iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 33篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

DevOps快報第4期：AI開發技術競爭，戰場從IDE、專用模型延伸到CLI，從拼功能到現在開始比成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/5/1～6/25 精選DevOps與開發新聞</strong></p> <p><span style="color:#0000FF;"><strong>五六月是科技巨頭展現年度新產品的季節，Google、微軟、蘋果都有不少開發者相關的產品和發表。這期DevOps快報，要回顧過去兩個月重要的開發和DevOps新聞。三款軟體開發專用LLM，AI輔助開發的競爭從IDE蔓延到命令列工具，效能依舊是重量級編譯器和開發語言每次改版的重點。</strong></span></p> <h3><strong><span style="color:#FF0000;">開發AI代理和專用模型的競爭</span></strong></h3> <p><strong><span style="color:#0000FF;">#JetBrains #程式碼專門模型</span><br /> 第一款程式碼專用模型Mellum開源，擅長理解和補全主流開發語言的程式碼</strong></p> <p>老牌開發工具JetBrains團隊近日開源了第一個針對程式碼完成任務設計的語言模型Mellum，JetBrains團隊從零開始訓練了這款模型，而非基於現有開源模型進行微調。Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C</p> <p><strong><span style="color:#0000FF;">#軟體工程LLM #Windsurf</span><br /> Windsurf發表專為軟體工程師建置的SWE-1模型，目標完成各種軟體工程任務</strong></p> <p>不只老牌工具聚焦開發專用模型，AI開發工具新創Windsurf也在5月中釋出了他們第一款可以針對整套軟體工程任務進行優化的一套模型家族SWE-1。這是一款可以完成所有軟體工程任務的概念性驗證模型。<br /> Windsurf解釋，閱讀或撰寫程式碼只是軟體工程的一小部分，真正的挑戰在於實現能夠長期擴展的解決方案，該公司的目標是將軟體開發速度提高99%。SWE-1基於Windsurf Editor的用戶互動資料，建立了共享時間軸，以捕捉工程中的不完整狀態與跨表面任務；另也具備流程感知能力，能與人類無縫協作，即時觀察及修正彼此行動。</p> <p><strong><span style="color:#0000FF;">#單機部署 #程式設計AI代理模型 #Mistral</span><br /> Mistral公布240億參數程式設計代理人模型Devstral，特色是可以單機本地部署</strong></p> <p>法國AI新創Mistral推出軟體工程任務的AI代理模型Devstral，這是他們與開源 AI程式設計師專案OpenHands開發商合作開發的模型，可以部署到單機上，號稱軟體工程支援能力比GPT-4.1mini、Deepseek-V3還強。Devstral是從Mistral-Small 3.1微調成240億參數的模型，具備最高128k字詞的輸入長度。具有工具使用能力，能用工具來探索codebase、編輯多個檔案，支援軟工（SWE）代理人。目前只支援文字輸出輸入。由於Devstral僅240億參數，使其適合執行在單一GPU 如Nvidia GeForce RTX 4090或32MB RAM的Mac電腦上，很適合在本地機器上的部署。<br /> 根據Mistral測試，在OpenAI的軟體解題能力評測SWE-Bench verified得分上，Devstral獲得46.8，高於同級參數量的模型，如GPT-4.1-mini、Claude 3.5 Haiku和SWE-smith-LM 32B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Devstral%E8%A9%95%E6%B8%AC.jpeg" /></p> <p><strong><span style="color:#0000FF;">#主動型AI開發代理 #非同步執行</span><br /> Google開發AI代理Jules開放公測，整合GitHub可以自動執行版本升級、測試、重構和修補</strong></p> <p>Google新的AI開發代理Jules開放公測，這款軟體開發助手可以非同步地處理整個開發專案的多種任務輔助。Jules可以直接與 GitHub上的專案整合，將程式碼庫複製到安全的Google Cloud虛擬機器中執行，來理解完整的專案脈絡，也能自主執行一系列軟體開發任務，包括了版本升級、專寫測試程式、建構新功能和修復程式碼錯誤等。Jules採取計畫、審查和執行的三階段的開發任務交付方法，可以在原本的GitHub開發工作流程中，在背景自動執行任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Google-jules.jpeg" /><br /> <br /> <strong><span style="color:#0000FF;">#AI輔助軟體開發 #Codex</span><br /> ChatGPT推出了程式碼開發代理Codex，可以幫忙寫程式和除錯</strong></p> <p>AI大廠紛紛卡位軟體開發輔助需求，連ChatGPT都推出了程式撰寫代理Codex的研究預覽版，可以用來幫忙撰寫程式、回答問題、並且為程式除錯。<br /> Codex採用了以o3模型針對軟體工程優化後的codex-1模型，可以模仿真人工程師的行為，像是拉取偏好撰寫功能程式碼、回答codebase問題、除錯、並建議檢查的pull request。它會確實遵守指示，還能反覆測試直到獲得程式通過的結果。每項任務都在各自雲端沙箱環境分開執行。透過開發人員程式庫中的AGENTS.md檔可以引導Codex的行為，在其中指示Codex如何跑程式codebase、執行測試、遵循專案的標準作業。和人類一樣，提供了開發環境配置、穩定的測試設定和明確的文件，Codex代理人效果會更好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-OpenAI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#模型免費額度超多 #命令列AI工具</span><br /> 從功能戰打到成本戰，Gemini CLI主打業界免費額度最高，一天千次請求</strong></p> <p>最近Google開源了命令列AI工具Gemini CLI ，整合了程式開發助理工具Gemini Code Assist，可用來存取Gemini 2.5 Pro及其100萬個Token的脈絡視窗，目前仍為預覽版。Gemini CLI擅長各種程式碼任務，包括理解程式碼、撰寫程式碼、操作檔案、執行命令，以及動態故障排除等，允許使用者透過自然語言來撰寫程式碼、除錯與簡化工作流程。更內建了許多進階工具，包括可利用Google搜尋來強化回應，藉由MCP協定或擴充功能來延伸能力，可客製化提示與說明，也可將Gemini CLI整合到自動化的腳本程式中。Google它號稱提供了業界最高的免費額度，每分鐘最多可支援60次的請求，每天支援1,000次請求。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gemini%20CLI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#MCP #AWS #資料庫開發</span><br /> Amazon Q Developer CLI 支援MCP，更擅長讀取資料庫結構來優化SQL查詢</strong></p> <p>AWS旗下生成式AI開發工具Amazon Q Developer命令列工具日前也開始支援MCP協定，來提升開發人員在本地環境與資料來源互動的靈活性與準確度。支援MCP後，Q Developer可以存取外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理專案外部的資料結構，例如資料表關聯與欄位命名，來提升模型對開發專案脈絡的理解深度。對需要頻繁與資料庫互動的開發人員，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。</p> <p><strong><span style="color:#0000FF;">#Cursor #氛圍開發</span><br /> 知名AI輔助開發工具Cursor終於推出1.0正式版，可以自動審查程式碼</strong></p> <p>氛圍開發（Vibe Coding）者愛用的Cursor終於推出1.0正式版，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p><strong><span style="color:#0000FF;">#AI代理開發 #Fireba</span>se<br /> Google正式推出雲端AI代理開發環境Firebase Studio </strong></p> <p>Google將線上開發工具專案Project IDX改名為Firebase Studio，變成了一款AI代理的雲端開發環境。採用自家Gemini 2.5模型，可以在短短幾分鐘內建立包含前後端的全端應用程式。或是直接匯入設計工具Figma的設計稿，透過Firebase中的Gemini助手，將設計稿轉換為應用程式的新功能。內建的應用原型代理可以偵測應用程式所需的後端，並自動完成設置和資源配置。</p> <p><strong><span style="color:#0000FF;">#程式碼生成 #AI開發工具</span><br /> Google AI Studio大更新，原生內建AI程式碼生成能力</strong></p> <p>近日Google AI Studio更新，最大特點在於內建了人工智慧程式碼生成能力。開發者現在可於AI Studio進行程式撰寫、預覽、調整，並可在建置分頁一鍵部署至Google Cloud Run等雲端服務。開發人員僅需輸入簡要描述，無論為文字、圖片或影片，模型便會在AI Studio中直接產生符合需求的前端或後端程式碼。相較以往僅能產生程式碼片段，需另行串接外部IDE的情境，此次原生整合大幅簡化開發流程。新版也提供檔案結構瀏覽、版本比較和即時回溯等功能，開發者可在人工智慧協助下檢視與比對程式碼異動，並透過對話式程式碼反覆調整功能，快速回到先前的檢查點進行修正。</p> <p><strong><span style="color:#0000FF;">#VS Code #AI開發 #MCP</span><br /> 微軟開放GitHub Copilot Chat原始碼，將整合到VS Code編輯器核心，更強化MCP支援</strong></p> <p>微軟不斷強化VS Code的AI代理協作和開發能力，日前宣布以MIT授權開放GitHub Copilot Chat擴充功能原始碼，並計畫分階段將部分人工智慧相關元件從擴充功能中重構，整合至VS Code核心程式碼庫中。在VS Code 1.100版中支援用Markdown撰寫的Instructions指令檔與Prompt提示詞兩種設定檔，來統一內建AI助手的環境配置和設定，可以用來統一多人團隊的AI開發規範。Instructions指令檔用來定義開發規範，例如程式風格或指定使用的框架，而提示詞檔則可儲存完整的任務指令，例如產出元件、執行安全檢查等特定請求。這些檔案可依專案或檔案類型自動套用，助團隊建立可重複使用的人工智慧工作流程，也可透過VS Code的設定同步功能，在多臺裝置間保持一致的協作環境。另外在6月推出的VS Code v1.101則聚焦MCP協定整合，可以支援MCP認證規範，涵蓋GitHub、Entra等主要帳號授權與管理，用戶可在VS Code內管理、指定、移除MCP伺服器存取權限，以符合企業對多帳號、多平臺開發環境的安全需求。</p> <p><strong><span style="color:#0000FF;">#蘋果 #AI開發助手 #XCode</span><br /> XCode 26新版終於導入AI助理，增強自動化開發與多平臺支援</strong></p> <p>在WWDC登場的Xcode 26終於將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與編寫API註解。Xcode可以協助生成符合DocC規範的註解內容，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-xcode26-ai.jpeg" /><br /> <strong><span style="color:#FF0000;">開發語言、編譯器和開發框架進展</span></strong></h3> <p><strong><span style="color:#FF8C00;">#多語言編譯器 #Rust #COBAL</span><br /> GCC近年最大改版，新版納入Rust和COBAL，邁向多語言編譯核心</strong></p> <p>GCC編譯器在四月底發布了近年最大一次的改變，從傳統C編譯器轉型為多語言編譯核心的發展方向，不僅更換C語言的預設標準，也正式將Rust與COBOL納入支援。在語言相容性、靜態分析能力與平台支援上的全面強化，提供更現代化、多元且可擴充的開發環境選擇。<br /> GCC 15.1是GCC 15系列的第一個穩定版本。預設語言標準由gnu17切換為gnu23，導入多項語言現代化設計，如#embed指令、命名迴圈、位元操作內建函式與型別診斷改善，GCC也同步改進錯誤訊息，提供具修正建議的提示。<br /> 新版增加了Rust與COBOL的原生支援。Rust前端gccrs已能正確處理Rust 1.49語法與標準函式庫，但尚未支援較新的語法與完整std函式庫，進一步替GCC納入Linux核心子系統中的Rust元件鋪路。新引入的gcobol編譯器遵循ISO/IEC 1989:2023標準，在x86-64與AArch64架構上可通過大部分測試項目，可供企業用於維運COBOL老舊系統。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #Ruby #大型Web應用</span><br /> Ruby 3.5新版的物件配置速度翻六倍，有助於高流量Web服務場景</strong></p> <p>新版Ruby 3.5導入物件配置效能最佳化，在實測效能中比前一版本提升達6.5倍。對於大量產生物件的應用情境，特別是在現代Web服務或API設計中，效能提升幅度明顯。物件配置是Ruby執行環境中頻繁且基礎的作業之一，無論是新建資料模型、執行運算邏輯，或框架底層運作，都需大量使用。新版針對Class#new方法的實作機制調整，大幅提高了效能。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #GO #TypeScript</span><br /> 微軟用以Go語言重寫TypeScript編譯器，編譯速度快10倍</strong></p> <p>TypeScript團隊從2024年開始推動，以Go語言重寫編譯器與工具鏈的原生計畫，最近宣布開放了TypeScript Native預覽版，TypeScript編譯器首次以原生程式語言重寫，針對效能與大型專案開發需求進行架構層級調整。根據官方公開的實測資料，Native預覽版於多項主流開源專案的型別檢查與編譯速度，可達現有JavaScript版本的10倍以上，大幅縮短專案建置與開發周期。來因應雲端原生、人工智慧應用與現代前端工程規模化的需求，也解決大型TypeScript專案效能的瓶頸。 </p> <p><strong><span style="color:#FF8C00;">#載入速度提升 #V8 #JavaScript</span><br /> V8引擎支援預編譯註解標籤，大型網頁應用載入速度再提升</strong></p> <p>JavaScript引擎V8引入一項名為Explicit Compile Hints的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。官方實驗，測試 20個熱門網站時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> <p><strong><span style="color:#FF8C00;">#程式碼品質 #Rust</span><br /> 問世滿十周年的Rust推新版，調整安全函式庫設計和新增匿名管道支援</strong></p> <p>1.0版釋出滿十年的Rust語言，近日推出了1.87.0版，新版特色之一是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的stdarch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用，這項變更讓高效能運算的開發更安全，也讓程式維護更容易。另外，標準函式庫也正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單。</p> <p><strong><span style="color:#FF8C00;">#語法擴充 #C#語言</span><br /> C# 14推出擴充成員語法，可以讓現有型別擴充屬性和靜態成員</strong></p> <p>新版C# 14預覽版增加了擴充成員（Extension Members）語法，進一步擴充原有擴充方法（Extension Methods）的設計，讓開發者能以類似擴充方法的方式，替現有型別加入屬性與靜態成員。目前語法已支援方法與屬性，後續版本預期將持續擴充可支援的成員類別。# 14讓開發者除了定義擴充方法，還可以加上像是IsEmpty這樣的擴充屬性，甚至支援靜態方法與靜態屬性，並透過新的extension(...)語法指定要擴充的型別。<br /> 這讓過去不容易透過擴充方法實現的功能，例如無參數的屬性存取，變得更容易實作，也有助於整理擴充邏輯，減少重複程式碼並提升維護效率。在語法設計上，新的擴充區塊語法與既有的this參數寫法可以並存。對開發者來說，無論使用哪種語法定義擴充方法，呼叫方式都一致，不需要重新學習。</p> <p><strong><span style="color:#FF8C00;">#行動開發 #AI代理框架 #Kotlin</span><br /> Kotlin發布2.2，不只改善易用性更聚焦Kotlin生態與AI開發整合</strong></p> <p>JetBrains團隊近日發表Kotlin 2.2新版，除了著重語言易用性與安全性強化之外，也搭配人工智慧開源框架與多平臺工具的更新，來擴大Kotlin於行動、網頁、伺服器端與人工智慧應用場景的影響。新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。另外，JetBrains開源旗下Koog人工智慧代理框架，可提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署，可以協助開發者用Kotlin打造可組合、高可靠性的人工智慧代理應用。JetBrains 要讓Kotlin生態更容易整合AI開發生態圈。</p> <p><strong><span style="color:#0000FF;">#JavaScript框架 #Deno</span><br /> JavaScript執行環境Deno強化編譯功能，更容易發布獨立執行檔來簡化部署</strong></p> <p>這款新興的JavaScirpt執行環境Deno近日釋出2.3新版，原生編譯功能有不少強化，開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。2.3版本也開放透過deno.json設定，匯入本地資料夾中的模組。對開發NPM套件者來說特別實用，不用發布到套件資料庫也能進行測試與驗證。</p> <p><strong><span style="color: rgb(0, 0, 255);">#JavaScript框架 #Node.js</span><br /> Node.js強化非同步追蹤機制，上下文管理更穩定，今年10月進入LTS</strong></p> <p>另一款老牌JavaScript開發框架Node.js也釋出24主要版本，正式將非同步上下文追蹤機制，改為預設採用AsyncContextFrame實作，取代過往AsyncLocalStorage較低效率的架構。這項調整雖非外部API上的破壞性改動，卻對底層行為與效能有實際影響，特別是在需要精確追蹤請求流程與狀態傳遞的應用情境，能大幅提升穩定性與追蹤準確性。另外，24版也升級了V8 JavaScript引擎至13.6版，支援如Float16Array、RegExp.escape與Error.isError等新語法，並同步將NPM升級至11版，強化依賴管理效能與安全性。開發者熟悉的URLPattern也首度進入全域命名空間，無需額外匯入即可使用。</p> <p><span style="color:#0000FF;"><strong>更多新聞</strong></span></p> <ul> <li>Google發表Android 16用的新一代設計語言Material 3 Expressive</li> <li>Android Studio新增Android與iOS共享的模組範本，簡化跨平臺共用業務邏輯的維護</li> <li>Jenkins揭露眾多外掛程式漏洞，包括CVSS風險評分高達9.8的身分驗證外掛漏洞</li> <li>Angular v20改用新控制流程語法，全面棄用結構指令</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：</b>Mistral、Google、OpenAI、Apple</p> </div></div></div>
2025/6/27 16:56作者王宏仁https://www.ithome.com.tw/news/169783
Swift程式語言將Android納入官方支援平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://forums.swift.org/t/announcing-the-android-workgroup/80666" target="_blank">Swift官方論壇（Swift Forums）周四（6/26）宣布</a>成立了Android工作小組（Android Workgroup），以推動Android成為Swift官方支援的平臺，可望簡化行動程式開發人員同時建置iOS與Android程式的流程。</p> <p>蘋果是在2014年正式推出Swift來取代Objective-C，以開發iOS、macOS、iPadOS、watchOS、tvOS以及visionOS等蘋果平臺的應用程式，並在隔年將它開源，接著於2020年釋出的Swift 5.3開始支援Windows與其它Linux發行版本。</p> <p><a href="https://www.swift.org/android-workgroup/" target="_blank">此一Android工作小組的主要工作內容</a>包括改善及維護Swift官方版本對Android的支援；改善Foundation與Dispatch等核心Swift套件，讓它們更適合在Android環境下運作；與平臺指導小組共同制定平臺支援等級標準，並努力讓Android獲得相對應的支援；確定所要支援的Android API版本；建立持續整合系統，以於Swift專案的提交審查過程中加入Android測試；制定Swift與Android Java SDK之間的最佳整合實務，以及如何將Swift函式庫打包到Android應用程式中；開發在Android上替Swift程式除錯的工具；以及協助各種社群Swift套件新增對Android的支援。</p> <p>有一派開發人員認為，此一宣布最大的影響在可於Android及iOS程式之間共享程式碼，最終可能會取代JetBrains替跨平臺所撰寫的Kotlin Multiplatform（KMP）。亦有另一派Kotlin（Google推薦的Android程式開發語言）的支持者認為，他們還是會使用Kotlin與KMP開發。</p> <p>身為Android Workgroup推手及跨平臺開發者的Marc Prud說明，在Android程式中使用Swift的程度取決於專案的需求，開發人員可以全面採用Swift，或是簡單地將它當作一種比C++更容易攜帶及維護的底層語言。</p> <p>要讓Swift融入Android體系還有許多挑戰尚待克服，例如可能會使得APK體積爆增、需重新撰寫使用者介面，以及若是要讓Swift及Java互相呼叫，必須透過複雜且成本較高的JNI（Java Native Interface），不若KMP簡單。</p> </div></div></div>
2025/6/27 12:09作者陳曉莉https://www.ithome.com.tw/news/169769
