊後依然十分囂張，我們早上10時檢視這些公司的網站時，發現沛亨半導體、東荃科技的網頁無法連上，而振曜科技的網站首頁遭惡意置換。</p> <p>根據駭客竄改振曜網站首頁的內容顯示，攻擊者同時向振曜科技（Netronix）、沛亨半導體（Analog Integrations）、東荃科技（Zunidata Systems）這三家公司恐嚇，聲稱加密了受害者所有的系統，並覆寫與刪除了NAS、VMware、Veeam的備份，以及竊取800 GB的資料，涵蓋檔案伺服器、CRM、BPM、EIP、ERP的資料，並要脅受害者與他們聯繫，否則將在24小時後（4月1日晚上8時）外洩首批資料。</p> <p>另一引發關注的是，CrazyHunter還在上述勒索訊息中，特別嘲諷了臺灣資安業者TeamT5，聲稱這次攻擊成功入侵其客戶，且資安產品都沒有發出警示。對此狀況，我們進一步向杜浦數位安全（TeamT5）瞭解狀況，該公司駁斥了這項說法，並表示是無端遭拖下水。TeamT5在31日中午12點發布澄清聲明，指出近期CrazyHunter宣稱已入侵臺灣企業，經他們查證，均非TeamT5的客戶，也未部署ThreatSonar Anti-Ransomware端點防護產品。</p> <p><a href="https://www.ithome.com.tw/news/168175"><strong style="font-size: 22px;">甲骨文外洩病患醫療資訊，處理方式惹議</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，甲骨文旗下健康部門（Oracle Health）疑似今年2月系統被駭，導致美國當地多家醫院的病人資訊外洩，已有數家醫院遭到勒索，而且甲骨文從通知到應對客戶的態度讓客戶頗感不滿。</p> <p>多家醫院接獲甲骨文電子郵件告知，其Cerner雲端電子病歷系統遭駭，且可能有病患資料外流。2月20日甲骨文發現，電子病歷系統Cerner其中1臺未移轉到Oracle Cloud雲端平臺的舊伺服器遭未經授權存取，攻擊者將資料複製到一臺遠端伺服器上。甲骨文分析後研判，攻擊者是在今年1月22日之後利用一名外流的客戶憑證成功存取甲骨文伺服器。外洩資料可能包含儲存在Cerner電子病歷系統中的病患資訊。</p> <p>雖然甲骨文語帶模糊，但多名消息人士向媒體證實，的確有病患資訊遭竊。此外，多家醫院遭到名為Andrew的人士勒索數百萬美元的加密貨幣，否則將把病患資訊公布在網路上。然而甲骨文的許多做法引起客戶不滿，其中一項最可議的是，該公司表明願意支付信用監控服務及寄送通知信的費用，卻不願為受影響的醫院通知病人。</p> <p><a href="https://www.ithome.com.tw/news/168180"><strong style="font-size: 22px;">駭客在網上公開三星德國分公司27萬筆客服資料</strong></a></p> <p>本週名為GHNA的人士在駭客論壇聲稱，他手上握有三星德國分公司客服工單系統的資料，並供人下載，並稱這批資料包含敏感個人資料如全名、住家地址、電子郵件信箱。</p> <p>資安業者Hudson Rock分析指出，這批資料是駭客取得的合法用戶憑證資料，存取三星使用的德國業者Spectos GmbH的客服系統所得。2021年Spectos公司一名員工用以監控和管理三星客服工單系統服務品質的登入憑證，遭Raccoon Infostealer竊資軟體暗中竊走外流，最後流入GHNA手上。研究人員表示，Hudson Rock幾年前就曾經發現被竊的三星憑證並警示，不過三星並未及時行動。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170209&SPOKE_DATE=20250331&COMPANY_ID=6214"><strong style="font-size: 22px;">精誠遭到駭客勒索，網路環境出現惡意程式入侵</strong></a></p> <p>3月31日資服業者精誠資訊發布資安重大訊息，表明他們收到匿名勒索信，並向法務部調查局報案，啟動資安應變機制，清查受到影響的系統。雖然尚在清查，但該公司初步評估這起事故對營運無重大影響。由於近期駭客組織CrazyHunter宣稱攻擊振曜集團旗下3家公司，這起事故很難不讓外界懷疑也與此組駭客有關。