AI趨勢周報第275期：CRM大廠推出新版AI代理服務，強化部署觀測性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0620～0626）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可觀測性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></p> <p><span style="font-size: 22px;"><strong>CRM大廠推出新版AI代理服務Agentforce 3，強化部署觀測性</strong></span></p> <p>最近，CRM大廠Salesforce發布新版的AI代理平臺Agentforce 3，主打更高可觀測性、跨平臺互通和即時控管能力。進一步來說，Agentforce是Salesforce在去年10月推出的服務，他們引用即將發布的Slack調查，在過去半年內，全球AI代理使用量暴增了233%，且已有8,000多家企業註冊導入Agentforce。</p> <p>這次新版本加入了Command Center觀測中心，企業可即時追蹤AI代理健康狀況、錯誤率和任務執行成果，並透過即時警示快速介入調整。Agentforce 3還支援MCP，可與AWS、Google Cloud、Stripe、Notion等30多個工具整合，可將AI代理用於客服自動化、行銷流程、庫存查詢、帳務處理等多種情境。</p> <p>舉例來說，一家會計財務公司1-800Accountant就在今年報稅旺季，讓AI自動處理70%的行政對話，Grupo Globo則用來提高22%用戶留存率。Salesforce也指出，Agentforce 3內建超過100種操作和低程式碼設計，可讓企業快速上線客製化AI流程，落地AI人機協作。<a href="https://www.salesforce.com/news/press-releases/2025/06/23/agentforce-3-announcement/">（詳全文）</a></p> <p><img alt="" src="https://www.salesforce.com/news/wp-content/uploads/sites/3/2025/06/Salesforce-Introduces-Agentforce-3_-The-First-AI-Agent-Platform-Built-For-Businesses-to-Manage-Measure-and-Optimize-a-Hybrid-Workforce-at-Enterprise-Scale.png?w=768&h=432" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Gemini CLI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google開源Gemini CLI，開發者專屬的AI代理登場</strong></span></p> <p>Google日前正式開源命令列AI工具Gemini CLI，主打將Gemini 2.5 Pro的強大能力整合進終端機，採用Apache 2.0授權，提供開發者跨平臺、本地端執行的AI協作體驗。透過自然語言指令，開發者可在命令列操作程式碼撰寫、除錯、檔案管理、任務自動化等流程。</p> <p>Gemini CLI技術亮點：</p> <p>1. 支援百萬Token脈絡：能處理龐大程式碼庫和複雜任務</p> <p>2. 整合Google搜尋與MCP：可擷取即時資訊並連結外部模型如Imagen、Veo、Lyria等，從CLI直接生成圖像、影片、音樂等多媒體內容</p> <p>3. 可高度擴充和自訂提示詞：開發者可針對工作流程客製化</p> <p>4. 與Gemini Code Assist技術同源：支援VS Code和命令列雙平臺，提供多步驟AI協作推理</p> <p>Gemini CLI免費配額高達每分鐘60次、每日1,000次請求，遠超同業的平均。使用者只需Google帳戶就能開始使用，開發者也能透過GitHub獲取原始碼並參與貢獻。<a href="https://blog.google/intl/zh-tw/products/cloud/gemini-cli-your-open-source-ai-agent/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Gemini_CLI_GIF.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mu </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot+ PC </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟公開小型語言模型Mu，強化Copilot+ PC端AI代理功能</strong></span></p> <p>微軟最近發布一套專為Copilot+ PC設計的小型語言模型Mu，主打可在裝置端本地執行，還應用於Windows系統中的「設定代理人」，使用者以自然語言就能快速調整數百項系統設定，如開啟飛航模式、調整螢幕亮度等。但目前只有Dev頻道中，使用Copilot+ PC的Windows Insiders測試者能使用。</p> <p>Mu以Phi模型為基礎、重新設計而成，採用Transformer架構，以數千億個教育語料預訓練，再用Phi模型進行知識蒸餾，最後以LoRA強化特定任務表現。Mu專為NPU裝置最佳化，在裝置端可達每秒200 token的推理速度，為降低資源占用，Mu採用了參數重新分配、權重共享和後訓練量化（PTQ）技術，使模型體積僅為Phi-3.5-mini的十分之一，但仍不犧牲效能。<a href="https://blogs.windows.com/windowsexperience/2025/06/23/introducing-mu-language-model-and-how-it-enabled-the-agent-in-windows-settings/">（詳全文）</a></p> <p><img alt="" src="https://winblogs.thesourcemediaassets.com/sites/2/2025/06/EncDec-1024x795.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推新款裝置端機器人模型，離線也能執行</strong></span></p> <p>最近，Google DeepMind揭露一款裝置端機器人模型Gemini Robotics On-Device，是首款可離線執行的Gemini視覺語言動作（VLA）模型，主打能直接部署於機器人上，不需網路也能完成複雜任務。該模型具備任務泛化與低延遲推論能力，特別適合網路不穩或對即時性要求高的場域。</p> <p>Gemini Robotics On-Device以Gemini Robotics模型為基礎改良而成，支援自然語言指令控制，能在雙臂機器人上進行如解開袋子拉鏈、折衣服等高難度操作。模型經優化後僅需極少算力即可執行，且支援微調，只需50到100次示範就能快速適應新任務。Google已釋出Gemini Robotics SDK與MuJoCo模擬環境，協助開發者測試與部署。該模型目前已可運行於ALOHA及Apptronik等第三方機器人平台，開發者只需加入信賴測試計畫，即可取得SDK。<a href="https://deepmind.google/discover/blog/gemini-robotics-on-device-brings-ai-to-local-robotic-devices/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/Jt_Vw7PIJEZtXcMIKM1HbWbBCLxv7RUyjyf07eHp-YOfxMCUZA6mPI9kSCaz65UkMoGcZ8CwlD3dNBvy7bnnYchjSkWyN-SugglT3dmg1A9KdoDqdQM=w2144-h1206-n-nu-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen 4 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公測Imagen 4圖片生成系列模型</strong></span></p> <p>Google揭露最新圖片生成系列模型Imagen 4，並透過Gemini API和Google AI Studio開始公測。Imagen 4系列模型可分為2個版本，包括Imagen 4 Standard和4 Ultra，它們在文字渲染和生成的圖像品質，都比前一代Imagen 3要好很多。比起標準版，Imagen 4 Ultra具有更高的指令遵從能力，能精確根據用戶文字提示，生成更高品質的圖片。</p> <p>這兩款模型皆在AI Studio以預覽版提供付費公測。其中，Imagen 4 Standard每幀圖0.04美元，Ultra版則為0.06美元。開發者也可透過Gemini API測試Imagen 4。<a href="https://developers.googleblog.com/en/imagen-4-now-available-in-the-gemini-api-and-google-ai-studio/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FedGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作流程 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣人工智慧實驗室推FedGPT AgentTeam平臺產品</strong></span></p> <p>臺灣人工智慧實驗室近日發表代理型AI產品<a href="https://fedgpt.cc/">FedGPT AgentTeam平臺</a>，結合在地化的多模態模型，支援離線執行能力和MCP協定，可讓企業打造專屬AI代理應用，來自動化完成內外部工作流程。</p> <p>FedGPT AgentTeam平臺後的模型，皆由開源LLM如Llama等微調而成，比如有以1,000億Token訓練出的通用模型、150億Token優化的醫療專業模型及10億Token訓練的金融模型。</p> <p>這款平臺具備三大功能，首先是AgentTeam RAG，支援企業多來源、多模態知識的資訊檢索，來提供更準確的回答。再來是AgentTeam Tuning，可用企業內部多模態資料，如文字、圖片、語音等來對模型微調，提高諸如語音辨識、語意理解的準確度。第三是AgentTeam Flow，提供低／無程式碼介面，來讓使用者自行建立公關發文、查帳等AI工作流程，還支援MCP可串接Slack、Gmail等第三方工具。未來，平臺也將支援 A2A（Agent-to-Agent）協定，進一步提升多代理AI間的協作能力。<a href="https://www.ithome.com.tw/news/169724">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Linux基金會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A2A協定 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Agent2Agent專案轉移至Linux基金會</strong></span></p> <p>Linux基金會宣布，Google已將Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動AI代理跨平臺和跨組織間的安全協作。</p> <p>A2A協定由Google發起，目標是解決AI代理在企業應用時，因平臺、框架、供應商不同，而導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、在不同平臺執行的AI代理，能安全地彼此溝通、交換資訊並協調任務。</p> <p>隨著專案轉移至Linux基金會旗下，A2A協定發展將進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。Agent2Agent專案新一輪的發展重點，將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入AI代理協作的疑慮。<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型評比 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Yupp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Yupp推出AI模型評比平臺</strong></span></p> <p>AI新創Yupp近日推出人類評估系統，開放使用者比較500多款大型語言模型（LLM），包括ChatGPT、Claude、Gemini、Grok、Llama等，並依使用者回饋建立Yupp AI VIBE排行榜，涵蓋最受歡迎、最快、性價比最佳等類別。</p> <p>使用者提問後，系統隨機選出模型給出回應，並邀請用戶勾選優劣原因、提供意見回饋，即可獲得積分，這些積分可用於繼續使用模型或兌換獎勵。新註冊的使用者可獲得5,000積分，若只提問不參與評比，可能會被限制使用。Yupp由Twitter前主管Pankaj Gupta和Gilad Mishne在2024年創立，曾獲a16z領投的3,300萬美元種子資金。團隊強調，他們的目標是彙整大量用戶回饋、協助模型優化，讓AI更貼近人類需求。<a href="https://yupp.ai/">（詳全文）</a></p> <p>圖片來源／Salesforce、Google DeepMind、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Mistral開源模型Small升級為3.2版</strong></p> <p><strong>2. <a href="https://biomni.stanford.edu/?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz--vRYboX-Vrshi6EFG2BpZiySCxl_TYmVcIYV00dB6Bpli3B5fHLbQ38R3a93hS_fZr8Knd">史丹佛大學等研究者聯手打造Biomni，一款專精基因、病理、微生物、免疫和神經學的AI代理</a></strong></p> <p>資料來源：iThome整理，2025年6月</p> <div id="gtx-trans" style="position: absolute; left: 21px; top: 4986.26px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/26 16:39作者王若樸https://www.ithome.com.tw/news/169746
Agent2Agent專案轉移至Linux基金會，續推動開放協定促進AI代理安全溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">宣布</a>，Google已將其主導開發的Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動人工智慧代理跨平臺及跨組織間安全協作。</p> <p>A2A協定由Google發起，目標是解決人工智慧代理於企業應用時，因平臺、框架、供應商不同而缺乏統一標準，導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、運作於各類基礎設施的人工智慧代理，能夠安全地發現彼此、交換資訊並協調任務，提升資料傳遞的安全性與可信度。</p> <p>對企業而言，A2A協定有助於推動多代理應用，無論是在不同部門或子系統的自動化流程協作，還是整合第三方代理至現有架構，都能降低多元技術供應商帶來的開發與維運複雜度。</p> <p>而隨著專案轉移至Linux基金會旗下，A2A協定的發展進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。</p> <p>Agent2Agent專案新一輪的發展重點除維持現有安全性、可擴展性外，也將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入人工智慧代理協作時的疑慮。</p> </div></div></div>
2025/6/25 08:12作者李建興https://www.ithome.com.tw/news/169698
【資安日報】6月24日，中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中國駭客利用Operational Relay Box（ORB）網路來隱匿網路攻擊的現象，有資安業者警告有越來越氾濫的現象，他們看到過往未被發現的ORB網路，已暗中活動近2年。</p> <p>除了ORB網路，去年攻擊多家美國電信業者的中國駭客組織Salt Typhoon，繼衛星電信業者Viasat遭駭後，如今傳出加拿大也有電信業者受害的情況；此外，惡名昭彰的勒索軟體Anubis號稱竊得巴黎迪士尼樂園內部資料、更難察覺惡意行為的安卓金融木馬GodFather，以及針對GitHub儲存庫的供應鏈攻擊都相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169697"><strong style="font-size: 22px;">中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" style="width: 300px; float: right;" /></a></p> <p>中國駭客架設Operational Relay Box（ORB）網路用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant曾對這種手法提出警告，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露名為LapDogs的ORB網路，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，研判最早從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。附帶一提的是，研究人員提及LapDogs與名為PolarEdge的ORB網路有共通的基礎設施特性，但戰術、手段、流程（TTP）與憑證管理存在不同的地方，因此他們認為LapDogs是獨立的ORB網路。</p> <p><a href="https://www.ithome.com.tw/news/169688"><strong style="font-size: 22px;">加拿大電信業者傳出遭受中國駭客Salt Typhoon攻擊</strong></a></p> <p>6月19日加拿大網路安全中心警告，中國駭客組織Salt Typhoon已經對加拿大電信業者及其他產業組織發動攻擊。</p> <p>去年10月底加拿大資安主管機關曾連同美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）聯合發布警告，由中國政府資助的Salt Typhoon已對全球主要電信業者、關鍵基礎設施、國防部門等進行網域名稱偵察及掃描，以便發動網路間諜攻擊。最新的警告則是說明已經出現受害者。</p> <p>加拿大政府獲報該國電信公司遭到惡意網路攻擊，兇嫌幾乎確定就是Salt Typhoon。Salt Typhoon在今年2月間駭入3臺加拿大電信公司的網路設備，攻擊者濫用了CVE-2023-20198的軟體漏洞，從這3臺設備存取配置檔，並且至少修改了其中一個檔案，重新配置了一般路由封裝（Generic Routing Encapsulation，GRE）通道，而從該業者網路蒐集流量資料。</p> <p><a href="https://www.ithome.com.tw/news/169699"><strong style="font-size: 22px;">巴黎迪士尼樂園傳出遭到勒索軟體Anubis攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，Anubis近期在他們的暗網網站聲稱，巴黎迪士尼樂園（Disneyland Paris）是最新的受害組織，並表明竊得64 GB內部資料。</p> <p>究竟這批檔案有那些內部資料？駭客宣稱包含約3.9萬份工程檔案，涉及「冰雪奇緣」、「加勒比海盜」、「巴斯光年」，以及雲霄飛車Crush's Coaster等遊樂設施的建設與翻新計畫。為了佐證他們說法的真實性，駭客在數小時後公布部分檔案內容，但是否有員工或遊客的資料外洩，目前仍不得而知。</p> <p>至於駭客竊取這批資料的管道，他們並非直接入侵巴黎迪士尼樂園，而是從其中一家發生資安事故的合作夥伴取得。不過，巴黎迪士尼樂園並未對此公開說明，因此外界目前也無法確定Anubis是否對其進行勒索。</p> <p><a href="https://www.ithome.com.tw/news/169657"><strong style="font-size: 22px;">安卓惡意軟體GodFather濫用虛擬化機制挾持銀行、加密貨幣App的帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodFather-app.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodFather-app.png" style="width: 300px; float: right;" /></a></p> <p>為了在安卓手機上能竊取機密資料，許多惡意軟體通常會透過覆蓋畫面等手法引誘使用者上當，但如今出現更複雜的手段，用戶更難察覺有異。</p> <p>行動裝置資安業者Zimperium揭露名為GodFather的金融木馬，此惡意程式對全球近500款銀行應用程式的用戶而來，主要集中對土耳其下手。這款惡意軟體與過往的金融木馬最大的不同，就是採用一種進階的裝置端虛擬化技術（On-device Virtualization），而能挾持數種合法的應用程式，其中包含行動銀行及加密貨幣相關的App。</p> <p>由於這種新手法是在受害裝置建立完整的、隔離的虛擬化環境，有別於一般惡意程式是藉由偽造的登入畫面來騙取帳密資料，此惡意軟體能在受害手機部署帶有虛擬化框架的惡意「主機」應用程式，並用來下載真實的行動銀行與加密貨幣App，然後透過攻擊者的沙箱環境執行。一旦受害者啟用手機裡的正牌應用程式，攻擊者就會將他們重新導向虛擬化環境的另一個App，使得這些用戶的一舉一動，包含點選、輸入的資料內容，都受到GodFather的監控。</p> <p><a href="https://www.ithome.com.tw/news/169686"><strong style="font-size: 22px;">GitHub出現67個木馬專案，Banana Squad攻擊軟體供應鏈竊取開發者資料</strong></a></p> <p>資安公司ReversingLabs揭露，近期在GitHub發現多達67個含有木馬程式的專案。這些惡意專案仿冒合法開源工具名稱，透過在開發者社群中散布惡意程式碼，竊取使用者系統資訊、應用程式資料、瀏覽器紀錄及加密貨幣等敏感資訊。調查顯示，這波攻擊與資安威脅組織Banana Squad有關，該組織自2023年以來多次針對開源社群發動軟體供應鏈攻擊，目標為程式開發者及資訊科技專業人士。</p> <p>Banana Squad本次攻擊主要策略，是在GitHub建立與熱門Python工具同名的專案，將惡意木馬程式隱藏於Python原始碼檔案內。木馬程式透過插入大量空白字符，將惡意程式碼隱藏在螢幕右側，降低被開發者檢查發現的機率。研究人員指出，這些偽裝專案的說明內容與合法專案相似，README檔案中則常出現自動產生的亂數字串混淆視聽。</p> <p>Banana Squad自2023年4月起持續發動相關攻擊，該組織曾於多個開源平臺，包括PyPI及NPM發起類似攻擊，近期則將重心轉向GitHub。GitHub接獲通報後，已協助下架所有被標記為惡意的67個專案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ncsc-issues-alert-on-umbrella-stand-malware/">惡意軟體Umbrella Stand鎖定Fortinet防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-defense-personnel/">巴基斯坦駭客Transparent Tribe針對印度國防部從事網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/dhs-warns-pro-iranian-hackers-likely-to.html">伊朗駭客傳出對美國網路環境發動攻擊，美國介入以色列與伊朗衝突疑為導火線</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/xdigo-malware-exploits-windows-lnk-flaw.html">惡意軟體Xdigo橫行，利用LNK漏洞攻擊東歐政府機關</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt28-hackers-use-signal-chats-to-launch-new-malware-attacks-on-ukraine/">APT28利用即時通訊軟體Signal散布惡意軟體，針對烏克蘭政府機關而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169691"><strong style="font-size: 22px;">IBM修補SIEM平臺QRader重大層級漏洞，若不處理攻擊者可用來執行任意命令</strong></a></p> <p>6月19日IBM發布資安公告，針對安全資訊暨事件管理（SIEM）平臺QRadar修補漏洞CVE-2025-33117、CVE-2025-33121、CVE-2025-36050，主要影響的版本是7.5.0版，該公司發布7.5.0 UP12 IF02版更新予以修補，值得留意的是，沒有其他的替代緩解措施，企業資安人員應儘速安排部署更新的作業因應。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2025-33117，取得特殊權限的攻擊者有機會竄改組態檔案，進而上傳惡意自動更新檔案，而能夠執行任意命令，風險值達到9.1分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> </div></div></div>
2025/6/24 18:10作者周峻佑https://www.ithome.com.tw/news/169703
中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客架設<a href="https://www.ithome.com.tw/tags/orb">Operational Relay Box（ORB）網路</a>用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant<a href="https://www.ithome.com.tw/news/163058">曾對這種手法提出警告</a>，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露<a href="https://securityscorecard.com/blog/unmasking-a-new-china-linked-covert-orb-network-inside-the-lapdogs-campaign/">名為LapDogs的ORB網路</a>，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，至少從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。</p> <p>而對於駭客使用的後門程式，研究人員指出，當中採用了自行簽署的TLS憑證，此憑證由LAPD發行，駭客可能是打算冒充洛杉磯警局（Los Angeles Police Department）的名義，混淆視聽。</p> <p>特別的是，雖然駭客同時打造Windows和Linux版本的ShortLeash，但他們似乎偏好針對Linux作業系統的裝置下手。駭客先使用Bash指令碼取得本機root權限，並檢查作業系統類型（Ubuntu、CentOS，或其他作業系統），備份特定惡意服務組態檔案、以系統處理程序轉譯現有的服務，使其在背景執行，並在受害裝置重開機後也會重新載入。</p> <p>針對這些受感染裝置，SecurityScorecard指出有超過半數（55%）為Ruckus無線基地臺，其次是Buffalo的AirStation無線路由器，而且，這些裝置都位於日本，大部分在東京。但除此之外，研究人員也提及組成LapDogs的節點，還有華碩、Linksys、D-Link、Panasonic、群暉等廠牌的設備。</p> <p>此外，研究人員指出大部分受害的IP位址當中，都存在了特定的資安漏洞CVE-2015-1548、CVE-2017-17663，這些漏洞皆與老舊版本的ACME mini_httpd有關。</p> <p>究竟那些人運用LapDogs從事網路攻擊？研究人員提及大多是APT駭客組織，<a href="https://www.ithome.com.tw/news/168051">其中一組人馬是UAT-5918</a>。該組織今年3月由思科威脅情報團隊Talos揭露，專門針對臺灣的關鍵基礎設施（CI）下手。</p> </div></div></div>
2025/6/24 16:17作者周峻佑https://www.ithome.com.tw/news/169697
【資安週報】0616~0620，伊朗國有銀行與加密貨幣交易所雙雙遇襲引發全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第三週的資安新聞中，全球爆發多起重大網路攻擊事件，不僅有以色列與伊朗軍事衝突衍生的網路攻擊戰，以色列駭客攻擊伊朗國有銀行與加密貨幣交易所，還有來自中國駭客組織的持續威脅，將目標鎖定在媒體機構與衛星領域，發動高度隱蔽的網路間諜活動。</p> <p>● 伊朗國有銀行Bank Sepah遭駭，多間分行被迫暫停營業，客戶無法存取銀行帳戶，後續，與以色列有關的駭客組織Predatory Sparrow宣稱是他們所為。<br /> ● 伊朗加密貨幣交易所Nobitex同樣遭遇以色列駭客Predatory Sparrow攻擊，該交易所證實部分熱錢包受影響，估計有逾9千萬美元加密貨幣遭竊並被銷毀。<br /> ● 美國華盛頓郵報發現自家電子郵件系統遭駭，調查顯示是6月12日遭遇目標式攻擊，已知有負責報導國安、經濟政策、中國等領域的記者帳號被入侵。<br /> ● 衛星網路公司Viasat近期證實，去年中國駭客組織Salt Typhoon大規模攻擊，他們也是受害者之一，同時說明雖遭遇未經授權的存取，但無客戶資料遭外洩。</p> <p>臺灣有兩起先前資安事件出現後續進展，一是臺灣加密貨幣交易所幣託（BitoPro）曾在6月初揭露公司於5月8日遭到網路攻擊，最近調查結果公布，指出駭客先是鎖定負責雲端業務的員工發動社交工程攻擊，植入惡意程式後逐步滲透，最終挾持AWS連線階段的Session Token繞過MFA，並將惡意指令碼轉移至熱錢包主機。另一是聯鈞光電在6月9日發布資安重訊，說明今年1月遭遇勒索軟體攻擊後，5月16日又遭另一勒索病毒入侵；6月13日該公司再次發布重訊補充說明，表示部分檔案遭竊取，並呼籲可能的利害關係人勿向駭客購買這些資料。</p> <p>在威脅態勢方面，在國內，有駭客假冒臺灣政府機關散布惡意軟體HoldingHands RAT、Gh0stCringe的攻擊活動，需要我們特別留意。今年1月Fortinet曾揭露有駭客假借國稅局的名義寄送釣魚信，如今該駭客攻擊活動仍然持續與擴大，對方還會佯裝海關總署、財政部等名義，使用稅收、養老金、發票、營業稅電子申報等名目為誘餌，引誘臺灣民眾誤信而遭植入惡意軟體。</p> <p>國際間還有其他重要威脅態勢，有一起藉由AI深度偽造發起的網路攻擊活動，最值得關注，這起事件是北韓駭客誘騙金融業員工參加視訊會議，且會議中包含公司內部知名高層領導的Deepfake影像，藉此誘騙受害者不慎下載macOS惡意軟體。</p> <p>●北韓駭客BlueNoroff散布macOS惡意軟體的攻擊活動被資安業者Huntress揭露，指出有加密貨幣機構的員工被誘騙參加一場精心偽冒的Zoom群組會議，當中要求員工下載包含惡意的特定Zoom延伸套件。<br /> ●駭客在3月、4月間鎖定近27萬個網站植入JavaScript惡意程式碼，將瀏覽這些網站的使用者導向惡意網站，Palo Alto Networks指出此攻擊是植入以JSFireTruck（JSFuck）手法處理的惡意JavaScript程式碼來達到目的。<br /> ●攻擊者濫用熱門紅隊演練工具TeamFiltration，針對微軟Entra ID帳戶發動密碼潑灑攻擊，Proofpoint警告年初這波攻擊影響了數百個組織、逾8萬個使用者帳戶，並有多起成功接管帳戶的案例</p> <p>至於零時差漏洞攻擊方面，Apple在6月10緊急修補一項已遭利用的零時差漏洞CVE-2025-43200，兩日後，加拿大Citizen Lab揭露這起攻擊事件已有2名歐洲記者中招，因為存在這個漏洞而被入侵，被植入以色列Paragon Solutions開發的Graphite間諜軟體。此外，還有兩個老舊漏洞持續遭攻擊者鎖定，引發美國CISA示警，包括TP-Link的漏洞CVE-2023-33538，以及Linux Kernel的漏洞CVE-2023-0386 。</p> <p>其他值得注意的漏洞消息，6月初電子郵件伺服器Roundcube修補重大漏洞 CVE-2025-49113（CVSS 9.9），10日後Shadowserver基金會警告，仍有近8.5萬臺伺服器未修補；5月資料圖形視覺化軟體Grafana修補漏洞CVE-2025-4123，一個月後應用程式安全業者指出，在Shodan連網裝置搜尋引擎上，可查到12.8萬臺系統，其中仍有逾4.6萬臺尚未更新，處於曝險狀態。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169573"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</span></strong></a></h3> <p>為了透過合法掩蓋非法行為，駭客不是濫用合法的雲端服務，就是入侵網站植入惡意程式碼，將其做為散布惡意軟體或從事其他惡意行為的管道，如今有一起大規模網站攻擊行動引起研究人員關注，因為駭客使用了罕見手法隱藏意圖。</p> <p>此外，鎖定微軟Entra ID的密碼潑灑（Password spraying）攻擊、iOS零點擊漏洞的間諜軟體攻擊事故、駭客兜售Roundcube重大漏洞的利用方法，後續都值得觀察。而在國內的資安事故，聯鈞光電週末發布重大訊息，揭露深度調查的新發現。</p> <h3><a href="https://www.ithome.com.tw/news/169594"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</span></strong></a></h3> <p>勒索軟體橫行多年，從一開始駭客採取雙重勒索的手段，到後來將勒索軟體開發與作案進行工成為常態，如今有新興駭客組織採取不同的作法，其中最引起研究人員注意的部分，就是納入抹除資料的手段，使得受害組織無法藉由竊密金鑰復原內容。</p> <p>其他的資安事故也值得留意，包含：駭客GrayAlpha意圖散布NetSupport RAT、逾三分之一資料圖形視覺化系統Grafana尚未修補CVE-2025-4123，以及華盛頓郵報部分記者郵件系統帳號遭駭。</p> <p><a href="https://www.ithome.com.tw/news/169611"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】AWS宣布IAM領域重大進展</span></strong></a></p> <p>大型雲端服務供應商AWS在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，並強調現今企業若要讓資安基礎穩固，必須採取更簡便且具擴展性的做法。</p> <p>在資安事故方面，伊朗國有銀行Bank Sepah因遭網路攻擊導致服務停擺是國際焦點；而在國內，有資安業者追蹤假冒國稅局的網釣攻擊事故，公布最新的調查結果。此外，兆勤防火牆與TP-Link路由器於2年前公布及修補的資安漏洞，傳出被用於實際攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</span></strong></a></h3> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169658"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</span></strong></a></h3> <p>駭客利用深偽（Deepfake）冒充公司高階主管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <p> </p> </div></div></div>
2025/6/24 11:30作者羅正漢https://www.ithome.com.tw/news/169690
【資安日報】6月20日，北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用深偽（Deepfake）冒充公司高管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169650"><strong style="font-size: 22px;">北韓駭客在Zoom視訊用AI深偽技術對企業員工網釣，意圖散布macOS惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" style="width: 300px; float: right;" /></a></p> <p>駭客使用深偽（Deepfake）技術行騙的情況，最近幾年不時有事故傳出，從多年前假冒加密貨幣交易所幣安（Binance）高層、馬斯克等名人詐騙加密貨幣，到去年發生有跨國企業遭到Deepfake視訊會議詐騙損失2億港幣、資安業者LastPass員工遭到冒牌執行長視訊會議險些上當、北韓駭客利用相關技術在資安業者KnowBe4求職得逞，最近又有駭客試圖透過深偽從事相關攻擊，直到受害組織察覺異狀才東窗事發。</p> <p>資安業者Huntress揭露一起北韓駭客的攻擊行動，攻擊者的身分是匿稱為BlueNoroff、TA444、Sapphire Sleet、Copernicium、Stardust Chollima的駭客組織，他們鎖定Web3領域下手，針對Mac電腦用戶展開攻擊。</p> <p>接觸到誘餌的使用者是加密貨幣機構的員工，當時他從Telegram頻道收到駭客的訊息，對方引誘點選偽裝成Google Meet活動的連結，而該連結是透過線上會議排程工具Calendly建立，但這名員工依照指示點選後，就被重新導向到攻擊者控制的冒牌Zoom網域。數週後，這名員工參加了Zoom群組會議，視訊畫面出現多個深偽人物，模仿其公司高層與外部合作夥伴，試圖與這名員工建立信任。過程裡要求員工下載特定的Zoom延伸套件，但實際上這是有問題的AppleScript指令碼，執行後就會下載第二階段的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/169556"><strong style="font-size: 22px;">北韓駭客Kimsuky鎖定異議人士，透過臉書、電子郵件及Telegram展開釣魚攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" style="width: 300px; float: right;" /></a></p> <p>與北韓關聯的Kimsuky駭客組織被揭露利用臉書、電子郵件與Telegram等三重社交通道，對韓國本地涉北韓議題的異議人士、人權工作者及志工團體發動高度客製化的釣魚攻擊。根據韓國資安廠商Genians的調查，Kimsuky駭客組織近期攻擊範圍已從政府及國防單位，擴大至脫北者支援團體、NGO與公民運動參與者，導致相關人士面臨資訊外洩與個資遭監控的風險。</p> <p>駭客通常先在臉書上建立與目標背景相似的假帳號，例如冒用宗教組織志工、脫北者志工或具學術背景的人士，主動向涉北韓議題的個人或團體發出好友邀請，並在取得對方信任後，展開訊息互動。</p> <p>在進一步於取得受害者信任後，駭客會要求提供電子郵件，透過郵件寄送第二波攻擊檔案或惡意連結，當電子郵件及手機號碼同時掌握時，則可能進一步透過Telegram或其他即時通訊軟體接觸受害者，進行多管道且持續的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169590"><strong style="font-size: 22px;">假DeepSeek-R1廣告暗藏BrowserVenom木馬，劫持瀏覽器流量</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" style="width: 300px; float: right;" /></a>卡巴斯基GReAT團隊發現駭客鎖定熱門生成式人工智慧應用熱潮，透過假冒DeepSeek-R1語言模型安裝程式的Google廣告，散布名為BrowserVenom的新型惡意木馬，專門劫持受害者瀏覽器流量，並竊取個人資料。</p> <p>根據研究人員的調查，攻擊者利用Google搜尋廣告，將針對DeepSeek R1關鍵字所建立的釣魚網站推至搜尋結果頁面頂端。該網站外觀與DeepSeek官方網站極為相似，並會依據訪客作業系統顯示相對應的介面，進一步提升誘騙成功率。</p> <p>以Windows用戶為例，進入釣魚網站後會僅出現Try now按鈕，點擊後則會出現CAPTCHA防機器人驗證頁面，實際上相關驗證機制均以JavaScript混淆程式碼實作，目的是過濾自動化工具，提高釣魚精準度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/gerrit-misconfiguration-exposed-google-projects-to-code-injection/">程式碼協作平臺Gerrit組態配置不當，Google專案恐遭惡意程式碼注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/water-curse-targets-cybersecurity-pros-github-repos">駭客組織Water Curse鎖定仰賴開源工具的開發者、資安專家，使用GitHub散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bert-ransomware-escalates-attacks-on-linux-machines/">勒索軟體Bert鎖定Linux系統而來，利用武器化ELF檔從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/179036/hacking/new-predator-spyware-infrastructure-revealed-activity-in-mozambique-for-first-time.html">間諜軟體Predator捲土重來，研究人員發現新的基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169656"><strong style="font-size: 22px;">Citrix修補NetScaler兩項重大層級漏洞</strong></a></p> <p>Citrix本周發布安全更新，修補NetScaler軟體兩項重大風險漏洞。</p> <p>本次修補的漏洞影響二項產品，包括NetScaler ADC及NetScaler Gateway，較嚴重的是CVE-2025-5777，為對外部輸入HTTP呼叫的長度驗證不足導致過度讀取記憶體（Memory Overread），造成資料不當外洩。本漏洞屬於越界讀取（Out-of-bounds Read）漏洞，CVSS 4.0風險值為9.3。</p> <p>其次是CVE-2025-5349，為前述產品NetScaler管理介面的存取控制不當漏洞，小則讓未授權用戶存取系統設定、日誌、竄改設定，大則可能導致遠端程式碼執行或控制作業系統。本漏洞風險值為8.7。</p> <p><a href="https://www.ithome.com.tw/news/169400"><strong style="font-size: 22px;">聯發科修補藍牙驅動程式高風險漏洞</strong></a></p> <p>聯發科發布產品更新，修補影響其手機及物聯網晶片的多項資安漏洞，包含一個影響藍牙驅動程式高風險提權漏洞，以及多項影響WLAN和藍牙驅動程式的中度風險漏洞。這波漏洞影響聯發科智慧型手機、平板、AIoT、智慧顯示器、智慧平臺、OTT、電腦視覺、音訊和電視晶片組。</p> <p>高風險漏洞編號CVE-2025-20672，為一堆積緩衝溢位（Heap overflow）漏洞。本漏洞起於藍牙驅動程式邊界檢查（bounds check）不正確，導致攻擊者提高本地User執行權限以進行惡意活動，而本漏洞不需使用者互動即可達成濫用。</p> <p>這波更新還修補了多項中度風險漏洞，涵括了一項提權（EoP）漏洞CVE-2025-20674（影響藍牙驅動程式）及5項阻斷服務（DoS）攻擊漏洞，包括CVE-2025-20673、CVE-2025-20675、CVE-2025-20676、CVE-2025-20677和CVE-2025-20678，其中除了CVE-2025-20678為電信模組IMS Service，其餘皆影響WLAN驅動程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gitlab-patches-high-severity-account-takeover-missing-auth-issues/">GitLab修補高風險層級的帳號挾持漏洞、缺乏身分驗證漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169654"><strong style="font-size: 22px;">微軟預告7月M365將預設封鎖使用舊版身分驗證機制存取檔案</strong></a></p> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p>微軟本周透過M365管理員中心訊息公布此事，M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> </div></div></div>
2025/6/20 12:48作者周峻佑https://www.ithome.com.tw/news/169658
【資安日報】6月19日，伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169631"><strong style="font-size: 22px;">以色列駭客Predatory Sparrow對伊朗加密貨幣交易所Nobitex下手，銷毀價值9千萬美元的資金</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" style="width: 300px; float: right;" /></a></p> <p>上週末以色列與伊朗再度爆發軍事衝突，本週以色列駭客組織Predatory Sparrow（Gonjeshke Darande）聲稱對伊朗國營銀行Bank Sepah發動網路攻擊，摧毀所有資料，導致有幾間分行被迫暫停營業、客戶無法存取銀行帳戶、金融卡無法使用，ATM顯示尚未連線的錯誤訊息，引起全球高度關注。事隔一天，這些駭客傳出再度犯案，這次是針對加密貨幣交易所而來。</p> <p>根據CNN、衛報、Wired等各家媒體報導，這些駭客於6月18日透過社群網站X聲稱，他們也對伊朗大型加密貨幣交易所Nobitex下手，並預告將在1天之內公布該公司的原始碼，以及內部網路竊得的資料。同日Nobitex也在社群網站X發文，證實他們的網路環境出現基礎施未經授權存取的情形，影響該公司的內部通訊系統，以及部分熱錢包。Nobitex察覺後將所有受到影響的系統隔離，並透過內部事件回應團隊展開全面調查。</p> <p>專精加密貨幣相關網路犯罪的資安業者Elliptic公布相關調查結果，證實了Nobitex的說法，他們確認有超過9千萬美元加密貨幣遭竊，駭客將竊取的資金轉移至「虛榮地址（Vanity Addresses）」，這些地址包含反伊朗政權的訊息，例如針對伊斯蘭革命護衛隊（IRGC）的侮辱字句。</p> <p><a href="https://www.ithome.com.tw/news/169626"><strong style="font-size: 22px;">殭屍網路Flodrix鎖定LLM開發工具Langflow而來，意圖發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" style="width: 300px; float: right;" /></a></p> <p>殭屍網路綁架的目標，通常是缺乏定期修補、存在已知漏洞的家用路由器、網路攝影機、NAS、防火牆等小型連網設備，但近期這樣的態勢出現了變化，6月上旬資安業者Akamai揭露有兩個殭屍網路鎖定開源資安監控平臺Wazuh而來，利用重大漏洞CVE-2025-24016（CVSS風險9.9分）攻陷及控制Wazuh伺服器，有其他駭客組織跟進，鎖定開源AI開發平臺的重大漏洞來綁架主機。</p> <p>資安業者趨勢科技揭露名為Flodrix的殭屍網路，駭客鎖定的目標，駭客的目標是大型語言模型（LLM）應用程式開發平臺Langflow，他們透過網路掃描、尋找存在重大漏洞CVE-2025-3248的伺服器下手，並運用公開的概念驗證程式碼（PoC）而奪取遠端Shell的存取權限，得逞後攻擊者於受害主機下達bash命令進行偵察，然後將結果回傳C2伺服器。</p> <p>接著，駭客於受害主機下載、執行殭屍網路病毒Flodrix，一旦此惡意軟體成功完成部署，並與C2伺服器建立連線，攻擊者就能透過TCP連線下達命令並發起各種分散式阻斷服務（DDoS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169624"><strong style="font-size: 22px;">衛星網路公司Viasat去年遭中國駭客Salt Typhoon攻擊</strong></a></p> <p>根據彭博社報導，與中國政府有關聯的駭客組織Salt Typhoon去年對電信業者發動大規模攻擊，衛星連網服務業者Viasat也是受害者之一。</p> <p>這項報導隨後獲得Viasat證實。Viasat發言人表示，該公司去年偕同外部專家調查，攻擊者是透過一臺被入侵的裝置，在未授權情況下存取了公司網路。但該公司強調沒有客戶受到影響，而且Viasat相信事件已經解決，今年以來沒有偵測到任何和該事件有關的活動。</p> <p>而對於這起大規模攻擊事故造成的危害，現在也傳出新的調查結果。FBI指出，Salt Typhoon入侵電信業者已造成近130萬名用戶及1億筆記錄外洩。報導說，藉由入侵美國電信公司，可助長Salt Typhoon取得重要人物，例如美國官員的通話記錄。這個組織還涉入今年2月針對美國財政部的攻擊行動，藉此取得憑證存取多位美國官員的筆電。</p> <p><a href="https://www.ithome.com.tw/news/169627"><strong style="font-size: 22px;">3月公布的Chrome零時差漏洞最新調查結果出爐，駭客組織TaxOff用於部署後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" style="width: 300px; float: right;" /></a>今年3月Google修補Chrome零時差漏洞CVE-2025-2783，當時通報此事的資安廠商卡巴斯基透露，駭客發出邀請函，以世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」報告為誘餌，誘使用戶存取釣魚網站。不過，當時研究人員並未辨識出行動是由誰策動。本週有研究人員公布進一步的調查結果。</p> <p>資安廠商Positive Technologies指出，攻擊者是名為TaxOff的駭客組織，一旦收信人點選報告連結，就會觸發CVE-2025-2783，讓駭客能將後門程式Trinper植入電腦。他們進行比對，發現另一組人馬Team46於去年10月從事的網釣攻擊手法相當類似，當時這些駭客以現代世界獨立國協安全（Security of the Union State in the modern world）」國際會議為誘餌來散布Trinper，主要的差別是駭客當時鎖定Yandex瀏覽器而來，利用另一個漏洞CVE-2024-6473來達到目的。對此，研究人員認為，TaxOff與Team46可能是同一個駭客組織。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/stargazers-use-fake-minecraft-mods-to-steal-player-passwords/">Minecraft玩家遭到鎖定，駭客假借提供作弊工具竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/google-warns-of-scattered-spider.html">Scattered Spider鎖定美國保險業者的IT支援部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/hundreds-of-wordpress-websites-hacked-by-vextrio-viper-group/">駭客組織VexTrio Viper入侵數百個WordPress網站，意圖架設大型惡意流量分派服務</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85-%E5%8F%B0%E7%81%A3%E6%9F%90%E7%A7%81%E7%AB%8B%E5%A4%A7%E5%AD%B8%E9%81%AD-nova-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A-%E5%B9%95%E5%BE%8C%E7%8F%BE%E8%B9%A4%E4%B8%AD%E5%9C%8B-apt-489c778a54dd">勒索軟體Nova聲稱成功入侵臺灣一所大學，攻擊者身分疑為中國APT駭客</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169623"><strong style="font-size: 22px;">Veeam修補備份軟體重大漏洞，可導致在備份伺服器遠端執行程式碼</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於6月17日揭露影響備份軟體與其代理程式的3項漏洞，並釋出修補。</p> <p>這3個漏洞中，最嚴重的是編號為CVE-2025-23121的漏洞，為CVSS嚴重性等級評分9.9的重大漏洞，由watchTowr與CodeWhite安全研究人員發現與通報，存在於Veeam Backup & Recovery備份軟體12.3.1.1139以前的版本，通過身分驗證的網域使用者，可透過這個漏洞從遠端存取備份伺服器，並且在上面任意執行各種程式碼。</p> <p>事實上，Veeam先前在今年3月，才剛修補Veeam Backup & Recovery另一個相似的遠端執行程式碼漏洞CVE-2025-23120，CVSS嚴重性評分同樣是9.9，當時Veeam曾發布12.3.1版（build 12.3.1.1139）備份軟體來修補這個漏洞，但時隔3個月後，這個修補版本也被發現存在遠端執行程式碼漏洞，解決方法是將備份軟體更新到12.3.2版（build 12.3.2.3617）。</p> <p><a href="https://www.ithome.com.tw/news/169606"><strong style="font-size: 22px;">Tenable揭露與修補漏洞管理平臺代理程式漏洞，以免攻擊者趁機覆寫Windows系統檔案</strong></a></p> <p>資安系統出現漏洞，很有可能影響保護能力，但過往大部分受到媒體報導的消息，多半與防毒軟體、EDR、防火牆、SSL VPN有關，然而最近有漏洞管理平臺的資安漏洞引起SecurityWeek、SC Media、Infosecurity Magazine、Heise Online等多家媒體關注並報導此事，因為若不處理，攻擊者能以SYSTEM權限對Windows電腦上下其手。</p> <p>漏洞管理解決方案Tenable上週發布Windows版Nessus代理程式更新，修補3項資安漏洞CVE-2025-36631、CVE-2025-36632、CVE-2025-36633，這些漏洞可被非管理員身分的使用者利用，攻擊者能以SYSTEM權限覆寫本機任意系統檔案、執行程式碼，或是刪除檔案以便提升權限，CVSS風險介於7.8至8.8分，影響10.8.4以下版本的Nessus代理程式，使用者應儘速升級至10.8.5版因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/linux/new-linux-udisks-flaw-lets-attackers-get-root-on-major-linux-distros/">Linux作業系統元件udisks存在漏洞，攻擊者有機會藉此得到root權限</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">針對Chrome憑證撤銷信任，中華電信表示</strong></a><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">受影響政府機關網站7月底可望全面完成憑證更換</strong></a></p> <p> </p> <p>6月初中華電信TLS網站憑證因改善不合規，遭Google宣布將從Chrome 139之後瀏覽器開始，移除信任中華電信從8月起簽發的TLS新憑證，受影響的中華電信TLS憑證包括商業及政府機關網站。中華電信今天（6/17）首次對外公開說明，目前正協助客戶更換憑證，受影響政府網站預期在7月底完成憑證更新或轉換為雙憑證，並祭出改進作為，包括8月起暫停簽發憑證、重整內部憑證管理團隊、加強自動化檢查憑證，避免人為疏失等等，希望在2026年3月重新獲得Chrome預設信任憑證為目標。</p> <p>中華電信董事長簡志誠對外公開說明，他表示，瀏覽器改版有時可能會變更欄位，去年3月中華電信憑證維運團隊對改版後的欄位變更敏感不足，團隊配合改版調整欄位的時效性不夠快，去年無法配合時程，導致中華電信維運團隊的行為在Bugzilla社群論壇不被信任，今年2、3月公司內高階主管瞭解這件事立即從手改善，儘管中華電信已經完成改善，但Google仍基於先前團隊的不合規紀錄，決定自8月起移除Chrome瀏覽器對中華電信新TLS憑證的預設信任。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</strong></a></p> </div></div></div>
2025/6/19 16:35作者周峻佑https://www.ithome.com.tw/news/169632