</p> <p>針對這起事故，我們也向精誠進一步確認，該公司表示他們收到從電子郵件傳入的勒索信，並發現有惡意程式入侵的情況，初步排除是遭遇勒索軟體攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/twitter-x-of-2-8-billion-data-leak-an-insider-job/">社群網站X驚傳28億用戶資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hacker-breach-check-point-cybersecurity-firm-access/">駭客聲稱入侵資安業者Check Point，兜售存取管道</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/russia-linked-gamaredon-uses-troop.html">俄羅斯駭客Gamaredon以軍事行動為誘餌，對烏克蘭散布Remcos RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phishing-platform-lucid-behind-wave-of-ios-android-sms-attacks/">中國駭客利用網釣工具包Lucid，發送iMessage、RCS訊息對近170個企業組織下手</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-uses-ai-to-find-flaws-in-grub2-u-boot-barebox-bootloaders/">微軟揭露開機程式GRUB2、U-Boot、Barebox高風險資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168171"><strong>【3月31日】安卓惡意軟體PJobRAT鎖定臺灣使用者而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168134"><strong>【3月28日】NPM惡意套件攻擊出現難以清除的新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168114"><strong>【3月27日】資安業者揭露能對GitHub Copilot用戶發動的AI供應鏈攻擊手法</strong></a></p> </div></div></div>
2025/4/1 15:57作者周峻佑https://www.ithome.com.tw/news/168186
HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>CA/Browser Forum是由憑證頒發機構（CA）、作業系統業者、瀏覽器開發商、安全電子郵件軟體供應商，以及其它支援PKI之應用程式供應商所組成的聯盟，設有伺服器憑證工作小組、程式碼簽章工作小組及S/MIME憑證工作小組，負責替相關業者制定網路安全標準。而HTTPS指的則是利用TLS或SSL技術來加密傳輸封包的安全協定，在建立HTTPS連結之前，瀏覽器必須藉由CA所頒發的憑證來驗證所連結的伺服器身分，確保網站身分的可信度。</p> <p>由Google所開發的Chrome是目前全球最受歡迎的瀏覽器，市占率高達67%，根據該公司的統計，綜合在Android、Chrome OS、macOS及Windows上的Chrome流量，有超過92%都是透過HTTPS傳輸的。</p> <p><a href="https://security.googleblog.com/2025/03/new-security-requirements-adopted-by.html" target="_blank">Google說明</a>，在CA頒發憑證之前，必須先驗證申請者是否合法控制憑證中將顯示的網頁域名稱，此一程序稱為「網域控制驗證」，並已有幾種明確定義的方法可供使用，例如由CA指定一個隨機值置放於所申請的網站上，然後進行檢查以驗證申請者能否真能發布該值；<a href="https://blog.citp.princeton.edu/2022/03/09/attackers-exploit-fundamental-flaw-in-the-webs-security-to-steal-2-million-in-cryptocurrency/" target="_blank">但曾有駭客</a>先透過BGP劫持以竊取特定網站的流量，使CA誤以為駭客控制該站的網域名稱，進而成功申請合法憑證，駭客以所獲得的憑證建立了惡意網站，並取信於使用者，成功竊取了價值200萬美元的加密貨幣。</p> <p>因此，Google提出了MPIC，它不是僅從單一地理或路由有利位置來執行網域控制的驗證，而是藉由多個不同的地理位置或多個網路服務供應商來執行同樣的驗證，降低因路由攻擊而錯誤頒發憑證的可能性，有效防禦BGP劫持。</p> <p>至於Linting則是一種自動化流程，用於分析憑證以偵測及防止錯誤、不一致或不合標準的情況，確保憑證的格式正確，並包含其預期用途所需的必要資料，例如網站驗證。然而，過去CA並未被強制要求執行Linting，而只是選擇性的使用它，自今年3月15日開始，所有的CA在頒發憑證的過程中都必須執行Linting，降低誤發憑證的風險。</p> <p>除了上述兩項已經施行的憑證頒布安全機制外，Google也已提議淘汰某些基於WHOIS的弱驗證。WHOIS為一公共資料庫，可用來查詢網域名稱的註冊資訊，也被CA用於網域控制驗證，然而，隨著隱私保護措施的強化，許多網域名稱的註冊者已選擇隱藏其個人資料，此外，<a href="https://labs.watchtowr.com/we-spent-20-to-achieve-rce-and-accidentally-became-the-admins-of-mobi/" target="_blank">WHOIS曾因忘了續約一個.mobi的網站</a>，被一個安全研究團隊以20美元買下，該團隊發現，仍有包括CA在內的數十萬個系統向該網站發送查詢，並利用此一漏洞展開模擬攻擊，成功展示了如何欺騙CA以錯誤頒發憑證，曝露WHOIS系統的潛在風險。</p> <p>於是Google提議淘汰基於WHOIS的電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> </div></div></div>