【美國AMD全球發表會直擊】蘇姿丰：AMD將建立以開放、開發者優先的AI生態系發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來AI不會由任何一家業者或是封閉生態系統所建構，而是由開放合作、跨產業來形塑AI的發展，因為人人都可以帶來最好的想法，一起共同創新」，AMD執行長蘇姿丰在美國舉辦的AMD全球發表活動中總結說。</p> <p>這個想法呼應今年AMD全球發表活動的口號Together we advance，也體現蘇姿丰提出AMD對AI的3大策略，除了提供廣泛運算產品，讓合適的運算資源和合適的模型、應用配對，以及提供完整的方案之外，更重要的是大力投資建構一個開放性、開發者優先的生態系，「真正支援每一個主流框架、每個函式庫，以開放標準讓產業凝聚在一起，讓每個人都能為AI創新提供貢獻」。</p> <p>開放生態系在 AMD 的人工智慧願景中扮演核心的關鍵角色，AMD也在發表活動中，多次提及開放標準的重要性，以和競爭對手建立區隔。</p> <p>該公司的策略是提供開放標準的硬體、軟體，例如此次新發表的資料中心AI加速器AMD Instinct MI350系列，該資料中心GPU除了支援更大的HBM記憶體及提升記憶體頻寬，增加AI運算效能之外，支援業界的GPU節點標準UBB8，展示搭載MI350系列的AI Rack設計，以建立大規模的AI基礎建設。</p> <p>在建立生態系方面，AMD一直積極地向AI開發社群招手，呼應蘇姿丰提到的3大AI策略，以開發者優先的策略，AMD開源軟體堆疊ROCm經營開發社群下已獲得一些進展，透過持續優化開發工具、SDK套件，例如除錯、微調工具，也和GitHub、Hugging Face開發社群平臺強化與開發社群平臺的合作關係，讓平臺上的模型更容易開發及部署。以Hugging Face為例，目前已有超過180萬的模型支援AMD平臺。</p> <p>針對比較熱門的AI模型，鑑於這些模型快速的更新發展，AMD強調在Day 0就與模型業者合作，強化AMD各種運算產品對最新模型的支援，推動Llama、Mistral等模型在AMD平臺的優化，不斷改善模型訓練、推論在AMD平臺的效能。</p> <p><span style="color:#B22222;"><strong>模型推論及訓練效能加強的ROCm 7</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-13%20%E4%B8%8A%E5%8D%884_37_28.jpeg" style="width: 600px; height: 262px;" /></p> <p>在今年美國發表活動中推出ROCm 7，支援最新發表的MI350系列GPU，強調新的ROCm 7有更好的推論能力，相較於前代的ROCm 6，AMD比較新舊的軟體推疊在DeepSeek R1、Llama 3.1 70B及Qwen-2 72B三個模型的推論效能表現，ROCm7比ROCm6有平均3.5倍的推論效能提升。</p> <p>AMD也不忘秀出與開發社群深化合作的成果，以執行DeepSeek R1為例，在FP 8的效能測試下，AMD的MI355X在ROCm 7加持下，較Nvidia GB200高出1.3倍的效能。</p> <p>此外，ROCm 7與ROCm 6在模型訓練效能表現上，在Llama 2 70B、Llama 3.1 8B、Qwen 1.5 7B三個模型，ROCm7較ROCm 6的訓練平均效能提升3倍。</p> <p>ROCm也加強對Linux開發社群的支援，包括Red Hat EPEL、Ubuntu、OpenSUSE的支援，陸續會在今年完成。此外，過去缺乏Pytorch在Windows的開發環境支援，也可望在今年下半年完整支援Pytorch在Windows環境的開發。</p> <p>呼應開發者優先的策略，AMD也發表Developer Cloud，提供開發工具、ROCm 7，讓開發社群能在一定的資源限制下，免費存取使用AMD Instinct 300系列GPU的資源。</p> <p><span style="color:#B22222;"><strong>與紅帽聯手強化企業AI的高效能推論部署</strong></span></p> <p>針對企業需要的資料安全整合、容易部署，AMD強化ROCm for Enterprise AI，強調讓企業易於部署AI，ROCm for Enterprise AI以ROCm 7對資料中心CPU、GPU、DPU基礎資源，靈活彈性調度低層的叢集資源，支援Kubernetes及Slurm的整合，加強對上層的AI工作負載的管理，並進一步支援MLOps。</p> <p>在企業的AI應用部署方面，AMD已與紅帽合作，包括在VLM對開源模型推論部署的提高效能，強化對AMD旗下運算加速產品的支援，還有以VLM為基礎的LLMD(Large Language Model Distributed inference framework)，加強對大語言模型推論的分散架構支援，進一步支援在混合雲環境的企業AI推論部署。</p> <p>OpenShift AI簡化企業AI推論部署，其中對於CPU及GPU的支援相當重要，雙方合作讓OpenShift AI支援AMD最新的Instinct系列GPU，確保企業能以彈性且易於部署的方式部署高效能AI推論。</p> </div></div></div>
2025/6/13 19:47作者蘇文彬https://www.ithome.com.tw/news/169555
【資安日報】6月13日，Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路攻擊事故頻傳，最近資安業者Akamai揭露的事故相當特別，駭客鎖定的目標，竟是在中小企業、教育機構、政府機關相當受歡迎的資安平臺Wazuh。</p> <p>而在漏洞消息的方法，趨勢科技、Palo Alto Networks修補旗下資安防護產品的漏洞相當值得留意；Acronis、Dell也為備份軟體、NAS作業系統修補重大層級漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169540"><strong style="font-size: 22px;">開源資安平臺Wazuh重大漏洞遭鎖定，兩個Mirai殭屍網路變種用於攻擊行動</strong></a></p> <p>一般而言，殭屍網路攻擊主要鎖定的標的，大多是缺乏資安防護與相關管理的物聯網設備，例如：SOHO或家用路由器、NAS、網路攝影機，利用資安漏洞滲透設備。然而近期有一起攻擊行動相當不尋常，駭客鎖定的標的竟是一套資安系統。</p> <p>資安業者Akamai揭露專門針對開源資安監控平臺Wazuh的攻擊行動，有兩個殭屍網路Mirai變種自3月下旬鎖定已知的重大層級漏洞CVE-2025-24016而來，入侵並控制Wazuh伺服器。而對於這些殭屍網路的來歷，一個是專門針對物聯網裝置的LZRD（也稱做Morte），另一個是使用義大利語的人士經營的Resbot（Resentual）。</p> <p>這些殭屍網路不約而同盯上Wazuh重大漏洞並用於攻擊，突顯可能已有不少這類系統直接曝露在網際網路，以及未及時套用新版軟體的現象，使得攻擊者有機可乘，得以利用漏洞來入侵這類資安平臺。</p> <p><a href="https://www.ithome.com.tw/news/169490"><strong style="font-size: 22px;">竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/683fd1159b230ce09c72c78b_AD_4nXds5qbBqTDHs9r2dHQxv7Z3sI4jLtTY_69cfRBT99gDn4hz50bJKpfMSgDe8pOWwwGo14-jH01SzNThNWJGexGWuXjDf6eo2I7SOPKMiK_FMq2jRurZ4HdoK2wzzCPv2gg3yQBdRA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/683fd1159b230ce09c72c78b_AD_4nXds5qbBqTDHs9r2dHQxv7Z3sI4jLtTY_69cfRBT99gDn4hz50bJKpfMSgDe8pOWwwGo14-jH01SzNThNWJGexGWuXjDf6eo2I7SOPKMiK_FMq2jRurZ4HdoK2wzzCPv2gg3yQBdRA.png" style="width: 300px; float: right;" /></a></p> <p>資安公司CloudSEK揭露一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-attack-uses-unusual-mix-of-legitimate-and-open-source-tools/">勒索軟體Fog濫用開源滲透測試工具、員工監控軟體Syteca從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/graphite-spyware-used-in-apple-ios-zero-click-attacks-on-journalists/">蘋果iOS零點擊漏洞遭到濫用，間諜軟體Graphite鎖定記者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/password-spraying-attacks-target-80-000-microsoft-entra-id-accounts/">逾8萬微軟Entra ID帳號遭密碼潑灑攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169533"><strong style="font-size: 22px;">趨勢科技修補影響端點加密、安全管理平臺多項高風險漏洞</strong></a></p> <p>趨勢科技本周發布產品更新，修補影響端點加密Endpoint Encryption、安全控管平臺Apex Central的多項高風險、重大層級漏洞。</p> <p>其中，他們一口氣為Trend Micro Endpoint Encryption（EMEE）的PolicyServer元件修補8項漏洞，最嚴重的4項皆為反序列化（deserialization）漏洞，分別被登記為CVE-2025-49212、CVE-2025-49213、CVE-2025-49214、CVE-2025-49217，CVSS風險介於8.8至9.8；對於Apex Central，該公司修補了2項反序列化漏洞CVE-2025-49219及CVE-2025-49220，風險值皆達到9.8。</p> <p>特別的是，趨勢科技提及多項漏洞相當類似，他們提及CVE-2025-49212、CVE-2025-49213、CVE-2025-49217、CVE-2025-49219、CVE-2025-49220為相似的反序列化漏洞；CVE-2025-49215、CVE-2025-49218為類似的SQL注入權限提升漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169543"><strong style="font-size: 22px;">Palo Alto Networks修補安全瀏覽器、SSL VPN高風險漏洞</strong></a></p> <p>6月12日資安業者Palo Alto Networks發布7則資安公告，針對旗下的安全瀏覽器Prisma Access Browser、SSL VPN系統GlobalProtect、防火牆作業系統PAN-OS進行修補，其中有兩則被列為高風險的公告內容，特別值得留意。</p> <p>根據CVSS風險評分，最危險的是該公司為Prisma Access Browser修補的一系列資安漏洞，4.0版風險值達到8.6分，影響136.24.1.93以下版本Prisma Access Browser，他們發布了137.16.2.69版予以修補。這些漏洞總共有12個，大部分源自Google近期發布的Chromium更新，僅有CVE-2025-4233是Prisma Access Browser獨有的弱點。值得留意的是，其中的CVE-2025-4664、CVE-2025-5419，Google在公布漏洞的時候就提及已遭利用的情況。</p> <p>另一項高風險弱點影響macOS版GlobalProtect用戶，此漏洞登記為CVE-2025-4232，為通過驗證的程式碼注入漏洞，影響6.2、6.3版GlobalProtect應用程式，攻擊者有機會透過macOS版GlobalProtect用戶端程式將權限提升為root，風險值為7.1。</p> <p><a href="https://www.ithome.com.tw/news/169526"><strong style="font-size: 22px;">Acronis修補資料保護與備份軟體多個漏洞，包括資料外洩與非授權存取的重大漏洞</strong></a></p> <p>主要資料安全與備份軟體供應商之一的Acronis，於6月4日公布旗下主力產品Acronis Cyber Protect的7個漏洞，包括4個重大漏洞（CVSS風險評分達到9.8與10.0），分別會影響Acronis Cyber Protect與其代理程式，並釋出修補。</p> <p>這7個漏洞中，最嚴重的是3個CVSS嚴重性評分達到10.0的漏洞，包括CVE-2025-30411、CVE-2025-30412與CVE-2025-30416，都是涉及身分驗證不足導致敏感資料外洩與操弄（manipulation），資安新聞網站Cybersecurity Made Easy對CVE-2025-30416另提供額外說明，指出這個漏洞涉及非授權存取。這3個漏洞都會影響到build 39938版本以前的Acronis Cyber Protect 16（含Windows與Linux版），解決方法是升級到Acronis Cyber Protect 16 Update 4。</p> <p><a href="https://www.ithome.com.tw/news/169496"><strong style="font-size: 22px;">網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統</strong></a></p> <p>5月底Dell發布資安公告，指出旗下的網路儲存設備作業系統PowerScale OneFS存在5項資安漏洞，一旦攻擊者成功利用，就能入侵存在漏洞的環境。Dell發布9.10.1.2、9.7.1.8、9.5.1.3版PowerScale OneFS予以修補。</p> <p>根據CVSS風險評分，這次修補的漏洞當中最嚴重的是CVE-2024-53298，此為網路檔案系統（NFS）匯出功能缺乏授權弱點，未經授權的攻擊者只要遠端存取PowerScale OneFS，就有機會利用，從而導致未經授權的檔案系統存取，使得攻擊者能隨意讀取、竄改、刪除任何檔案。Dell強調攻擊者若是成功利用漏洞，能完整控制PowerScale OneFS，CVSS風險值為9.8。</p> <p>若是管理員無法即時套用PowerScale OneFS更新，Dell也提供緩解措施，使用特定命令與NFS匯出功能，重新載入每個區域的組態。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-tokenbreak-attack-bypasses-ai.html">AI審核機制可被繞過！研究人員揭露TokenBreak攻擊手法，透過更動單一字元達到目的</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/securonix-acquires-threat-intelligence-firm-threatquotient/">資安業者Securonix買下威脅情報公司ThreatQuotient</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169531"><strong>【6月12日】大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> </div></div></div>
2025/6/13 12:24作者周峻佑https://www.ithome.com.tw/news/169544
蘋果切入雲原生基礎技術競爭，推出主打安全和隱私的MacOS原生容器化專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年WWDC，除了多項全新介面設計的發布之外，蘋果也悄悄的發布了一項根本性的雲原生開源專案，MacOS原生的容器技術專案，也就是<a href="https://github.com/apple/containerization">容器化開源專案Containerization專案</a>，以及對應的命令列工具<a href="https://github.com/apple/container">container專案</a>。</p> <p>蘋果工程師Michael Crosby在WWDC中發布了這個容器化開源專案（Containerization），這是一個可以像原生應用般建置容器化應用的Swift框架。「蘋果發布這個專案的目標是希望能改變Linux容器的設計和導入方式，達到更安全，更隱私，也更有效率的效果。」他強調。 </p> <p>蘋果在2021年挖角了Docker公司重要工程師Michael Crosby，他是Docker專案的維護者，擔任過2018年OCI技術監督委員會主席，是容器技術標準化的關鍵推手。Michael Crosby現在成了蘋果容器化專案的關鍵推手。</p> <p>過去要在macOS上執行一個容器，得先建立一個大型Linux虛擬機器，預先配置足夠的處理器和記憶體資源，才能用來執行多個容器。這個虛擬機器會將事先配置的資源，共享、分配給虛擬機器中每一個容器來運用。</p> <p>這個做法的缺點是，每當要新增一個容器需要存取一份外部目錄中的檔案時，得先將Mac上的這個目錄和檔案分享給虛擬機器，接著才能提供給這份檔案資料的容器，其他容器也有機會可以存取這個檔案。<br /> Michael Crosby指出，蘋果推出這個容器化專案想要達成三大目標，第一是安全目標，希望能容器具備現在虛擬化技術所能提供的隔離效果，也希望減少在虛擬機器中的核心工具和動態函式庫。「減少這些機制，可以減少可被駭客利用的攻擊面，也能降低維運成本。」他解釋。</p> <p>其次，隱私是第二項目標，「限制可存取的目錄應該成為每一個容器的基礎能力，應該讓只有這份資料需求的容器，才能存取它。」Michael Crosby補充。最後一項專案目標是效能，希望能依據使用者所能提供的資源來調校效能。</p> <p>蘋果新發表的Containerization專案是一個開源的Swift框架專案，提供了一套可以執行容器和管理容器映像檔的API，以及一個用Swift開發的系統啟動工具。要啟動一個容器，通常會先從儲存庫下載一份容器映像檔，映像檔中有一份用來啟動這個容器的配置，以及內建儲存應用程式碼和相關站是酷的檔案系統。在Containerization專案，在一個macOS容器中的檔案系統，會視為一個區塊儲存裝置（block device），會格式化成Linux最常見的EXT4目錄結構。Containerization專案提供了Swift元件，可以直接存取EXT4格式目錄中的檔案。 </p> <p>為了確保夠安全的隔離應，每一個macOS容器要執行時，Containerization會同時啟動一個輕量化的虛擬機器來隔離這個容器，啟動時間不用到1秒。這個設計帶來幾個好處，第一是，可以讓每一個macOS容器可以有獨立的IP位址，讓這些容器的網路存取更有效率，存取macOS容器上的服務，不需要參考通訊埠對應表，而能直接存取。另一個好處是，可以限制，容器只能讀取到它所請求的內容，這些內容不會被其他容器接觸。在資源配置也能更有效率，只要沒有啟動容器，就不需要占用記憶體貨處理器的資源。</p> <p>啟動一個maOS容器時，會透過一隻起程式vminid，進行IP指派，掛上區塊儲存裝置和相關啟動作業。傳統虛擬機器啟動時，會啟動一套完整的作業系統，但為了減少攻擊面，在Containerization專案的輕量化虛擬機器中，完全沒有核心工具和動態函式庫，移除了許多核心指令，如移除cd、cp、ls等常見目錄指令，也沒有提供libc實作。這個vminid沒有任何連結檔案，直接用了Swift的靜態Linux SDK，把vminitd編譯成一隻靜態的linux執行檔。</p> <p>Containerization支援容器化標準OCI的映像檔，可以直接從Docker Hub等標準Registre直接拉取映像檔來部署。另外，也提供了一套建置Linux容器化應用的工具，也就是命令列工具container，可以管理容器映像檔和支援容器需要的儲存、網路服務等，可以支援 run、pull 及 push等標準容器化操作命令。另外，macOS容器透過Rosetta 2技術，也可以執行為x86-64架構編譯的二進位檔，也就是在Intel 處理器Mac上編譯的二進位檔。 </p> <p>目前這個Containerization容器化專案需要安裝macOS 26 Beta或更新版本才能執行。若在macOS 15上執行，則會有部分網路功能的閒置。</p> <p>許多開發者使用Mac電腦作為開發工具，但要在本地端提供容器化的雲原生測試環境，過去得安裝一些容器軟體，像是Docker、Podman、Orbstack或Lima等。</p> <p>雖然蘋果沒有進一步說明，為何要跳下來打造雲原生生態圈最基礎的容器化技術。但隨著蘋果Containerization專案，以及對應的命令列工具container專案的發布，這意味著蘋果開始提供更原生的Linux容器支援，有助於讓macOS成為大規模雲原生架構的資訊基礎，在雲原生技術生態圈中，扮演更關鍵的角色。</p> <p> </p> </div></div></div>
2025/6/10 18:53作者王宏仁https://www.ithome.com.tw/news/169464
中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露<a href="https://www.sentinelone.com/labs/top-tier-target-what-it-takes-to-defend-a-cybersecurity-company-from-todays-adversaries/">有多組人馬針對他們而來</a>的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，<a href="https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/">公布更完整的調查結果</a>。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p>針對這兩波攻擊，研究人員提及在PurpleHaze發生在去年9月至10月，駭客使用後門程式GOREshell建立反向SSH連線，此後門程式以Go語言打造而成，鎖定Windows、Linux電腦下手，共通點是駭客使用相同的SSH私鑰進行，此外，為了抹除證據，他們也使用自製工具清除事件記錄檔案。</p> <p>另一波攻擊行動ShadowPad延續的時間較長，為去年6月至今年3月，駭客使用PowerShell命令下載經過混淆處理的惡意程式ShadowPad，並使用 DNS over HTTPS（DOH）建立C2連線以迴避偵測，研究人員提及，駭客取得初始入侵管道的方式，疑似透過Check Point安全閘道設備弱點得逞。</p> <p>而對於這些攻擊行動，研究人員分別看到三起事故。以ShadowPad而言，駭客在去年6月對南亞政府組織下手，接著，他們自7月至今年3月，對全球超過70個企業組織展開攻擊，範圍橫跨製造、政府、金融、電信，以及研究領域。</p> <p>最後一波攻擊與SentinelOne有關，今年初，駭客入侵一家經營IT服務與物流的公司，而該公司當時負責SentinelOne員工硬體設備的物流業務。</p> <p>在PurpleHaze活動期間裡，也同樣發生三起事故。第一起是針對上述提及的南亞政府機關，於去年10月散布GOREshell，過程裡採用中國經營的Operational Relay Box（ORB）網路。</p> <p>第二起事故也發生在10月，駭客針對SentinelOne可透過網際網路存取的伺服器試圖進行偵測，這起事故駭客使用的基礎設施，與攻擊南亞政府機關的團體有關。</p> <p>研究人員提及發生於去年9月下旬的事故，駭客入侵一家歐洲媒體，除了使用GOREshell，還使用PHP打造的Web Shell，以及名為The Hacker's Choice的工具。他們提及駭客入侵的管道，是利用Ivanti Cloud Services Appliance的資安漏洞CVE-2024-8963和CVE-2024-8190，而當時這些漏洞尚未公開。</p> </div></div></div>
2025/6/10 16:25作者周峻佑https://www.ithome.com.tw/news/169453
Apple用Swift重寫密碼監控服務效能提升40％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/swift-at-apple-migrating-the-password-monitoring-service-from-java/">Apple將密碼監控服務後端由Java改為Swift</a>，效能提升40％，記憶體用量降低一個量級，單一實例記憶體大幅縮減，99.9％請求延遲低於1毫秒，整體資源使用量減半</p> <p>Apple近年推動軟體基礎架構現代化，繼在行動裝置與桌面端廣泛導入Swift後，最新重大調整是將密碼監控服務後端從Java改寫為Swift，並已在全球生產環境部署。根據Apple官方團隊說明，Swift版本的效能較Java提升約40％，同時能大幅降低記憶體用量。</p> <p>密碼監控服務是Apple在2024年所推出Passwords應用程式的核心功能之一。該服務協助用戶於多裝置間管理密碼、通行密鑰與驗證碼，並即時檢查密碼是否外洩。而其服務後端運作在Linux基礎設施，須要長時間高效處理全球數十億裝置的查詢請求，對效能與擴充性要求嚴格。</p> <p>Apple團隊表示，隨用戶規模擴大，Java雖具穩定性及豐富生態系，但在大規模服務下的資源使用率已經成為瓶頸。特別是在記憶體管理、JVM啟動速度與垃圾回收調校上，難以兼顧高並行（Concurrency）的即時性與運算效能。團隊在多次調校JVM後仍無法達成預期目標，因此評估以Swift重構系統架構。</p> <p>採用Swift重寫後，服務單一實例記憶體需求從Java高峰時的數十GB降至數百MB，資源用量大幅減少。整體吞吐量提升約40％，99.9％請求延遲低於1毫秒，團隊指出，Swift具嚴謹型別系統、可選值與安全釋放機制，有助減少執行期間錯誤並提升程式碼可讀性。Swift語法設計也使開發人員能以更精簡且易於維護的方式建構模組化架構，重寫後程式碼行數約為原先的15％，有利於降低維運負擔。</p> <p>在軟體架構方面，Apple採用Swift的Vapor伺服器端框架，並針對密碼監控需求，開發橢圓曲線密碼技術、稽核、設定及錯誤處理等自訂元件。針對高安全標準，密碼監控服務不會回傳用戶密碼至Apple，採用隱私集合交集（Private Set Intersection）等密碼技術協定，確保用戶隱私與安全。</p> <p>Apple技術團隊進一步指出，Swift除了高效能與安全性，也具動態擴充能力，適合在Kubernetes等雲端原生架構運作。轉換後，密碼監控服務的資源使用量減半，使Kubernetes叢集可釋出更多資源供其他服務使用，進而提升整體系統的可用性與彈性。</p> </div></div></div>
2025/6/9 12:06作者李建興https://www.ithome.com.tw/news/169429
Linux基金會啟動FAIR套件管理專案，打造WordPress的去中心化套件平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）上周五（6/6）<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-fair-package-manager-project-for-open-source-content-management-system-stability" target="_blank">宣布啟動FAIR套件管理（FAIR Package Manager）專案</a>，該專案定位為中央WordPress.org外掛程式及主題生態系統的去中心化替代方案，以將控制權交還給托管商及開發人員。被視為是<a href="https://www.ithome.com.tw/news/165222" target="_blank">WP Engine爭議</a>的衍生性產物。</p> <p><a href="https://github.com/fairpm" target="_blank">根據該專案的說明</a>，FAIR套件管理可作為一個隨插即用的WordPress外掛程式運行，以聯合的開源基礎設施無縫地替換現有的集中式服務。該系統有兩個核心支柱，包括以本地或FIAR管理的替代方案取代了與 WordPress.org API的通訊，以及採用去中心化的套件管理。</p> <p>該專案說明，儘管穩定的外掛程式目前使用的是WordPress.org鏡像，但未來的版本將完全支援FIAR原生套件。</p> <p>託管商有兩種方式來遞送FAIR，一是提供獨立的外掛程式，可直接安裝在現有的WordPress上，二是透過FAIR發行版來自動部署網站。</p> <p>Linux基金會執行董事Jim Zemlin指出，FAIR套件管理專案將替開源內容管理的穩定性及發展鋪路，替貢獻者與企業提供了一個由中立社群治理的額外選項。</p> <p>該專案的意義在於可消除核心更新、外掛程式及主題對任何單一來源的依賴；藉由整合不同來源的外掛程式，替現代安全實踐奠定基礎；以及將安全性構建至供應鏈中，改善加密安全措施，強化瀏覽器相容性檢查，以允許依賴來自可信來源的安全加密鹽值。</p> <p>FAIR套件管理專案被視為是WP Engine事件的衍生物。WordPress專案主要貢獻者並開發WordPress.com的Automattic，在2024年要求同為WordPress託管商的WP Engine付費取得WordPress商標使用權，但遭WP Engine拒絕，隨後Automattic創辦人Matt Mullenweg即於去年9月<a href="https://www.ithome.com.tw/news/165222" target="_blank">禁止WP Engine存取WordPress.org</a>。</p> <p>WordPress.org為WordPress開源專案的官方網站與資源中心，負責提供核心軟體的免費下載與文件，也是官方的外掛程式及主題儲存庫，儘管它理論上應該是由社群所擁有，但Automattic或Mullenweg卻可片面決定封鎖WP Engine，還在同年10月<a href="https://www.ithome.com.tw/news/165480" target="_blank">擅自分叉WP Engine的ACF外掛</a>。Automattic內部也因此出現矛盾，最後<a href="https://www.ithome.com.tw/news/165444" target="_blank">造成159名員工離職</a>，Mullenweg也被批評違反開源精神，同時使得WordPress.org的中心化審核、發布機制與更新過程開始受到質疑。</p> <p>WordPress企業級解決方案供應商Crowd Favorite也贊助了FAIR套件管理專案，該公司執行長Karim Marucchi表示，從個人用戶、企業到遞送管道，WordPress的每個人都有一個共同的目標，亦即平臺的長期生存能力；而實現此一目標的最佳途徑即是消除供應鏈安全漏洞，以穩定整個WordPress生態系統。</p> </div></div></div>
2025/6/9 10:19作者陳曉莉https://www.ithome.com.tw/news/169426
Google Chrome桌機版更新修補已遭濫用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop.html" target="_blank">Google公告</a>即將在近日內釋出桌機版Chrome更新，以修補3項漏洞，包含一個遭濫用的V8元件高風險漏洞。</p> <p>最新的Windows、macOS版Chrome 137.0.7151.68/.69，以及Linux版Chrome 137.0.7151.68將在未來幾天到幾周，經由Stable通道逐步部署給所有用戶。</p> <p>這次更新包含三項漏洞的修補程式，分別為高、中、低度風險漏洞各一。其中高風險漏洞編號CVE-2025-5419，為影響JavaScript引擎V8的越界讀寫漏洞，它是由Google威脅分析部門Clement Lecigne和Benoit Sevens通報。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5419" target="_blank">NIST漏洞資料庫網頁說明</a>，本漏洞允許遠端攻擊者透過改造HTML網頁，引發記憶體堆積（heap）毁損，CVSSv3 score為8.8。</p> <p>Google已在最新版Chrome中變更配置以解決本漏洞。但Google警告已發現濫用CVE-2025-5419的活動。不過Google表示在多數Chrome用戶安裝完更新前，為確保用戶安全，將暫時保留技術細節，並呼籲用戶及早安裝更新。</p> <p>另一個中度風險漏洞編號為CVE-2025-5068，為排版引擎Blink的使用已釋放記憶體（use-after-free）漏洞，由代號Walkman的研究人員通報。和前者類似，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5068" target="_blank">根據NIST資料庫說明</a>，CVE-2025-5068允許遠端攻擊者改造HTML網頁，引發記憶體堆積（heap）毁損。雖然Google將本漏洞列為中度風險，但安全廠商<a href="https://www.tenable.com/cve/CVE-2025-5068" target="_blank">Tenable網站顯示</a>為CVSS score 8.8，屬高風險。</p> </div></div></div>
2025/6/4 09:49作者林妍溱https://www.ithome.com.tw/news/169349
Codex CLI改採Rust原生重寫，提升效能與跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI旗下開發工具<a href="https://github.com/openai/codex/discussions/1174">Codex CLI現正由TypeScript改以Rust重寫</a>，以提升效能並支援多作業系統。Rust具備高效能、低資源消耗與安全性，有助於滿足企業及開發社群在跨平臺開發上的需求。</p> <p>Codex CLI為一款終端工具，提供與OpenAI語言模型互動功能，可輔助開發者於本地環境進行程式開發。隨著生成式人工智慧於軟體開發流程的應用增加，CLI工具需支援多作業系統並維持執行效能。OpenAI此次以Rust重寫Codex CLI，主要原因在於Rust可直接編譯為各作業系統可執行檔，無需依賴Node.js，簡化環境建置並減少安裝失敗風險，有助於資源管理與執行速度。</p> <p>開發團隊表示，重寫工具的重點於移除Node.js依賴、提升Linux平臺沙箱安全、降低執行期間記憶體用量，以及預留多語言擴充彈性。Rust不採用垃圾回收機制，可精確管理記憶體，對長時間運作或高並行需求的CLI工具擁有一定優勢。Codex CLI導入自行開發的Wire Protocol（底層資料傳輸協定），作為代理執行框架，未來有望支援Python、JavaScript等多語言擴充模組，方便開發者整合人工智慧服務。</p> <p>安全性也是本次重構的重要考量。Linux平臺已採用以Rust開發的安全沙箱，可直接整合至系統底層，降低攻擊風險並提升用戶端運作保障。TypeScript版本會持續維護，而Rust原生版在功能與體驗成熟後，就會成為預設選項。目前Codex CLI Rust原生版本已開放透過NPM安裝，OpenAI團隊鼓勵社群開發者參與程式碼貢獻及功能測試。</p> </div></div></div>
2025/6/4 08:31作者李建興https://www.ithome.com.tw/news/169341
【資安月報】2025年5月，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月資安新聞，多項AI資安相關技術發展揭露受關注，涵蓋Agentic SOC、AI資安模型、AI資安解決方案，以及Digital Twin的AI紅藍隊演練等，這些消息成為我們本月首先關注的一大焦點。</p> <p>還有4個威脅層面的議題，同樣值得我們重視，包括攻擊者用AI的態勢，零時差漏洞攻擊的狀況，濫用合法網域廢棄子網域的問題，以及國內外重大資安事件。在此我們彙整5大資安焦點，帶大家回顧本月重要新聞。</p> <p><span style="color:#FF0000;"><strong>（一）多場大型IT展會點出資安最新技術發展方向</strong></span></p> <p>全球指標性資安盛會RSA Conference 2025於4月28日至5月1日在美國舊金山舉行，多家科技大廠與資安業者在期間宣布推出AI資安工具，顯現AI多元應用持續快速融入資安領域。例如，Google宣布將朝向Agentic SOC發展，預期未來全自動化代理型資安維運中心，同時展示先前推出的兩款AI資安代理，一是提供警示分類代理（Alert Triage Agent）於Google SecOps，，另一是提供惡意軟體分析代理（Malware Analysis Agent）於Google Threat Intelligence之中。</p> <p>資安大廠Cisco則宣布，推出自家首款開放式AI資安模型Foundation-Sec-8B，並以開放權重方式釋出，協助更多資安人員應用AI於資安分析、維運與防護，這是Cisco於2024年併購Robust Intelligence後帶來的最新成果。而在此之前，趨勢科技亦推出名為Cybertron的資安專用LLM，並將部分模型開源供社群使用。</p> <p>至於AI相關解決方案方面，市場上已有許多大廠投入，Palo Alto Networks如今也跟進，公布其AI安全管理平臺Prisma AIRS，另也宣布收購新創公司Protect AI。</p> <p>此外，在5月下旬的臺北國際電腦展（Computex 2025）現場，趨勢科技也展示一項正在研發的資安解決方案，聚焦紅藍隊攻防演練而來，其特別之處是應用數位孿生（Digital Twin）概念來搭建高程度的模擬環境，並用AI扮演紅隊與藍隊來模擬攻防過程，透過此種自動化演練找出企業防禦差距，並回饋到實體環境。<br /> </p> <p><strong style="color: rgb(255, 0, 0);">（二）駭客現階段最常將AI用於社交工程攻擊強化</strong></p> <p>在資安威脅態勢上，攻擊者用AI技術提升網路攻擊的風險，是大家都在關注的焦點。本月我們報導Google Cloud國際資安合作負責人Christopher B. Porter在臺的演說，就是他們揭露實際觀察到攻擊者應用AI的態勢。他強調，儘管外界擔憂生成式AI被用於開發惡意程式，挖掘零時差漏洞來攻擊，或自動化大規模攻擊，但實際上，駭客現在最常用在社交工程手法的強化，因此我們現在所面對更急迫的威脅，是網路釣魚與偽冒行為。同時他也指出，語音偽冒攻擊需要特別關注，不僅因為攻擊成功率更高，還有金融業以語音驗證身分的方式也要改變，因為現在只靠語音驗證已變得不再可靠。</p> <p>不僅如此，FBI於5月15日也發布這方面的警告，指出有不肖份子正在利用AI技術冒充高級美國官員的身分，以竊取政府官員及其聯絡人的個人帳戶資訊。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）SAP NetWeaver漏洞遭多個國家級駭客與勒索軟體組織鎖定</strong></span></p> <p>漏洞攻擊威脅持續升高，攻擊者不僅持續針對已知漏洞發動攻擊，每月更不乏零時差漏洞攻擊的情況，以5月而言，再有10多個零時差漏洞攻擊事件傳出，涵蓋微軟、SAP、Ivanti、Fortinet、Commvault等旗下產品，以及Google的 Chromium瀏覽器專案等。</p> <p>當中最受關注的消息是SAP NetWeaver的漏洞CVE-2025-31324、CVE-2025-42999，因為通報前項漏洞的資安業者ReliaQuest指出，這是CVSS滿分漏洞，已有攻擊者在受害伺服器植入Web Shell，半個月後又有通報後項漏洞的資安業者Onapsis指出，其實駭客在今年1月就串聯這兩個漏洞來發動攻擊。</p> <p>不僅如此，相關攻擊活動也不斷被揭露，讓攻擊者身分浮上檯面。例如，資安業者Forescout發現中國駭客Chaya_004在4月底利用上述漏洞部署後門程式SuperShell，主要鎖定製造業環境攻擊；還有威脅情報業者EclecticIQ指出，確認有多組攻擊團體大舉鎖定上述漏洞來攻擊，包括3組與中國國安部有關的駭客組織CL-STA-0048、UNC5221、UNC5174，利用漏洞攻擊關鍵基礎設施，還有2個駭客組織（RansomEXX與俄羅斯勒索團體BianLian）也加入漏洞利用行列。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）留意合法網域的廢棄子網域管理議題，出現劫持攻擊活動</strong></span></p> <p>在最新資安威脅手法方面，駭客劫持合法網域下廢棄子網域的攻擊手法，成為最需警戒的重點之一。因為這種攻擊方式使用合法網域，容易讓使用者降低戒心，並也規避與阻礙資安防護的偵測。</p> <p>最新又有一起攻擊活動揭露，更是顯現出攻擊者使用DNS劫持方式來做到這類攻擊，呈現更複雜且不同以往的攻擊技術。根據資安業者Infoblox說明，他們一開始發現美國疾病管制與預防中心（CDC）的子網域突然託管數十個涉及色情影片的URL連結，追查後Infoblox將此駭客組織命名為Hazy Hawk，指出該組織是具備DNS專業知識的攻擊者，專門針對高知名度組織的廢棄雲端資源進行劫持。</p> <p>具體而言，其攻擊方式利用了DNS CNAME記錄的配置錯誤，也就是當CNAME記錄指向的雲端資源已移除或不存在，就形成所謂「dangling」懸空的記錄，駭客透過註冊或控制此資源來劫持網域，而且攻擊者還會利用TDS惡意流量導向系統（TDS），將受害者導向惡意或詐騙網站。</p> <p>隨著濫用合法網域與廢棄子網域的攻擊手法日益猖獗，這次發現Hazy Hawk的行動，再次提醒企業與組織重視這方面的問題，而且雲端資源同樣要注意。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）多起重大資安事件，電信業與零售業遭駭情形最受關注</strong></span></p> <p>在重大資安事故方面，以臺灣而言，根據公開資訊觀測站的重大訊息公告，本月有1家上市公司揭露資安事件：遠雄公司因系統異常，導致郵件發送給外部無關人員。</p> <p>以國際而言，韓國電信業者SK Telecom資安事故更是引發極大關注，因為發生大量USIM等客戶資料外洩情形，恐導致非法製造USIM卡的身分冒用問題，<br /> SK Telecom是在4月22日揭露遭駭，一星期後宣布將為2,500萬用戶免費換發SIM卡，到了5月19日公布第二次事故調查結果有更多具體細節曝光，共清查出23臺伺服器受害，發現BPFDoor等25種類型惡意軟體，而且最早的Web Shell被植入時間是在2022年，顯示駭客已經潛伏3年已久。</p> <p>不只電信業成為駭客鎖定目標，還有多起事件突顯零售等不同產業同樣面臨嚴峻的網路攻擊威脅。例如，在零售業方面，英國接連傳出重大資安事件，包括瑪莎百貨（M&S）、連鎖超市Co-op，以及精品百貨Harrods等都遭遇網路攻擊，疑勒索軟體團體DragonForce所為；還有製造與零售業的可口可樂傳出內部資料遭竊的消息，有兩個駭客組織Everest與Gehenna宣稱竊得資料。</p> <p>還有兩家業者在自家網站公布資安事故消息，像是運動用品業者Adidas說明客戶資料遭未授權存取，初步研判是從第三方客戶服務供應商入侵；托福、雅思的教育出版業者Pearson表示有未經授權攻擊者存取該公司系統。此外，加密貨幣交易平臺Coinbase向美國SEC提交資安事故報告，不僅揭露用戶資料外洩，並指出海外客戶支援的約聘人員是內賊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168734"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0428~0502，新世代資安維運中心Agentic SOC、資安領域專用LLM發展受關注</span></strong></a></h3> <p>在2025年5月第一星期的資安新聞，RSAC 2025全球資安會議於美國舉行，資安業者發表AI資安新進展是主要焦點；在資安攻擊事故方面，韓國電信龍頭爆發嚴重資安事件，因為大量用戶的USIM相關資料遭竊，引發身分冒用危機，還有SAP零時差漏洞攻擊的狀況，有資安業者指出可能有逾1,100套NetWeaver系統已被入侵</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168882"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0505~0509，第七期國家資通安全發展方案正式出爐，以建構可信賴、安全的數位社會為核心價值</span></strong></a></h3> <p>回顧2025年5月第二星期的資安新聞焦點，臺灣第七期國家資通安全發展方案（2025年至2028年）出爐，數位發展部資安署署長蔡福隆於行政院的院會會議說明3大目標、4大行動策略；在資安事故消息方面，近期英國瑪莎百貨（M&S）、連鎖超市Co-op、精品百貨Harrods接連傳出遭到網路攻擊，引起各界關注</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169009"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0512~0516，多組中國駭客組織、勒索軟體駭客鎖定SAP NetWeaver漏洞入侵關鍵CI與企業組織</span></strong></a></h3> <p>回顧2025年5月第三星期的資安新聞焦點，共有多達8個零時差漏洞遭攻擊者利用的消息，涵蓋微軟、SAP、Fortinet與Google等；上月SAP修補NetWeaver滿分重大漏洞，發現不只中國駭客Chaya_004利用，至少還有3組中國駭客CL-STA-0048、UNC5221，以及UNC5174，以及2組勒索軟體駭客組織將其用於實際攻擊</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169145"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害</span></strong></a></h3> <p>在2025年5月第四星期的資安新聞焦點，韓國電信SK Telecom與臺灣CoWoS設備製造商萬潤科技的資安事故後續消息是主要焦點；在最新威脅態勢方面，有駭客組織劫持企業網域從企業雲端資源被遺忘的DNS記錄下手，還有駭客偽冒生成式AI服務，生成檔案為惡意執行檔，但運用雙重副檔名等伎倆偽裝為圖檔與影片檔</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169283"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0526~0529，兩大創新技術用於改善資安，防禦方式可望獲得重大突破</span></strong></a></h3> <p>回顧2025年5月最後一星期的資安新聞，有兩大防護發展成主要焦點，包括以趨勢科技展示創新方案以數位孿生搭建自動化攻防演練，以及研究人員公開用OpenAI的o3模型可發現Linux核心一項漏洞的成果；在資安威脅態勢上，中國駭客組織發起的AyySSHush攻擊行動最受關注，因為主要針對華碩路由器2023年已知漏洞而來</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168722">【2025年4月，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167727">【2025年2月資安月報，臺灣海纜遭人為破壞、醫院遭勒索軟體攻擊，關鍵CI防護受考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167154">【2025年1月資安月報，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a><br /> </h3> <p> </p> </div></div></div>
2025/6/3 18:30作者羅正漢https://www.ithome.com.tw/news/169340
【資安日報】6月3日，Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169318"><strong style="font-size: 22px;">合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" style="width: 300px; float: right;" /></a>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。</p> <p>Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信緊急發表聲明，坦言未按新政策規定在時間內完成調整，導致遭Google決定移除瀏覽器預設信任憑證，目前已完成調整且符合新政策要求，爭取明年3月重新回復Chrome瀏覽器信任。</p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應並啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，以維護政府公共服務的穩定度及可信度。</p> <p><a href="https://www.ithome.com.tw/news/169337"><strong style="font-size: 22px;">軟體供應商ConnectWise遭遇國家級駭客攻擊，部分ScreenConnect用戶遭鎖定</strong></a></p> <p>5月28日軟體業者ConnectWise發布資安公告，指出他們察覺網路環境出現可疑活動，攻擊者的身分疑似與國家級駭客有關，並指出這起事故影響極少數遠端桌面軟體ScreenConnect用戶，他們已尋求資安業者Mandiant協助調查此事，並通知受到影響的用戶。</p> <p>在網路環境遭到入侵後，該公司加強監控並強化防護，並於4月24日發布ScreenConnect修補程式因應，並指出他們對於雲端版本的ScreenConnect實體套用後，就再也沒有出現可疑活動的跡象。</p> <p>針對這起事故，ConnectWise透露的資訊並不多，他們初步認為這並非勒索軟體攻擊，並未透露實際受害用戶規模，也沒公布攻擊者的身分，說法也很含糊，該公司提及4月24日的修補程式，不禁讓人懷疑是否間接透露當時修補的驗證方式不適當漏洞CVE-2025-3935早就遭到利用？但這樣的猜測，顯然有待進一步的證據佐證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/cryptojacking-campaign-exploits-devops.html">GitHub現成工具被用於挖礦攻擊，駭客藉此濫用DevOps API</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-recruiter-emails-target-cfos-using.html">求職信網釣鎖定財務長而來，駭客利用遠端存取工具Netbird得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cloudsek.com/blog/50-000-azure-ad-users-exposed-via-unsecured-api-bevigil-uncovers-critical-flaw">研究人員揭露Azure AD重大漏洞，逾5萬用戶曝露於不安全的API而面臨風險</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169342"><strong style="font-size: 22px;">高通修補GPU已被用於實際攻擊行動的零時差漏洞</strong></a></p> <p>6月2日高通發布本月例行更新，總共修補18項弱點，其中有2項為重大層級、11項為高風險層級、5項為中度風險層級，值得留意的是，其中有3項漏洞CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，已被用於針對數量有限的目標從事攻擊行動。</p> <p>這些已遭利用的資安漏洞，先後由Google旗下的Android資安團隊通報，皆與顯示晶片（GPU）有關，其中被列為重大層級的CVE-2025-21479、CVE-2025-21480，發生的原因都是不正確的授權，在執行特定命令的過程中，可能導致GPU微節點（Micronode）未經授權執行命令，從而出現記憶體中斷的現象，CVSS風險為8.6分（滿分10分）。</p> <p>第3個遭到利用的漏洞CVE-2025-27038為高風險層級，同樣也會造成記憶體中斷，此為記憶體釋放後再存取利用（Use After Free）漏洞，發生在Chrome運用Adreno GPU驅動程式渲染圖像的過程，風險值為7.5。</p> <p><a href="https://www.ithome.com.tw/news/169322"><strong style="font-size: 22px;">針對遭殭屍網路AyySSHush利用的路由器漏洞，華碩針對這些資安弱點公告提出說明</strong></a></p> <p>上週威脅情報業者GrayNoise揭露鎖定華碩路由器而來的殭屍網路AyySSHush攻擊行動，並指出過程當中駭客運用已知漏洞CVE-2023-39780與兩個未登記CVE編號的弱點，停用與趨勢科技合作的內建防護機制AiProtection，從而控制約9千臺路由器，引起各家資安媒體報導此事。</p> <p>但對於這些漏洞的處理情形，GrayNoise僅透露皆已修補，其中CVE-2023-39780是透過近期的韌體更新緩解，鮮少有媒體掌握、透露進一步的資訊，我們嘗試查詢華碩的資安公告網頁，但難以找到相關資料。為了找到更多資訊，我們聯繫華碩，請他們回應此事。</p> <p>華碩表示，針對CVE-2023-39780的部分，他們已在2023年對RT-AX55發布的3.0.0.4.386_51948版韌體當中完成修補。特別的是，該公司提及另有4個漏洞編號實際上也是CVE-2023-39780，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347、CVE-2023-41348。</p> <p><a href="https://www.ithome.com.tw/news/169339"><strong style="font-size: 22px;">杜浦數位安全揭露並修補端點防護程式高風險權限提升漏洞</strong></a></p> <p>5月下旬台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出杜浦數位安全（TeamT5）旗下的EDR系統ThreatSonar Anti-Ransomware存在權限提升漏洞CVE-2025-4477，攻擊者在取得中等權限的情況下，就能透過特定的API遠端將權限提升至最高管理員層級，影響3.8.0以前版本，呼籲用戶套用修補程式hotfix-250327，或是升級至3.8.1版因應，CVSS風險為7.2（4.0版為8.6分）。由於相關漏洞說明都引述TWCERT/CC的公告內容，並未提其他細節，對此，我們也向杜浦數位安全詢問，請他們回應此事。</p> <p>針對這項漏洞的發現，杜浦數位安全表示是他們的PSIRT團隊找到，此漏洞形成的原因源自於ThreatSonar的API參數檢查環節出現問題，使得攻擊者能用來調整使用者的權限等級。而攻擊者利用這項漏洞存在必要條件，就是事先需要取得可登入系統的中等權限用戶帳號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/new-linux-flaws-allow-password-hash.html">Linux存在資訊洩露弱點，攻擊者恐藉此竊取密碼雜湊值</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169251"><strong style="font-size: 22px;">微軟公布新一代Windows Update平臺，將納管第三方應用程式更新</strong></a></p> <p></p> <p>企業環境中的各種應用程式，以及Windows元件，都是透過各自的更新機制運作，這樣的情況不但難以管理，而且在更新過程還會干擾用戶電腦正常運作、各種通知引發混亂，導致錯過更新期限等情況，對此微軟打算為Windows 11提供新的Windows Update協作平臺（Orchestration Platform），目前推出封閉測試的預覽版，用戶可寄送電子郵件申請參與。</p> <p>此協作平臺是以Windows Update相關技術為基礎開發而成，旨在提供管理工具開發人員API，以加入到其產品更新清單。這個平臺的協作者就會協調所有加入清單的產品在Windows 11上更新，以及微軟自己的Windows Update，使IT管理員及用戶不再被眾多更新混淆及干擾。</p> <p>這個協作平臺可提供智慧排程，根據使用者活動、系統效能、是否連上AC電源排定更新。微軟或第三方應用式更新，都可使用原生Windows Update的通知，可簡化使用體驗。這個協調工具可支援IT的更新期限和通知等管理政策；應用程式更新記錄會集中在「設定」，方便用戶統一檢視，若發生問題時也可讓IT透過事件錄進行排除。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/tenable-acquire-ai-security-apex">漏洞管理業者Tenable買下AI資安新創Apex</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> </div></div></div>
2025/6/3 17:43作者周峻佑https://www.ithome.com.tw/news/169343