2025/4/1 11:52作者陳曉莉https://www.ithome.com.tw/news/168178
Google推動安全機制前移，Android程式碼撰寫階段即啟動政策違規提醒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對Android與Google Play生態系統<a href="https://android-developers.googleblog.com/2025/03/keeping-google-play-safe.html">宣布多項強化措施</a>，涵蓋開發工具、API更新與政策支援，目標是協助開發者有效建構安全、可信任的應用程式環境，同時防堵詐騙與惡意行為。Google藉由更新平臺安全機制，逐步推進安全設計前移，並簡化政策法遵的落實流程。</p> <p>Google在Play Console中擴充預先檢查功能，新增對隱私權政策連結與登入憑證要求的檢查項目，接下來一年將持續擴大適用範圍，要讓開發者在提交應用程式之前就先發現潛在問題。此外，Android Studio也開始導入與政策法遵相關的即時通知機制，當開發者在編寫程式碼階段違反特定規定時，系統將即時提醒，讓修正作業能前移至更早期的開發階段。</p> <p>政策溝通與支援機制也有所調整。Google表示，將透過Play Console推出新的資訊傳遞方式，以便開發者能在需要的時間點收到相關政策說明與更新通知，同時也在政策中心加入更多指引功能。根據Google的資料，去年有超過270萬人次瀏覽Play Developer Help Community，顯示開發者對政策理解與實務應用的需求高，因此今年計畫擴展社群語言支援，涵蓋印尼語、日語、韓語與葡萄牙語，進一步強化區域性開發者的支援基礎。</p> <p>Google強調了Play Integrity API的實際成效，官方提到，目前已有開發者利用該API每日進行超過5億次風險檢查，相較未使用的開發者，透過Play Integrity API執行可疑行為偵測的應用程式，在未授權使用方面平均降低了80％。Google現在進一步針對Android 13以上版本升級Play Integrity API的運作架構，提升回應速度與準確性，並增強隱私保護設計。5月起將自動替所有API使用者啟用新版環境信任評估功能，開發者也可選擇提前啟用。</p> <p>針對應用程式身分的額外驗證需求，Google在現有政府機構App徽章基礎上，新增已驗證VPN標章，提供使用者辨識資訊安全重視程度較高的服務來源。之後還將視需求擴大至其他應用程式類型，以作為品質與信任的間接指標。</p> <p>兒童與青少年使用者的保護措施上，除了既有的教師推薦與家庭政策外，Google正在測試可支援數位身分辨識的Credential Manager API，目前已開放Beta試用，之後將朝向整合進Google Play Console的方向推進，預期能支援更多針對未成年用戶設計的控管功能。Play Protect防護機制也持續更新，針對偽裝成金融應用程式的惡意程式加強即時偵測能力，並計畫將已在部分國家試辦的金融詐騙防護機制，推廣至其他高風險市場。</p> </div></div></div>
2025/4/1 08:21作者李建興https://www.ithome.com.tw/news/168168
【資安日報】3月31日，安卓惡意軟體PJobRAT鎖定臺灣使用者而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>沉寂多年的安卓惡意程式PJobRAT，如今資安業者Sophos揭露最新一波的攻擊行動，指出這次駭客的主要目標，就是臺灣。</p> <p>值得留意的是，雖然這波為期近兩年的攻擊行動，大約在去年10月似乎已經停止，之後似乎並未出現新的攻勢，但研究人員也無法完全確定是否會出現後續活動，因此臺灣使用者還是要提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168166"><strong style="font-size: 22px;">安卓惡意軟體PJobRAT鎖定臺灣使用者而來，假借聊天App散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PJobRAT4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PJobRAT4.png" style="width: 300px; float: right;" /></a></p> <p>曾在4年前被揭露的安卓惡意程式PJobRAT，當時研究人員指出，駭客假借提供約會軟體或是即時通訊應用程式，攻擊印度的軍事人員，如今傳出駭客也對臺灣散布這款惡意程式。