合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信對Google的新措施表達遺憾，並說明原因為未在Goole要求時限內改善，重申所發行的憑證安全無虞，並已完成調整，將爭取明年回復Chrome瀏覽器信任。</p> <p><a href="https://security.googleblog.com/2025/05/sustaining-digital-certificate-security-chrome-root-store-changes.html">根據Google在安全部落格的說明</a>，依據Chrome根憑證計畫政策，Chrome root store中的CA憑證授權單位必需為Chrome使用者提供價值大於其帶來的風險，其他考量的因素包括CA擁有者揭露、回應事件，當發生問題時，Google期望CA擁有者承諾進行有意義且可被證明的改善。</p> <p>Google指出，CA為網站與瀏覽器間的加密連線提供支援，在網路上扮演受信任的角色，因此必需遵守安全共識及合規的要求，包括CA/Browser論壇的TLS標準合規要求，從過去一年或幾個月觀察到，兩家CA授權單位合規性不達標，且承諾改進未符合要求，對於公開披露的事件報告缺乏實際且可被衡量的作為，可靠性信心下降，侵害到CA業者因公眾信任而在Chrome瀏覽器預設信任的信心，為確保Chrome使用者的安全及Chrome root store完整性而採取新措施。</p> <p>從Chrome 139及後續版本開始，TLS伺服器憑證驗證，其最早的SCT(Signed Certificate Timestamp)日期為2025年7月31日晚上11:59:59 UTC之後，將預設不再被信任。至於TLS伺服器驗證憑證，最早SCT在2025年7月31日晚上11:59:59 UTC或之前，則不受影響。</p> <p>新措施在8月實施後，影響包括Windows、macOS、ChromeOS、Android、Linux平臺上的Chrome 139及後續版本，Chrome將無法瀏覽採用兩家CA新憑證的網站，至於iOS平臺方面，因為Apple政策的限制，iOS 版Chrome瀏覽器不受影響。</p> <p>Google會依先前公布的Chrome功能，基於SCT時間來刪除瀏覽器對憑證的預設信任，以降低對訂閱者的干擾。但是，Chrome使用者和企業可透過明確信任憑證的設定，覆寫上述基於SCT的限制，使憑證仍能正常運作。</p> <p>為降低新的Chrome憑證預設信任政策影響，Google建議網站維運單位可以瀏覽器憑證檢視器先一步確認網站是否受影響，Google建議受影響的網站維運管理單位儘早遷移其他受信任的CA核發的憑證。此外，從Chrome 128開始新增命令列，允許使用者模型SCTNotAfter的不信任限制效果。</p> <p><span style="color:#B22222;"><strong>中華電信表達遺憾，爭取回復Chrome預設信任</strong></span></p> <p>對於Google新的Chrome瀏覽器將從8月起不再信任中華電信核發的新TLS憑證，中華電信也立即發表聲明，對Google的新措施表達遺憾，該公司解釋Chrome 139之後版本刪除瀏覽器預設信任中華電信新憑證的原因是，部分程序未能在Chrome新政策要求時限內調整完成，儘管日前中華電信已完成調整且符合Chrome新政策的要求，Google仍決定先移除Chrome預設信任，移除的原因並非因為憑證有漏洞或私鑰洩漏，仍會爭取回復預設信任，預計於2026年3月完成。</p> <p>中華電信並未詳細說明中間的過程，僅說明受影響的憑證為2025年7月31日之後發行的新憑證，7月31日之前發行的憑證不受影響，影響的是Chrome瀏覽器，微軟等其他瀏覽器則未受影響。</p> <p>該公司也強調中華電信及受委託營運的公開服務的憑證管理中心，符合電子簽章法規範，且通過WebTrust for CA及ISO 27001，提供的數位簽章具法律效力，請使用者安心；另外，該公司也強調所簽發的憑證完全合法合規，在政府、金融、證券、數位簽章等領域維持正常使用，不受影響。</p> <p><strong>數發部：3月已提前因應，推動雙憑證機制改善政府網站使用穩定性</strong></p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應，在今年3月起啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，政府公共服務的穩定度及可信度。</p> <p>數發部指出，因Chrome的信任政策調整是針對2025年8月1日後的新憑證，因此政府TLS憑證中心(GTLSCA)先前發的網站憑證，在1年效期內仍可正常使用，並未受到此次調整的影響。</p> <p>至於可能受到影響的公務機關網站，數發部提供技術支援、作業指引，輔導機關完成系統設定及相容性測試，以避免不同機關間的技術落差，致使公共服務無法使用，引發外界的誤會，影響對政府數位治理的信任。</p> </div></div></div>
2025/6/3 06:15作者蘇文彬https://www.ithome.com.tw/news/169318
【資安週報】0526~0529，兩大創新技術用於改善資安，防禦方式可望獲得重大突破
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月最後一星期的資安新聞，有多項資安防禦進展的消息成為焦點，涵蓋用數位孿生（Digital Twin）概念幫助企業紅藍隊演練，以及運用AI更快發現零時差漏洞等，還有國際間打擊駭客網路攻擊有多項具體成果揭露，尤其是多國執法行動Operation Endgame 2.0的新成果。</p> <p>●趨勢科技在Computex 2025展示正在開發的創新解決方案，他們利用Digital Twin來搭建企業攻防演練環境，並用AI扮演紅隊與藍隊找出企業防禦差距。<br /> ●研究人員公布用OpenAI的o3模型發現Linux核心漏洞的成果，同時也用另一漏洞來執行驗證，發現100次測試有8次可發現漏洞。<br /> ●微軟宣布多國執法機構與資安業者共同摧毀Lumma惡意程式網路，指出近兩個月全球39.4萬多臺電腦感染Lumma Stealer竊資程式，而其開發者位於俄羅斯。<br /> ●歐洲刑警組織Europol宣布與多國執法機關聯手發起執法行動Operation Endgame 2.0，這次聚焦目標是駭客用來取得初始入侵管道並植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie這7個殭屍網路。</p> <p>此外，還有兩篇新發布的4月臺灣資安大會報導，其最新態勢揭露值得企業關注。例如，一位半導體公司財務與人資主管從跨領域視角切入，鼓勵財務人資部門同仁取得免費考試的入門級資安證照「CC證照」，以幫助個人價值提升與強化企業整體安全；另有安永資安顧問強調數位信任對企業營運的重要性，建議企業可參考ISACA的數位信任生態框架，或借鏡世界經濟論壇（WEF）的數位信任方法論，同時也透露臺灣數位信任協會今年將發布「數位信任產業地圖」。</p> <p>至於資安產業動向方面，雲端資安業者Zscaler宣布買下近年在MDR市場屢受關注的業者Red Canary，該公司指出將結合兩者各自在零信任資安平臺與身分辨識、網路及雲端的特長以應對現代的資安挑戰，預計8月正式完成交易。</p> <p>在資安事故方面，有兩起與國際知名品牌的重要新聞：（一）Adidas揭露資安事故，發現客戶資料外洩情形，可能有未經授權者藉由第三方的客戶服務供應商來入侵；（二）兩個駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料，後續發現駭客公布新的資料，當中有可口可樂中東地區的內部與員工記錄。</p> <p>在資安威脅態勢方面，攻擊者鎖定已知漏洞、針對未修補用戶入侵的狀況依然嚴峻，其中威脅情報業者GrayNoise揭露殭屍網路AyySSHush攻擊行動最受關注，因為中國駭客針對華碩路由器而來，利用2023年已知漏洞來執行任意命令。</p> <p>●殭屍網路AyySSHush攻擊行動疑似中國駭客ViciousTrap所為，今年3月有9千臺華碩路由器遭其入侵，被植入SSH後門。<br /> ●勒索軟體DragonForce持續鎖定遠端管理工具SimpleHelp在2月就已遭利用的漏洞來發動攻擊，最新目標是一家MSP業者。<br /> ●捷克外交部發布網路攻擊事件的最新聲明，指控中國駭客組織APT31攻擊該國外交部長達3年。<br /> ●韓國資安業者AhnLab與韓國國家網路安全中心（NCSC）揭露一項長期追蹤的威脅分析，指出與中國有關的駭客組織TA-ShadowCricket廣泛於72個國家入侵伺服器並進行控制，臺灣也在目標之內，有44臺伺服器受害</p> <p>至於重要漏洞揭露與修補方面，主要有兩大焦點，首先是熱門購物清單外掛TI WooCommerce Wishlist被發現一項滿分漏洞，但軟體開發商收到通報後並未修補，影響10萬網站，用戶最好尋求其他替代方案；另一是瑞士新創安全公司Invariant Labs揭露GitHub MCP存在嚴重漏洞，若是惡意Issue可誘使AI代理外洩私有儲存庫資料，呼籲用戶儘速修補。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169160"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</span></strong></a></h3> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <h3><a href="https://www.ithome.com.tw/news/169199"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</span></strong></a></h3> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p><a href="https://www.ithome.com.tw/news/169238"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</span></strong></a></p> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <h3><a href="https://www.ithome.com.tw/news/169261"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</span></strong></a></h3> <p>本週我們報導了<a href="https://www.ithome.com.tw/news/169195">中國駭客ViciousTrap</a>利用思科路由器漏洞CVE-2023-20118的攻擊行動，揭露此事的資安業者Sekoia提及，駭客還對於D-Link、Linksys、華碩、威聯通（QNAP）等廠牌的網路設備下手，後續有新的調查結果出爐，映證相關發現。</p> <p>威脅情報業者GrayNoise指出，他們發現有人綁架約9千臺華碩路由器，並指出相關發現是ViciousTrap攻擊行動的一部分。</p> <p> </p> </div></div></div>
2025/6/2 13:38作者羅正漢https://www.ithome.com.tw/news/169283
軟體老字號的代理AI逆襲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月最後的十天，兩大科技巨頭再次展開了生成式AI的新對決，微軟年度開發者大會Build和Google年度產品大會I/O，雙雙在同一周舉辦，雙方開場主題演講只差了一天，而且都瞄準了代理AI的新戰略布局，再次較勁的意味濃厚。</p> <p>微軟喊出了開放式代理型網際網路（Open Agentic Web）願景，從基礎架構、資料工具、AI平臺工具到代理AI應用，祭出各項新功能和新產品。Google不只發表多款多模態的大型語言模型，更試圖將代理AI能力，整合到各式各樣的服務中，從Google搜尋、Chrome到自家各種GenAI應用程式中。</p> <p>微軟、Google這兩家生成式AI巨頭較勁，看頭十足，也再一次翻新了眾人對於生成式AI可能性的想像，原來還可以發展出這麼多、這麼厲害的應用。</p> <p>同一時間，我卻飛到了美國波士頓，<a href="https://www.ithome.com.tw/news/169058" target="_blank"><span style="color:#3366ff;">參加老字號的商用開源作業系統廠商紅帽的年度大會</span></a>，同樣感受到生成式AI、代理AI浪潮的影響力。</p> <p>不同於AI巨頭們，如OpenAI與微軟聯盟、Google、Nvidia、AWS等，手上擁有龐大的算力、資料來發展各種大型語言模型，紅帽這家成立三十多年的老牌軟體商，堅持不走大型語言模型研發的路線，而是要善用自己原本的優勢，來卡位新的代理AI浪潮。</p> <p>擁有深厚作業系統背景的紅帽，對硬體支援非常熟悉，也和雲端供應商、硬體晶片供應商有很好的合作夥伴關係。<a href="https://www.ithome.com.tw/news/169079" target="_blank"><span style="color:#3366ff;">紅帽技術長Chris Wright用一句話點出紅帽的新戰略</span></a>：「將底層硬體和熱門模型的軟體架構串連起來，是紅帽在整個GAI世界中的位置。」</p> <p>紅帽的策略要將十多年來投入的混合雲戰略，帶入AI領域。<a href="https://www.ithome.com.tw/news/169060" target="_blank"><span style="color:#3366ff;">紅帽瞄準了企業大規模運用GAI的需求，新產品戰略方向是，要讓任何模型，使用任何晶片，在不同雲端環境如公雲、私雲和邊緣上執行</span></a>。新發表的商用Linux作業系統RHEL 10新版，可以通吃混合雲和AI工作運算需求。另外，也用可以加速LLM運作的開源專案vLLM為基礎，推出全新的AI推論伺服器，還發表一個大規模AI推論加速的開源專案llm-d，以K8s實現分散式推理架構，來突破vLLM單一伺服器的限制。</p> <p>最後一項是宣布，旗下兩大AI產品線RedHat AI和OpenShift AI，都將支援Meta的Llama Stack框架和熱門的MCP協定。</p> <p>不只紅帽，5月初，我們另一位記者王若樸則飛到奧蘭多，參加另一家創立近50年的老字號數據分析品牌SAS年會，他們同樣也在今年大會宣布，新戰略全力瞄準代理AI浪潮（<a href="https://www.ithome.com.tw/article/169264" target="_blank"><span style="color:#3366ff;">相關報導請見：老牌數據大廠的代理AI新戰略</span></a>）。</p> <p>原本就擅長各種數據分析技術和傳統預測式AI技術的SAS，有一套頗受企業青睞的數據分析工具和平臺，他們和紅帽一樣，沒有優先研發自己的大型語言模型，而是善用既有平臺產品優勢，來瞄準代理AI浪潮。</p> <p>SAS在既有的決策平臺Intelligent Decisioning上，增加AI代理能力，尤其是可以提供各種客製化AI代理的開發工作。SAS提供了一套低程式碼AI開發工具，可以用拖拉式的操作，以視覺化的方式來建立代理AI的工作流程，不只可以用於開發設計，也能用這套決策平臺，來部署和擴展可以獨立運作的AI代理應用。</p> <p>這個代理型AI平臺的特色是，結合了SAS擅長的傳統統計分析和LLM，來打造AI代理。更提供了AI治理可用的工具，來提高AI代理的透明度與可解釋性，像是整合了原本的模型卡（Model Cards）功能，可以呈現出所用模型的偏差評估結果，也提供了AI供應鏈追蹤功能（Lineage），源自傳統資料工程實踐，可以用視覺化的方式，來呈現從資料ETL流程、模型訓練、版本管理、模型部署到最後輸出決策的邏輯脈絡。</p> <p>面對生成式AI巨頭不斷翻新技術的激烈競爭，老字號的軟體業者像是SAS或紅帽，都走出一條不一樣的AI路，善用多年累積的商用IT實力，創造出可以卡位代理AI新競賽的差異化競爭優勢。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B4%85%E5%B8%BD">紅帽</a></div><div class="field-item odd"><a href="/tags/%E4%BB%A3%E7%90%86ai">代理AI</a></div><div class="field-item even"><a href="/tags/sas">SAS</a></div></div></div>
2025/5/29 17:06作者王宏仁https://www.ithome.com.tw/voice/169265
【資安日報】5月27日，駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169197"><strong style="font-size: 22px;">駭客組織TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" style="width: 300px; float: right;" /></a>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據自由時報、ETtoday新聞雲等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，針對與中國有關、名為TA-ShadowCricket、Shadow Force的駭客組織，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p><a href="https://www.ithome.com.tw/news/169195"><strong style="font-size: 22px;">5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" style="width: 300px; float: right;" /></a>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，揭露最新的發展，他們原本在今年1月底至2月上旬，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p><a href="https://www.ithome.com.tw/news/169179"><strong style="font-size: 22px;">駭客組織Careto傳出背後主使是西班牙政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" style="width: 300px; float: right;" /></a>根據科技新聞網站Techcrunch報導，資安業者卡巴斯基前員工向他們透露，11年前被視為世界上最狡猾的駭客攻擊行動，幕後主使者就是西班牙政府。卡巴斯基、西班牙國防部拒絕回應此事。</p> <p>2014年卡巴斯基發現進階滲透攻擊（APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將犯案的駭客組織稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西班牙語中的面具之意）的字樣。</p> <p>至少有4名卡巴斯基前員工指認，Careto背後的主謀是西班牙政府，其中一名員工透露，卡巴斯基調查Careto的動機，就是源自駭客攻擊古巴政府特定的網路環境，此受害政府機關是「零號病人（Patient Zero）」，也是將Careto與西班牙當局關連的重要關鍵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/malicious-vs-code-extensions-deliver-spyware-steal-crypto-credentials/">駭客組織MUT-9332利用VS Code外掛鎖定開發人員</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-now-push-infostealer-malware-in-clickfix-attacks/">抖音成散布竊資軟體的新管道，駭客藉此從事Click網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-fake-ledger-apps-to-steal-mac-users-seed-phrases/">蘋果電腦用戶遭鎖定，駭客假借冒牌Ledger軟體挾持加密貨幣錢包</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169196"><strong style="font-size: 22px;">AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" style="width: 300px; float: right;" /></a>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，AI助理GitLab Duo有資安弱點，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169151"><strong style="font-size: 22px;">資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞</strong></a></p> <p>資安研究人員Sean Heelan上周揭露，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899，此為ksmbd元件的記憶體釋放後再存取使用（Use-After-Free）漏洞，出現在處理SMB的logoff命令，當其中一個執行緒釋放特定物件的過程，另一個執行緒可能嘗試存取記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/cloudflare-fixes-cve-2025-4366-in-pingora-oss/">Cloudflare修補代理伺服器框架高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/netgear-router-flaw/">Netgear路由器存在重大漏洞，攻擊者能得到完整管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169002"><strong style="font-size: 22px;">【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升</strong></a></p> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>任職於半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> </div></div></div>
2025/5/27 17:59作者周峻佑https://www.ithome.com.tw/news/169199
研究人員相信Careto駭客組織背後是西班牙政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/05/23/mysterious-hacking-group-careto-was-run-by-the-spanish-government-sources-say/" target="_blank">Techcrunch引述消息人員報導</a>，11年前一個被視為世界上最狡猾的駭客攻擊行動，其實背後行動者是西班牙政府。</p> <p><a href="https://www.ithome.com.tw/news/85145" target="_blank">2014年資安業者卡巴斯基發現</a>一樁進階滲透攻擊（Advanced Persistent Threat，APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將其稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西語中的面具之意）的字樣。</p> <p>Careto最早現身於2007年，到2013年之間是其第一波活動期，而在沈寂幾年後<a href="https://www.kaspersky.com/about/press-releases/careto-apt-resurfaced-after-10-years-with-new-malicious-frameworks" target="_blank">2019年又再次活躍</a>。在前一次活動期間，Careto即已能使用極為複雜的惡意程式、rootkit、bootkit，除了能夠攔截所有的通訊管道且蒐集重要資訊外，其惡意程式還能隱身、針對防毒產品執行客製化的攻擊。它的目標平臺從Mac OS X、Linux外，到Android與iOS。到了近年，Careto的能力更提升為多模，能用惡意程式偷錄麥克風聲音、竊取瀏覽器或WhatsApp cookies，或是取得感染機器的控制權。而Careto的受害者國家也遍布歐洲、拉丁美洲到北、中非，受害組織高達數百。</p> <p>卡巴斯基從未明指Careto的身份，但Techcrunch最新報導引述卡巴斯基至少4名前員工指出，Careto/The Mask背後主謀者是西班牙政府。一名前員工透露，線索之一是一名古巴政府員工是西國巴斯克地區恐怖主義ETA成員。<a href="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/20133638/unveilingthemask_v1.0.pdf" target="_blank">根據卡巴斯基的調查</a>，其他受害者分布地區包括摩洛哥、巴西、英國屬地直布羅陀等地，也都是和西班牙有歷史新仇舊恨。</p> <p>卡巴斯基拒絕評論報導。</p> <p>駭客組織與政府資源有關連，甚至直屬政府單位，在全球都不是罕見，並非只有北韓和中國如此。例如，Equation Group據信屬於美國國安局（NSA），Lamberts為中情局（CIA）所有，而Animal Farm背後是法國政府。</p> </div></div></div>
2025/5/27 08:39作者林妍溱https://www.ithome.com.tw/news/169179
【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第四星期的資安新聞中，有兩起資安事故的後續消息是大家關切的焦點，分別是上個月19日韓國電信傳出2千萬用戶USIM資料外洩，以及上個月20日臺灣高科技設備製造商發布資安事件重訊。</p> <p>韓國電信業者SK Telecom在資安事故發生後，一個月後他們揭露清查完3萬臺Linux伺服器，發現最早Web Shell被植入是3年前，共找出BPFDoor等25種類型惡意軟體與23臺受害伺服器。</p> <p>臺灣CoWoS設備製造商萬潤科技遭攻擊，後續有更多情資浮上檯面，有勒索軟體駭客組織Bert聲稱是他們犯下惡行，並揚言握有5 TB內部資料以勒索，萬潤科技5月18日以澄清媒體報導方式在重訊中申明駭客竊取資料未涉機密。</p> <p>在最新威脅態勢上，有兩大焦點，一是攻擊者劫持企業雲端資源被遺忘的DNS記錄，濫用企業子網域來偽冒，一是假冒生成式AI服務提供圖片與影片檔下載，實際是雙重副檔名等伎倆偽裝的執行檔。<br /> ●資安業者Infoblox揭露，駭客組織Hazy Hawk藉由DNS錯誤配置來挾持知名企業組織的網域，並透過惡意流量導向系統TDS，將受害者導向惡意網站。<br /> ●資安業者Check Point發現，駭客建立Kling AI（可靈AI）影片生成工具假冒網站，生成後提供下載的是偽冒.jpg或.mp4的執行檔，可啟動惡意程式載入器。<br /> ●資安業者Aikido、Veracode揭露新惡意NPM套件攻擊，是利用Unicode字元來藏匿惡意程式碼，並濫用Google行事曆event邀請的短網址來達到目的。</p> <p style="margin: 0px;">在漏洞攻擊態勢上，Ivanti漏洞被鎖定的狀況最受關注，上星期他們修補旗下端點管理平臺EPMM兩個零時差漏洞（CVE-2025-4427、CVE-2025-4428），通報的CERT-EU表示漏洞已遭利用，後續再有更多攻擊事故消息傳出。</p> <p>例如，威脅情報業者EclecticIQ指出，在漏洞修補消息公開後，發現中國駭客組織UNC5221鎖定這兩項漏洞發動攻擊，攻擊目標涵蓋歐洲、北美、亞太地區，意圖竊取與中國政府利益有關的機敏資料；接著資安業者Wiz也揭露有攻擊者串連上述漏洞，用於竊取MySQL資料庫內容、散布滲透測試工具Sliver，以及上傳Web Shell或是反向Shell。</p> <p>還有2個同樣是新獲知的漏洞攻擊情形，攸關數位看板內容管理系統（CMR）與電子郵件伺服器，目前攻擊者身分仍然未知。<br /> ●Samsung修補MagicINFO零時差漏洞CVE-2025-4632，資安業者Arctic Wolf指出修補前已遭利用，臺灣連鎖餐飲業如麥當勞等亦使用此CMR，需注意更新。<br /> ●MDaemon Email Server在2024年修補的漏洞CVE-2024-11182，ESET最新揭露俄羅斯駭客APT28攻擊行動，指出該漏洞2023年就被用於零時差漏洞攻擊。</p> <p>此外，先前一項已知遭利用的漏洞，有後續消息，今年2月揭露Trimble資產管理系統Cityworks存在零時差漏洞（CVE-2025-0994）已遭利用，思科最新研究報告揭露攻擊者身分，指出當時是中國駭客組織UAT-6382所為，美國地方政府網路環境被入侵，攻擊者使用TetraLoader、VShell等惡意工具。</p> <p>在資安防禦動向上，有兩大重要消息，首先是Pwn2Own Berlin 2025在德國首都柏林舉行，目的是為了及早發現未知潛在漏洞，有多家科技大廠提供產品項目與漏洞挖掘獎金，讓資安研究人員展現其研究與發現，本次共找出28個零時差漏洞，涵蓋虛擬化的VMware ESXi、Oracle VirtualBox等8大類型產品。</p> <p>其次是Docker宣布推出以預設安全（Secure by default）為核心的容器映像檔，稱之為DHI安全映像檔，強調大幅減少攻擊面，僅保留應用執行所需的最小相依元件，且具有自動化持續修補更新機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169032"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</span></strong></a></h3> <p>駭客針對使用NPM套件的開發人員發動攻擊的情況，每個禮拜幾乎都有數起攻擊行動傳出，但最近有一起攻擊行動相當特別，引起兩家資安業者不約而同調查此事。</p> <p>資安業者Aikido、Veracode揭露從3月出現的惡意套件os-info-checker-es6，而駭客真正的意圖，直到5月上旬的改版，才加入相關的惡意程式碼，使得開發人員的電腦，透過特定的Google行事曆活動邀請連結，下載惡意酬載。</p> <h3><a href="https://www.ithome.com.tw/news/169054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</span></strong></a></h3> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/169076"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</span></strong></a></p> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <h3><a href="https://www.ithome.com.tw/news/169114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】VMware修補旗下多款平臺的資安漏洞</span></strong></a></h3> <p>VMware近期發布兩則資安公告，針對虛擬化平臺、混合雲平臺發布修補程式，這次總共修補7項漏洞，有4項是較為危險的高風險漏洞，而引起注意。</p> <p>比較值得留意的是，其中3項高風險漏洞皆與VMware Cloud Foundation有關，而且有部分漏洞只要能透過特定的連結埠存取就能觸發，因此IT人員要儘速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/169135"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</span></strong></a></h3> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> </div></div></div>
2025/5/25 10:40作者羅正漢https://www.ithome.com.tw/news/169145
資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/" target="_blank">資安研究人員Sean Heelan上周揭露</a>，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899漏洞。</p> <p>CVE-2025-37899為ksmbd中的釋放後使用（use-after-free）漏洞，出現在處理SMB的logoff命令時，當一個執行緒釋放sess->user物件的同時，另一個執行緒可能仍嘗試存取該記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p>Heelan認為，相較於先前的模型，o3能夠理解程式碼的語意，像是變數如何在執行緒間被使用與釋放，推論出某種執行順序下會出現危險；ksmbd程式碼分散在多個函式與流程中，o3卻能從中找出漏洞。顯示o3已具備類似人類專家的能力，也有發現未知漏洞的潛力。</p> <p>Heelan比較了o3、Claude Sonnet 3.5與Claude Sonnet 3.7的表現，他先以他找到的另一個Kerberos釋放後使用漏洞CVE-2025-37778進行測試，發現在o3上執行100次時，發現該漏洞8次；Claude Sonnet 3.7在100次的執行中發現3次；Claude Sonnet 3.5則全然沒有發現它。至於不管是Claude Sonnet 3.5或Claude Sonnet 3.7都未發現CVE-2025-37899。</p> </div></div></div>
2025/5/25 22:37作者陳曉莉https://www.ithome.com.tw/news/169151
【資安日報】5月23日，新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169130"><strong style="font-size: 22px;">中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti001.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti001.png" style="width: 300px; float: right;" /></a>資安業者Ivanti於5月上旬發布更新，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續資安業者Wiz指出他們從16日看到多起資安事故，駭客將此漏洞用於4種攻擊，現在有其他研究人員公布新的調查結果，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的資安漏洞CVE-2025-22457，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> <p><a href="https://www.ithome.com.tw/news/169134"><strong style="font-size: 22px;">資產管理系統Cityworks零時差漏洞傳出遭到利用，中國駭客對美國地方政府發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" style="width: 300px; float: right;" /></a>今年2月軟體開發商Trimble修補旗下資產管理系統Cityworks零時差漏洞CVE-2025-0994，此為反序列化漏洞，能讓通過授權的攻擊者遠端在IIS伺服器執行任意程式碼，CVSS風險4.0版為8.6分、3.1版為8.8分，當時Trimble表示，正著手調查駭客利用這項漏洞、未經授權存取受害組織網路的情形，但並未說明其他細節，如今有研究人員公布相關調查結果。</p> <p>思科旗下的威脅情報團隊Talos指出，中國駭客組織UAT-6382從今年1月，利用這項漏洞入侵美國地方政府的網路環境，得逞後進行偵察，並迅速部署一系列的Web Shell，以及自行製作的惡意程式載入工具TetraLoader，以便進行長期活動。</p> <p>這些Web Shell包括：AntSword、chinatso（Chopper），以及檔案上傳工具，而它們的共通點在於，內含簡體中文訊息；另一方面，研究人員也發現駭客使用簡體中文工具MaLoader產生TetraLoader，而這些跡象，也是Talos判斷UAT-6382來自中國的依據。</p> <p><a href="https://www.ithome.com.tw/news/169085"><strong style="font-size: 22px;">駭客假冒影片生成模型Kling AI，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point發現，由中國短影音業者快手所開發的影片生成模型Kling AI（可靈AI）遭到駭客冒用，當駭客把使用者誘導到偽造的Kling AI平臺之後，生成的竟是可執行檔，點選後就會於受害者系統上安裝惡意程式。</p> <p>然而，研究人員於今年初發現，駭客建立了一個網址及介面都類似Kling AI的網站，接著於臉書（Facebook）刊登廣告，誘導使用者造訪假冒的Kling AI，並讓使用者生成及下載圖像或影片，然而，系統上所生成的.jpg或.mp4，其實是透過雙重副檔名（Double Extension）或韓文填充字元（Hangul Filler）等伎倆偽裝的，實際上是執行檔。</p> <p>迄今研究人員至少發現70個付費推廣、同時偽裝成Kling AI的廣告內容，它們的文案或許有些不同，但都會將使用者導向冒牌Kling AI網站。</p> <p><a href="https://www.ithome.com.tw/news/168949"><strong style="font-size: 22px;">【臺灣資安大會直擊】Google揭露攻擊者運用AI真實現況，非挖掘零時差漏洞，而是最常用於社交工程攻擊的強化</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）臺灣資安大會Christopher B Porter_AI_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_AI_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著近年生成式AI、大型語言模型（LLM）演進，資安界持續關注新興科技引發的風險，主要有兩大類包括：一是生成式AI本身的風險，這涵蓋攻擊者針對AI應用服務的攻擊；另一是攻擊者運用AI技術提升網路攻擊的風險，在2025臺灣資安大會期間，恰巧有Google Cloud Security專家解析此議題，當中說明他們實際看到的攻擊者AI運用態勢，更指出現階段的最大危害，在於社交工程與語音偽冒的風險已變得更加嚴峻。</p> <p>Google Cloud國際資安合作負責人的Christopher B. Porter指出，生成式AI已打破語言的障礙，這也讓攻擊者在網路釣魚攻擊方面更有破壞力，例如活躍於東歐、中東或拉丁美洲的網路犯罪集團，現在也有能力入侵臺灣的組織。除了濫用文字生成進行網釣，另一個攻擊者用AI提升網路攻擊的嚴重威脅，是語音與影音偽造。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-breach-orgs-to-track-aid-routes-to-ukraine/">APT28對援助烏克蘭的企業組織下手，從事供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/go-based-malware-deploys-xmrig-miner-on.html">Go語言惡意軟體鎖定Linux主機，濫用Redis組態不當植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/south-asian-ministries-hit-by.html">伊朗駭客SideWinder利用Office已知漏洞從事活動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169126"><strong style="font-size: 22px;">Windows Server 2025的dMSA服務帳號提權惹議，起因是遷移流程可被濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" style="width: 300px; float: right;" /></a></p> <p>為了強化AD服務帳號的安全，微軟在Windows Server 2025導入新型態的「委派控管服務帳號（dMSA）」，然而這種新的機制存在弱點，使得攻擊者有機可乘，能藉此滲透AD的部分使用者帳號。</p> <p>資安業者Akamai揭露Windows Server 2025的權限提升漏洞BadSuccessor，這項弱點存在於dMSA，攻擊者有機會入侵AD的任何使用者帳號，相當危險。值得留意的是，Akamai於4月1日向微軟通報此事，微軟雖然對於他們提供的資料及概念驗證進行驗證後，承認有這項弱點，但由於微軟評估僅有中度風險，不符合立即處理的條件，目前尚未進行修補。對此，Akamai認為IT人員必須採取其他積極的措施，以減少遭受相關攻擊的資安風險。</p> <p>值得留意的是，研究人員強調，這種弱點存在於預設組態的Windows Server 2025，而且相當容易利用。更可怕的是，企業的網域當中，只要有其中1臺網域伺服器是採用這款作業系統架設，就會曝險，即使企業並未使用dMSA也無法倖免。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/unpatched-versa-concerto-flaws-let.html">SD-WAN維運平臺Versa Concerto存在滿分身分驗證旁路漏洞，尚未修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/industrial-alert-automationdirect-mb-gateway-flaw-rated-cvss-10-no-software-fix/">AutomationDirect旗下Modbus工控閘道設備存在10分漏洞，暫無修補程式</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169048"><strong style="font-size: 22px;">Rust邁向第十年，新版強化匿名管道與安全程式庫設計</strong></a></p> <p>在Rust語言迎來十周年之際，Rust開發團隊發布1.87.0版本，呈現過去十年發展成果，也再次強調對安全、現代化與高效能系統程式設計的持續投入。此版本新增標準函式庫對匿名管道（Anonymous Pipes）的支援，並將部分僅因目標指令集限制而需unsafe操作的架構內建函式，納入安全語境，讓開發者能以更簡潔且安全的方式撰寫程式碼。</p> <p>本次Rust 1.87.0的重要更新，是標準函式庫正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。這項改進無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單，並減少過去處理大量標準輸出和錯誤時的複雜度。</p> <p>另一項重點是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的std::arch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> </div></div></div>
2025/5/23 14:39作者周峻佑https://www.ithome.com.tw/news/169135
中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti於5月上旬<a href="https://www.ithome.com.tw/news/168936">發布更新</a>，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續<a href="https://www.ithome.com.tw/news/169112">資安業者Wiz指出他們從16日看到多起資安事故</a>，駭客將此漏洞用於4種攻擊，現在有其他研究人員<a href="https://blog.eclecticiq.com/china-nexus-threat-actor-actively-exploiting-ivanti-endpoint-manager-mobile-cve-2025-4428-vulnerability">公布新的調查結果</a>，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>一旦UNC5221成功取得受害組織的初始入侵管道，就可能利用Linux作業系統內建的wget、curl、fetch等公用程式，從AWS S3儲存桶下載惡意程式KrustyLoader，目的是能持續在EPMM活動。</p> <p>接著，駭客試圖接收第二階段酬載，此為經過AES-128-CFB演算法處理的Sliver後門程式，經解密後此後門將以Shell Code的型式於記憶體內運作。</p> <p>為了竊取EPMM存放的機敏資訊，駭客也會對於EPMM搭配的MySQL資料庫下手，存取名為mifs的資料庫內容，挖掘列管的使用者行動裝置資料，這些包含IMEI碼、手機號碼、地理位置、SIM卡資料、LDAP資訊，甚至是Office 365的Token。</p> <p>此外，UNC5221還會使用反向代理伺服器工具Fast Reverse Proxy（FRP）該進行偵察及橫向移動。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的<a href="https://www.ithome.com.tw/news/168319">資安漏洞CVE-2025-22457</a>，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> </div></div></div>
2025/5/23 12:49作者周峻佑https://www.ithome.com.tw/news/169130
【資安日報】5月21日，韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169065"><strong style="font-size: 22px;">韓國電信業者SK Telecom遭駭調查結果出爐，駭客已埋伏近3年並滲透23臺伺服器</strong></a></p> <p>4月下旬韓國電信龍頭SK Telecom（SKT）證實於內部網路環境發現惡意活動，攻擊者植入惡意程式並竊走用戶USIM卡相關的資料，後續該公司宣布提供所有用戶預約、申請更換新的SIM卡，當地媒體估計逾2,500萬用戶符合換卡資格，如今這起資安事故出現新的進展，傳出駭客在3年前就滲透了SKT的伺服器。</p> <p>根據韓國媒體KBS的報導，SKT於5月19日公布資安事故的第二次調查結果，指出他們確認有9.82 GB檔案外流，內含26,957,749個國際行動用戶識別碼（IMSI）。由於這樣的資料量已超出SKT用戶數2,500萬，對此，KBS認為，外洩的資料很可能包括了測試門號等非用戶資料。</p> <p>而在受害規模的進一步確認之外，SKT也透露這起事故的其他細節，其中最引起關注的是，在清查3萬臺Linux伺服器後，植入的Web Shell最早在2022年6月15日出現，換言之，駭客已在SKT埋伏近3年之久。</p> <p><a href="https://ithome.com.tw/news/169073"><strong style="font-size: 22px;">駭客組織Hazy Hawk濫用DNS組態不當配置，意圖挾持已棄用的受信任網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a-high-level-overview-of-how-hijacked-cloud-resource-domains-are-used-for-malicious-activities-by-hazy-hawk.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a-high-level-overview-of-how-hijacked-cloud-resource-domains-are-used-for-malicious-activities-by-hazy-hawk.png" style="width: 300px; float: right;" /></a></p> <p>企業組織棄用的網域名稱，被駭客濫用的情況，最近1至2年陸續傳出相關攻擊行動，通常攻擊者會利用遭竊的帳號而得逞，但如今有駭客組織藉由DNS的錯誤配置，進行更複雜、更為隱密的攻擊行動，引起研究人員的關注。</p> <p>資安業者Infoblox揭露駭客組織Hazy Hawk的攻擊行動，指出這些駭客精通DNS，並藉由DNS的錯誤配置，來挾持知名企業組織的S3儲存桶、Azure端點等廢棄雲端資源。其中，對於成功挾持的網域，駭客用於代管大量網址，而這些網址的用途，就是藉由不同的惡意流量導向系統（Traffic Distribution System，TDS），將受害者導向詐騙網站或是惡意軟體。</p> <p>之所以發現這起攻擊行動，起因是這些駭客於今年2月成功控制了美國疾病管制中心（CDC）部分子網域，導致數百個與CDC子網域有關的URL，突然在搜尋引擎的結果竄出，此狀況引發Infoblox研究人員調查，結果發現，這些駭客從2023年12月開始，就開始對全球的政府機關、大學、跨國公司下手。</p> <p><a href="https://www.ithome.com.tw/news/169007"><strong style="font-size: 22px;">惡意軟體FrigidStealer假借Safari更新做為誘餌，攻擊macOS用戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/frigidstealer-activities-on-the-wazuh-dashboard.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/frigidstealer-activities-on-the-wazuh-dashboard.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Wazuh針對竊資軟體FrigidStealer的攻擊行動提出警告，與TA569關係密切的駭客組織EvilCorp鎖定企業組織和個人，假借瀏覽器Safari更新的名義從事攻擊行動，意圖竊取用戶或加密貨幣錢包帳密資料，導致身份竊取或財物詐騙。</p> <p>FrigidStealer是在今年初首次現蹤，駭客組織TA2727將其用於攻擊行動，透過TA2726所經營的惡意流量散布系統（Traffic Distribution System，TDS）散布。當時揭露此事的資安廠商Proofpoint研究人員指出，TA2727和另一個組織TA569（又名 Mustard Tempest Gold Prelude、Purple Vallhund），都是使用TA2726的服務，這些駭客合作以JavaScript程式注入網站，冒充瀏覽器更新散布惡意程式，而其中一種就是專門鎖定Mac用戶而來的FrigidStealer。</p> <p>Wazuh指出，一旦使用者依照指示下載DMG檔案執行安裝，過程中必須在AppleScript程式輸入密碼，而駭客這麼做的目的，就是繞過macOS內建的防毒工具Gatekeeper。若是使用者成功套用「更新」，FrigidStealer就會在電腦搜尋敏感資料，並經由DNS通道向C2伺服器外洩資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/malicious-pypi-packages-exploit.html">惡意PyPI套件利用IG及抖音API，意圖驗證受害者電子郵件信箱有效性</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/nitrogen-ransomware-targets-financial-firms-us-uk-canada/">勒索軟體Nitrogen鎖定美、英、加金融業者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/chinese-hackers-deploy-marssnake.html">中國駭客鎖定沙烏地阿拉伯而來，散布後門程式MarsSnake</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/178005/hacking/rogue-devices-in-chinese-made-power-inverters-used-worldwide.html">美國太陽能發電採用中國製設備，驚傳埋有惡意元件，有可能讓中國政府遠端控制</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169069"><strong style="font-size: 22px;">Mozilla修補Pwn2Own漏洞挖掘競賽找到的Firefox零時差漏洞</strong></a></p> <p>德國場漏洞挖掘競賽Pwn2Own Berlin 2025於5月15日至17日於德國首都柏林舉行，參賽隊伍總共找出28個零時差漏洞，得到超過100萬美元的獎勵，有軟體開發團隊接獲通報後，迅速做出回應及修補漏洞。</p> <p>Mozilla基金會於5月17日發布公告，針對上述競賽找到的兩項重大層級Firefox零時差漏洞，他們已登記為CVE-2025-4918、CVE-2025-4919列管，並發布電腦版、安卓版Firefox 138.0.4，以及長期支援版（ESR）128.10.1、115.23.1修補這項漏洞，呼籲使用者及IT人員應儘速套用相關更新。</p> <p>特別的是，針對這兩項資安弱點的發現，Mozilla強調與過往Pwn2Own競賽找到的零時差漏洞有所不同，指出這次的參賽者無法直接突破Firefox的沙箱防護機制，代表他們近期對於Firefox的沙箱架構改良有所成效。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nato-flagged-vulnerability-tops-latest-vmware-security-patch-batch/">VMware針對旗下虛擬化平臺、混合雲平臺修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169066"><strong style="font-size: 22px;">Google更新Chrome密碼管理機制，可偵測並更換已外洩的密碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_jAbFaDVtPQ.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_jAbFaDVtPQ.png" style="width: 300px; float: right;" /></a></p> <p>為減少密碼帶來的風險，在Google I/O大會上，Google宣布Chrome將加入新功能，可在偵測用戶輸入的密碼外洩時，建議、或自動使用更安全的新密碼。</p> <p>Chrome是以內建的Google Password Manager實現防護。之前Password Manager已經能自動產生安全性較高的密碼，以及名為Password Checkup的功能，它能檢查並通知用戶密碼外洩。</p> <p>現在Password Manager以前述功能為基礎，納入自動密碼變更功能。Chrome若在用戶登入時偵測到已外流的密碼，Password Manager會提示用戶，並提供自動修復的選項。而若是在受到支援的網站上，Chrome會產生高強度密碼，並自動更新、取代舊密碼。這項新功能可以免除用戶辛苦尋找帳號設定，或者找到一半放棄的情形。</p> <p><a href="https://www.ithome.com.tw/news/169041"><strong style="font-size: 22px;">Docker要以安全映像檔防護企業生產環境的容器</strong></a></p> <p>5月19日Docker發布新型態的映像檔Docker Hardened Images（DHI），以預設安全為核心設計，進一步提升企業生產環境的容器安全性。該功能主打精簡映像檔內容、減少攻擊面，並強化自動化漏洞修補能力，目標是提供雲端原生應用可靠的執行基礎。</p> <p>根據Docker說明，DHI並非僅僅對現有映像檔進行瘦身或簡化，而是採取自下而上的安全設計。映像檔僅保留執行應用所需的最小相依元件，移除如Shell、套件管理工具及除錯工具等非必要元件，使映像檔的攻擊面較傳統基底映像檔減少達95％。透過精簡內容，不僅降低駭客入侵風險，同時也提升啟動效率，讓維護作業更為單純。</p> <p>針對企業關注的漏洞修補，DHI採自動化持續修補機制。Docker團隊主動監控所有上游相依元件及作業系統套件的CVE資訊，當有重要安全更新時，映像檔會自動重建並通過測試後發布。根據官方承諾，針對重大與高風險CVE，最快可在7天內完成修補並推送新版本，協助企業即時因應外部威脅，降低安全團隊負擔。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169032"><strong>【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168995"><strong>【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</strong></a></p> </div></div></div>
2025/5/21 16:53作者周峻佑https://www.ithome.com.tw/news/169076