</p> <p>根據資安業者Sophos的監測，PJobRAT最新發動的攻擊行動已出現許多位於臺灣的受害者，這些檔案偽裝成即時通訊軟體散布。研究人員根據駭客用來散布惡意軟體的WordPress網站進行調查，雖然駭客申請惡意網域的時間在2022年，但實際的惡意軟體自2023年1月開始出現，最後一波約在去年10月，換言之，這波攻擊行動已持續接近2年。</p> <p>究竟駭客如何接觸受害者？研究人員指出，很有可能是透過搜尋引擎最佳化中毒（SEO poisoning）、惡意廣告，以及網路釣魚等手法來達到目的。</p> <p><a href="https://ithome.com.tw/news/168156"><strong style="font-size: 22px;">惡意程式CoffeeLoader冒充華碩電腦整合設定軟體，該工具用GPU執行程式碼而逃過資安偵測</strong></a></p> <p>為了避免防守方透過虛擬環境分析惡意行為，駭客往往在惡意程式導入多種機制來迴避，但如今有人將歪腦筋動到了顯示晶片（GPU）身上。</p> <p>資安業者Zscaler揭露名為CoffeeLoader的惡意程式載入工具，駭客使用該工具最早可追溯到去年9月，主要的功能是下載第2階段的有效酬載並執行，同時防範端點電腦的防毒軟體、EDR系統的偵測。研究人員提及，這些駭客使用多種手法來迴避偵測，其中最特別的部分，就是透過特製的打包工具Armoury夾帶惡意軟體，該工具使用GPU執行相關程式碼，而能阻止資安人員透過虛擬環境來進行分析。</p> <p>其中的惡意打包工具Armoury，研究人員指出其命名由來，源自駭客冒用華碩用來整合與控制多種軟硬體的公用程式Armoury Crate。此打包工具會挾持該公用程式的輸出內容，並將其置換成自行解密的Shell Code，而這組Shell Code會使用GPU的運算資源執行解密程式碼的工作。附帶一提的是，由於駭客的程式碼透過OpenCL程式庫就能運作，因此不需要仰賴外部元件，也不必搭配特定的GPU硬體。</p> <p><a href="https://ithome.com.tw/news/168133"><strong style="font-size: 22px;">全球居易路由器傳出不斷重開機事故，該公司後來鬆口證實是漏洞攻擊</strong></a></p> <p>上週國內外傳出有許多居易用戶的路由器設備無法連線，或是不斷重開機的現象，但究竟發生的原因為何？是軟體功能出錯，還是遭遇網路攻擊，一時之間無從得知，我們看到社群網站有IT人員聲稱透過韌體更新成功排除異常，根據國外媒體報導，有受到影響的網際網路服務供應商（ISP）猜測，這起事故很有可能是漏洞引起。直到3月25日，居易才坦承是遭遇漏洞攻擊造成。</p> <p>在同日稍晚，居易發布重大訊息，表示他們的主要網站、MyVigor使用者網站遭到DDoS攻擊。對此，我們向居易進一步詢問兩者之間是否有關，該公司表示，他們認為這波是目標性攻擊，駭客不只鎖定已停止更新服務的路由器下手，攻擊已知漏洞，他們註冊的主機及網站也一併慘遭毒手。這種同時攻擊網路設備及製造商網站的情況，相當罕見。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=210922&SPOKE_DATE=20250330&COMPANY_ID=2029"><strong style="font-size: 22px;">鋼鐵廠盛餘遭到網路攻擊</strong></a></p> <p>3月30日鋼鐵廠盛餘在股市公開觀測站發布重大訊息，指出他們的資訊系統遭到網路攻擊，其中有部分的主機與電腦面臨病毒攻擊的情況。針對這起事故發生的經過，盛餘表示遭到攻擊的當下，資安團隊立即啟動防禦機制與備援作業因應。</p> <p>而對於這起事故可能會帶來的影響，該公司根據初步評估，表示尚無個資、機密文件資料外洩的情況，研判對公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/nine-year-old-npm-packages-hijacked-to.html">NPM套件遭到挾持，駭客為其加入混淆的指令碼挖掘API金鑰</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracle-health-breach-compromises-patient-data-at-us-hospitals/">Oracle旗下的醫療照護軟體供應商傳出資料外洩，美國病人資料外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/resurge-malware-exploits-ivanti-flaw.html">惡意軟體Resurge利用Ivanti的SSL VPN漏洞入侵伺服器</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-android-trojan-crocodilus-abuses.html">安卓金融木馬Crocodilus鎖定西班牙及土耳其而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/168165"><strong style="font-size: 22px;">Ubuntu出現可繞過內建防護機制的弱點，若與核心元件漏洞串連將造成重大危害</strong></a></p> <p>研究人員通報的資安漏洞，若經協調公開後，通常提及漏洞是否已被列管，並列出漏洞評估嚴重程度，但這需要廠商積極配合，否則可能無法讓大家了解問題的嚴重性，進而影響弱點管理的效率。</p> <p>資安業者Qualys指出，他們在Ubuntu作業系統的資安防護機制AppArmor發現資安弱點，Ubuntu 24.04以後的版本都受到影響，並指出攻擊者有機會在不具備特殊權限的情況下，利用3種元件來繞過使用者名稱空間（User Namespace）的限制。值得留意的是，研究人員並未提及這些弱點是否得到修補，也沒有提及漏洞的CVE編號。</p> <p>雖然研究人員向Canonical通報這些漏洞，並得到該公司的確認，但後來Canonical向資安新聞網站Bleeping Computer透露，他們認為這些並非漏洞，而是縱深防禦機制本身的局限。因此，該公司考慮未來改良AppArmor的防護機制。他們也提供管理者強化防護的管理措施。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/researchers-uncover-46-critical-flaws.html">研究人員揭露Sungrow、Growatt、SMA太陽能設備資安漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168134"><strong>【3月28日】NPM惡意套件攻擊出現難以清除的新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168114"><strong>【3月27日】資安業者揭露能對GitHub Copilot用戶發動的AI供應鏈攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168090"><strong>【3月26日】喬山健康科技遭遇資安事故，疑似CrazyHunter所為</strong></a></p> </div></div></div>
2025/3/31 18:16作者周峻佑https://www.ithome.com.tw/news/168171
安卓惡意軟體PJobRAT鎖定臺灣使用者而來，假借聊天App散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾在4年前被揭露的安卓惡意程式PJobRAT，<a href="https://cyble.com/blog/android-application-disguised-as-dating-app-targets-indian-military-personnel/">當時研究人員指出</a>，駭客假借提供約會軟體或是即時通訊應用程式，攻擊印度的軍事人員，如今傳出駭客也對臺灣散布這款惡意程式。</p> <p>根據資安業者Sophos的監測，<a href="http://news.sophos.com/en-us/2025/03/27/pjobrat-makes-a-comeback-takes-another-crack-at-chat-apps/">PJobRAT最新發動的攻擊行動已出現許多位於臺灣的受害者</a>，這些檔案偽裝成即時通訊軟體散布。研究人員根據駭客用來散布惡意軟體的WordPress網站進行調查，雖然駭客申請惡意網域的時間在2022年，但實際的惡意軟體自2023年1月開始出現，最後一波約在去年10月，換言之，這波攻擊行動已持續接近2年。</p> <p>究竟駭客如何接觸受害者？研究人員指出，很有可能是透過搜尋引擎最佳化中毒（SEO poisoning）、惡意廣告，以及網路釣魚等手法來達到目的。</p> <p>一旦使用者依照指示下載、安裝並啟動，駭客提供的惡意程式就會要求許多權限，其中之一是停用電池最佳化，目的是為了能持續在後臺運作。</p> <p>基本上，這個應用程式也的確有即時通訊軟體的基本功能，使用者可以註冊帳號並與其他人交談，但特別的是，攻擊者還會在應用程式啟動過程檢查C2伺服器，以便安裝惡意軟體更新。</p> <p>而對於駭客發動攻擊的目的，Sophos指出主要是藉由更全面控制受害裝置，而有可能從各式應用程式竊取資料。</p> </div></div></div>
2025/3/31 16:25作者周峻佑https://www.ithome.com.tw/news/168166