【波士頓直擊】堅持不做模型！紅帽CTO親自剖析，GenAI新戰略背後的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在紅帽年會主題演講後，三位紅帽高層，紅帽執行長Matt Hicks、技術長Chris Wright和產品長Ashesh Badani也親自回答全球媒體的問答，紅帽今年為了瞄準企業大規模GenAI應用浪潮，推出了多項新AI戰略和產品，為何紅帽堅持不做自己的LLM，在未來的企業GenAI發展中，將如何持續扮演關鍵角色，像RHEL在企業基礎架構的影響力一樣。</p> <p>我們整理了紅帽技術長Chris Wright對於自家新GenAI定位和戰略的說明。他揭露了如何在GenAI世界中找到自己的新定位，GenAI新戰略背後有哪些思考，以及下一步方向又是如何，以下是他現場回答的整理。</p> <p>紅帽的重點是將十多年來努力實現的混合雲願景帶入AI領域，有一件事非常重要就是提供「選擇」。</p> <p>各種模型不斷出現，感覺每天都有新模型，這是高速創新的速度，這些開源授權的模型，對用戶開放，可以自己下載，自己優化硬體，自己決定AI技術堆疊要有多大的彈性，連關鍵套件都能自己決定，而加速晶片則位於技術堆疊的底層。</p> <h3><strong><span style="color:#FF0000;">紅帽在GAI世界的新定位</span></strong></h3> <p>作業系統背景的紅帽，對硬體支援非常熟悉，與雲端供應商、硬體晶片供應商有很好的合作夥伴關係。所以，他強調：「將底層硬體和熱門模型的軟體架構串連起來，是紅帽在整個GAI世界中的位置。」</p> <p>舉例來說，為了擴大企業AI落地規模，讓不同AI想法實現，紅帽今年發表了一款新產品，紅帽AI推論伺服器。這套產品架構的上層是各種模型，紅帽與不同模型的創立者都有長期合作關係，在他們新版模型第一天發布之前，紅帽就可以和他們合作，進行大量優化。紅帽與Meta的合作就是一個例子。紅帽也和模型供應商合作，在紅帽平臺上驗證業者的模型。Chris Wright在媒體問答中也多次強調，紅帽不會自己打造LLM模型。</p> <p>紅帽AI推論伺服器，不只是一款社群可用版本，而是可以用於關鍵任務的運作環境。這款伺服器也可以說是一套作業系統，核心是Linux，可以用來建構和執行不同的模型。紅帽AI推論伺服器是紅帽AI產品組合的成員之一，可以部署成一臺獨立的伺服器，支援不同硬體，也能部署到OpenShift上，也可以部署到第三方的基礎設施，靈活度很高。</p> <p>LLL過去的話題，一直聚焦於超大模型、數兆參數等級的模型，但是，開源或開放模型已經出現了，800億到4500億參數等規模的小模型，也證明可以做到很多不輸大型語言模型價值的工作。紅帽正在優化和壓縮這些模型，在不犧牲模型準確性的情況下，更有效率地運用硬體。</p> <p>各種開源模型不斷出現，相互競爭，而且開源模型與大型專用前瞻模型之間的差距越來越小，紅帽會將這些開源模型帶到規模更小的部署環境，這是一種在執行階段提高效率的方式，來降低成本。</p> <p>今年初，開源模型更進一步具備了推理能力，推論時間擴展技術（Inference time scaling）是實現推理能力的關鍵做法。原本是靠更多資料，更大參數的模型來提高準確性，現在可以擴展、延長推論時間來產生更好的結果，讓你可以用更小的模型，像大型模型一樣，同樣產生高價值的結果。</p> <h3><strong><span style="color: rgb(255, 0, 0);">為了降低Token單位成本，聚焦企業基礎架構效能最大化</span></strong></h3> <p>這麼做的代價是，要花更多時間來進行計算，而且過程中，所產生的每一個Token都有成本。為了提供更好的時間擴展能力，需要降低每一個Token的成本，並且從整體角度來思考每一瓦特的Token成本。（編按：一瓦特電力可以產生多少Token，數值越高越好），如何讓所有企業都能更有效率，這是紅帽關注的領域。去年，紅帽關注企業自有的資料，今年也開始關注，如何讓企業自有基礎架構效能最大化，來降低每一個Token的成本。</p> <p>可是，許多企業大量投資GPU叢集，設備非常昂貴，卻難以將GPU利用率最大化，甚至經常很低。</p> <p>紅帽正對推論的運作流程展開研究，主要有兩個關鍵階段，一個是運算密集的預填充（ Prefill ）階段，要對整個上下文資料進行處理。另一個則是解碼（Decode）階段，需要龐大記憶體的來生成一個個Token。</p> <h3><strong><span style="color:#FF0000;">llm-d開源專案要將分散式架構帶進LLM</span></strong></h3> <p>如何將整套系統的內容吞吐能力最大化是提高效能的關鍵，若能用更好的方式來分散處理不同的請求，就可以大幅提高GPU的利用率。紅帽新發表的llm-d專案，就是以推論引擎為核心，利用K8s來執行各種分散式的做法。紅帽也與許多重要供應商合作，像是Google、Nvidia等。Chris Wright比喻，就像K8s將分散式架構帶進了Linux伺服器，llm-d專案也同樣將分散式架構帶進了LLM伺服器。</p> <p>雖然AI代理在2024年受到高度關注，但沒有太多企業知道如何在自己的環境中打造AI代理。直到今年，代理AI開始成為企業的現實課題。</p> <h3><strong><span style="color:#FF0000;">兩手策略，瞄準瞄準代理AI的未來發展</span></strong></h3> <p>Chris Wright指出，未來的發展上，紅帽的計畫是支援代理AI的發展，Red Hat AI將會整合Meta的Llama Stack技術架構和Anthropic推出的MCP協定。這兩項先期標準，可以驅動代理AI的部署。</p> <p>MCP提供了一套標準做法，來連結模型，工具、資源和提示命令，讓企業可以將LLM 與任何既有商業所用的工具整合。而Llama Stack則提供了一套平臺，讓開發者用來建立一套運用模型的應用開發流程，包括了建構、部署和支援一隻AI應用執行的整套軟體應用架構，也涵蓋了模型微調、評估、建模等不同模型運作關鍵，能打造出一隻可部署，也能連結到模型的應用程式。</p> <p>MCP仍舊不斷演化中，安全性將是持續不斷的改進過程，MCP下個階段要開始處理授權的議題。MCP的使用方式將有很大的不一樣。紅帽自己也正在思考，如何透過MCP，讓LLM如何和我們的產品整合。</p> <p>MCP協定提供三種不同的LLM互動方式，可以和資料、工具或提示等不同類型的資源來互動。Chris Wright觀察，目前大多數人聚焦於LLM與工具的互動，工具概念就像是在現有企業應用上疊加一層可以讓模型存取的API，已有一些企業開始研究這件事對他們的意義。</p> <p>就像早期Ansible自動化引擎發展早期，同一項工作，可能有10種不同的自動化方式來實現。同樣用MCP存取天氣資料，現在也有很多天氣MCP伺服器可用。「這正是令人興奮之處，企業也要學習，什麼才是對自己有用的做法。」Chris Wright興奮地提醒。</p> </div></div></div>
2025/5/21 17:26作者王宏仁https://www.ithome.com.tw/news/169079
AMD發表新GPU及最高96核心工作站級處理器, 瞄準本地端AI推論及AI開發需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD瞄準遊戲玩家及AI本地推論需求，在Computex電腦展上發表新的GPU產品及工作站專用處理器，包括Radeon RX 9060 XT及Radeon AI Pro 9700兩款GPU，以及擁有96個核心的工作站處理器Threadripper 9000系列。</p> <p>在GPU方面，預定6月5日上市的RX 9060 XT，採用RDNA 4架構，內建22個運算單元，最高至821 AI TOPS，可支援FSR 4(FidelityFX Super Resolution)機器學習強化解析度及加速光線追蹤，依搭配記憶體容量不同，價位在299美元起。AMD以RX9060 XT 16GB和接近價位的Nvidia Geforce RTX 5060 Ti 8GB，強調在40款遊戲的平均每美元遊戲效能較競爭對手高出15%。</p> <p>另一款GPU Radeon AI Pro 9700，為工作站級GPU，同樣為RDNA 4架構，內建64個運算單元，整合第2代的AMD AI加速器，內建32GB記憶體，支援1,531 TOPS，主要為本地端AI推論、模型微調，以及較複雜的創作工作負載而設計。該GPU支援Linux的ROCm軟體堆疊，未來也會支援Windows環境的ROCm。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(3).jpg" style="width: 600px; height: 300px;" /></p> <p>為支援更大AI工作負載，Radeon AI Pro 9700可支援多顆GPU擴充，擴充運算資源及記憶體資源，以支援更大的AI模型，或是其他平行運算工作負載的計算需求。Radeon AI Pro 9700預計今年7月推出。</p> <p>在工作站方面，Threadripper 9000系列工作站級處理器，從最低12個核心、24執行緒，到最高擁有96個核心、192個執行緒，內建384MB的L3 Cache，最高時脈加速至5.4GHz，適合渲染視覺特效，模擬真實世界的物理環境，或是在本地端微軟數十億參數的AI模型。</p> <p>AMD強調Radeon AI Pro 9700搭配Threadripper 9000系列工作站級處理器，可滿足AI開發打造下一代AI模型的需求，包括Radeon AI Pro 9700及Threadripper 9000系列預計今年7月推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(2).jpg" style="width: 600px; height: 296px;" /></p> <p>除了AMD在Computex發表GPU及工作站專用處理器，無獨有偶地，競爭對手Intel則是發表GPU產品，Intel Arc Pro B50及B60，強調工作站的GPU運算需求及AI模型推論設計。英特爾也設計擴充架構，可以擴充8個B60 32GB VRAM，擴充至192GB VRAM，支援到1,500參數的AI模型。</p> <p>在電腦展發表活動裡，AMD也不忘分享Ryzen AI處理器在AI PC的進展，特別是支援50TOPS的Ryzen AI Pro 300系列處理器，進攻AI PC市場，其中針對微軟去年發表的Copilot+PC，AMD已與PC業者合作，除了消費市場的Copilot+PC，也推出商用的Copilot+PC產品，例如華碩的商用筆電Expert P系列電腦產品。</p> <div> </div> </div></div></div>
2025/5/21 17:07作者蘇文彬https://www.ithome.com.tw/news/169075
【波士頓直擊】紅帽年會首日5大宣布，全面瞄準企業大規模GAI運用潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今年年度大會的重點是支援企業大規模的運用GAI，在第一天開場演講中，宣布了五項重要的產品戰略。</p> <p><strong>第一項重點宣布是全新的AI戰略方向</strong>。紅帽執行長Matt Hicks強調，紅帽過去的戰略是要通吃任何工作複雜，任何形式App，可以在任何地方執行（Any Workload,Any App,Anywhere），隨著GenAI崛起後，他認為，也帶來全新的工作負載型態，紅帽全新的GAI戰略是實現任何模型、任何加速晶片、任何雲（Any Model,Any accelerator,Any Cloud），也就是，可以讓任何模型，使用任何晶片，在不同雲端環境，公雲，私雲和邊緣上執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E6%88%B0%E7%95%A5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>今天的第二項宣布是推出<strong>新版商用Linux作業系統RHEL 10</strong>。紅帽產品長Ashesh Badani指出這是20年來最強大的新版本，可以通吃混合雲和AI工作運算需求，新功能像是Image模式大幅簡化維運，讓OS更新就像手機更新一樣簡單，也推出命令列的Linux通用AI助理Lightspeed，RHEL也是第一款提供NIST批准的後量子加密演算法的商用作業系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL10-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <p>第三項產品發表則是<strong>以vLLM專案為基礎，推出全新的AI推論伺服器</strong>。紅帽去年11月併購了vLLM專案主要貢獻者Neural Magic，納入Red Hat AI團隊。紅帽技術長Chris Wright強調，在AI世界，企業想要的生產上線（Production），如何支援企業大規模的GAI使用是焦點。用來加速LLM的開源專案vLLM，超過50萬次下載，可以將模型推論的吞吐量提高數倍。紅帽以Neural Magic的技術為基礎，推出vLLM的AI Inference Server(紅帽AI推論伺服器），可以支援各種模型，也能部署到各種環雲端環境中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%8E%A8%E8%AB%96%E4%BC%BA%E6%9C%8D%E5%99%A8-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <p>第四項宣布是發表了一個<strong>大規模AI推論加速的開源專案llm-d</strong>。紅帽技術長Chris Wright解釋，llm-d專案以K8s為基礎，打造出一個分散式推理架構，可以打破vLLM的單一伺服器限制，在正式環境中打造大規模的分散式推理架構，提供十倍推理吞吐量的能力。</p> <p>Chris Wright比喻，llm-d專案對LLM推論世界的意義，就像是K8s，可以支援超大規模的架構。這項專案的創始成員包括了AMD、Cisco、CoreWeave、Google、Hugging Face、IBM Research、Intel、Lambda、Mistral AI和Nvidia。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/llm-d-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>最後一項重點是<strong>瞄準代理AI普及和大規模部署需求</strong>，紅帽旗下兩大AI產品線RedHat AI和OpenShift AI，未來將支援Meta的Llama Stack框架和 Anthropic 的 Model Context Protocol (MCP) 協定。 Llama Stack提供一整套標準化的GAI建置模組，後者則可以整合到龐大的MCP伺服器生態圈。</p> </div></div></div>
2025/5/21 00:05作者王宏仁https://www.ithome.com.tw/news/169060
微軟宣布WSL正式開源，開放社群貢獻程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsdeveloper/2025/05/19/the-windows-subsystem-for-linux-is-now-open-source/">宣布</a>WSL（Windows Subsystem for Linux）多數程式碼現已開源，開發者可直接於GitHub取得原始碼，並參與維護與功能開發。此舉回應社群長期對WSL開源的期待，官方表示，這是多年架構調整與準備後的成果，未來將在社群協作下加速WSL發展。</p> <p>WSL於2016年在Build開發者大會首次亮相，最初以驅動程式lxcore.sys為基礎，透過模擬Linux系統呼叫，讓Windows能執行ELF格式的Linux應用程式，此一架構即為WSL 1，現仍持續提供支援。為了要提升相容性與效能，微軟於2019年推出WSL 2，採用真正的Linux核心，以輕量虛擬化技術運作，帶來更接近原生Linux的開發環境。隨著技術與功能逐步擴展，WSL現已支援GPU加速、圖形應用WSLg、systemd等多項需求。</p> <p>本次開源涵蓋多個主要組件，包括用於操作WSL的命令列工具，例如wsl.exe、wslconfig.exe與wslg.exe，以及負責啟動WSL虛擬機和掛載檔案共享的服務wslservice.exe，還有在Linux端負責啟動和網路功能的相關程式。過去已開源的相關專案，包括支援圖形介面的WSLg和WSL 2所用的Linux核心，仍持續維護，不過，部分核心元件如lxcore.sys，以及協助Windows與Linux檔案系統互通的橋接元件，如P9rdr.sys和p9np.dll目前尚未開放原始碼。</p> <p>自2021年起，微軟逐步將WSL從Windows主程式碼中獨立，並以獨立套件於Microsoft Store提供下載與更新。此一調整讓WSL能更快速回應社群需求，持續新增如systemd、DNS通道（DNS Tunneling）等功能。自2022年WSL 1.0.0版發布後，微軟推動用戶從舊有內建WSL轉向新版套件，提升軟體發布及維護效率。</p> <p>微軟強調，WSL的發展歷程中，社群貢獻一直是重要推力。無論是回報問題、建議功能或協助最佳化效能，均促使WSL能回應各種使用情境。即使在尚未開源前，開發者社群已透過多元方式參與改進，此次正式開源後，社群不僅能直接貢獻程式碼，也可參與架構討論與新技術引入，有助於縮短需求回饋至功能落地的時間。</p> </div></div></div>
2025/5/20 22:46作者李建興https://www.ithome.com.tw/news/169051
【資安日報】5月20日，Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169053"><strong style="font-size: 22px;">針對台積電供應鏈業者萬潤遭駭，勒索軟體駭客組織Bert聲稱從中竊得5 TB內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1747734990692.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1747734990692.jpg" style="width: 300px; float: right;" /></a></p> <p>上個月專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技在股市公開觀測站發布資安重訊，表示有資訊系統遭受網路攻擊的情況，由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注，近期有駭客組織聲稱，這起事故是他們所為。</p> <p>根據聯合新聞網、經濟日報、民視新聞網等各家媒體報導，新興勒索軟體駭客組織Bert於5月16日聲稱是他們所為，並公布12張內部檔案的截圖，提供部分資料的下載連結。駭客號稱，手上握有超過5 TB萬潤的內部資料，揚言將在數日後公布其他內容。</p> <p>對此，17日萬潤緊急對媒體提出說明，並於18日在股市公開觀測站發布重大訊息澄清此事，表示駭客取得資料未涉及機密，公司營運正常且資安防護已強化，對客戶服務與訂單交付均無影響。</p> <p><a href="https://www.ithome.com.tw/news/169016"><strong style="font-size: 22px;">Check Point揭露新型AI駭客兵團雛型</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PG_F5819.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5819.jpeg" style="width: 300px; float: right;" /></a></p> <p>Check Point在RSAC 2025發布的AI安全報告，揭露多種正在暗網興起的AI犯罪服務（Evil AI as a Service），其執行長Nadav Zafrir更進一步示警，隨著AI代理程式（AI Agent）的興起，有心人士更有可能進一步發展出具備高度自主能力的AI駭客兵團，足以發動更個人化、更自動化、更即時性、更具威脅性的大規模攻擊。</p> <p>生成式AI與AI代理程式成為攻擊者的新武器之後，將會對網路攻擊帶來根本性的改變。Zafrir指出，過往要做到上述的自動化攻擊情境相當困難，除了需要投入大量資源，還要耗時數月甚至數年，這麼長的準備時間很容易讓防守方有足夠的時間反應而功虧一潰。然而，現代AI惡意程式不再需要回傳指令至C2後端控制中心，一旦防線被攻破，AI惡意程式將會自主運作，不需要依賴後端控制，攻擊行動可能在幾天內就能結束。</p> <p>再者，這種攻擊方式一旦創造出擬真的數位分身後，就可以利用偽造的數位分身進行惡意行為，而不再需要利用真實的受害者。因此，吊詭的是一旦偽造的數位分身產生了，如果沒有被識別出來，即使受害者擁有正確的資安習慣與資安防護，即便所有資安防護系統都正常運作，也無濟於事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://thehackernews.com/2025/05/rvtools-official-site-hacked-to-deliver.html">系統資源分析工具RVTools網站遭駭，被用於散布惡意軟體Bumblebee</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-defendnot-tool-tricks-windows-into-disabling-microsoft-defender/">惡意軟體Defendnot冒充防毒軟體而來，並停用Windows內建防毒</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-defendnot-tool-tricks-windows-into-disabling-microsoft-defender/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-keepass-password-manager-leads-to-esxi-ransomware-attack/">勒索軟體駭客提供密碼管理工具為誘餌，意圖對VMware虛擬化環境下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/ransomware-gangs-use-skitnet-malware.html">勒索軟體駭客利用惡意軟體Skitnet進行遠端存取、竊取資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169047"><strong style="font-size: 22px;">WordPress存在可洩露未公開草稿標題的漏洞，10億網站曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exploitation-of-the-oracle.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/exploitation-of-the-oracle.jpeg" style="width: 300px; float: right;" /></a>資安業者Imperva指出，他們在WordPress平臺發現資安弱點（研究人員未透露漏洞編號），一旦攻擊者利用特製的XMLRPC酬載，就可能洩露所有不公開文章及草稿的標題。由於全球有超過10億網站使用WordPress架設，因此這樣的問題帶來的影響可能會相當嚴重。他們通報此事，WordPress已完成修補。</p> <p>針對上述提及的資安弱點，Imperva表示源自於名為XMLRPC的功能，問題存在於被引用的部落格驗證URL是否存在的過程，若是來源只有提供URL片段，就有可能觸發問題，因為這時部落格會使用正規表示式搜尋資料庫所有的文章內容，同時也包含未公開的內容及草稿。研究人員將這項弱點稱為「神諭（Oracle）」。</p> <p><a href="https://www.ithome.com.tw/news/169043"><strong style="font-size: 22px;">Linux程式庫Glibc存在重大漏洞，恐被用於執行任意程式碼</strong></a></p> <p>5月16日GNU C程式庫（glibc）的開發團隊發布資安公告，指出該程式庫存在重大層級的資安漏洞CVE-2025-4802，一旦遭到利用，針對靜態編譯的setuid二進位檔案呼叫dlopen功能的過程，攻擊者就有機會控制載入的動態共用程式庫，從而載入惡意程式庫的程式碼，CVSS風險達到9.8分（滿分10分），影響2.27以上的版本，該團隊於去年1月下旬推出的2.39版修補這項漏洞。由於glibc廣泛用於各種Linux作業系統，這樣的漏洞帶來的後續效應相當值得留意。</p> <p>針對這項漏洞發生的原因，在於不受信任的LD_LIBRARY_PATH環境變數，導致靜態連結的setuid二進位檔案呼叫dlopen功能的過程，可能會在確認要載入的程式庫名單時，不正確地搜尋LD_LIBRARY_PATH變數，使得攻擊者能載入他們控制的程式庫程式碼。值得留意的是，無論setuid二進位檔案是在setlocale功能之後透過內部dlopen呼叫，還是呼叫NSS功能，都可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/169046"><strong style="font-size: 22px;">開源API工具Insomnia曝重大漏洞，恐被用於範本注入攻擊</strong></a></p> <p>開源API用戶端工具Insomnia存在重大層級的範本注入（Template Injection）漏洞。該漏洞編號CVE-2025-1087，主因是Insomnia在處理用戶輸入的模板字串時，未進行充分驗證，導致攻擊者可透過特製輸入執行任意JavaScript程式碼，增加應用程式受攻擊風險。Kong已針對11.0.2以上版本發布安全更新，建議所有用戶儘速升級至新版以確保安全。</p> <p>該漏洞CVSS 4.0風險評分達9.3，為重大等級。攻擊者如能誘導用戶互動並處理含惡意模板字串的資料，便能於應用程式端執行任意JavaScript程式碼，導致敏感資訊外洩、資料竄改或其他未經授權操作。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mozilla-fixes-firefox-zero-days-exploited-at-hacking-contest/">Mozilla修補Pwn2Own漏洞挖掘競賽找到的零時差漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169049"><strong style="font-size: 22px;">漏洞挖掘競賽Pwn2Own Berlin 2025找出VMware ESXi漏洞，最高抱走15萬美元獎勵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Day%2B3%2BLeaders.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Day%2B3%2BLeaders.jpg" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own Berlin 2025於5月15日至17日於德國首都柏林舉行，比賽結果出爐，本次參賽選手總共找到28個零時差漏洞，並抱走1,078,750美元獎金，其中有7個漏洞來自AI組別。</p> <p>本次競賽的抓漏大師（Master of Pwn）得主，是來自新加坡的資安業者STAR Labs SG組成的團隊奪得，他們總共得到35點積分，並抱走32萬美元獎金。第二、第三名分別為Viettel Cyber Security、Reverse Tactics團隊，他們分別得到15.5及11.25個積分，以及155,000、112,500美元。長年投入Pwn2Own的臺灣資安業者DEVCORE也參與本次賽事，由研究人員Angelboy、Pumpkin於Windows 11、工作站版RHEL找到權限提升漏洞，共得到5個積分、5萬美元獎勵。</p> <p>比較特別的是，這次有不少參賽者針對VMware ESXI、Oracle VirtualBox等虛擬化平臺而來，其中STAR Labs SG隊員Nguyen Hoang Thach第2天賽程於ESXI找到的整數溢位漏洞，一舉得到15個積分，並讓ZDI發出15萬美元的獎金，是整場競賽獎金最高的漏洞。ZDI強調，這是Pwn2Own競賽首度出現的ESXi漏洞。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169032"><strong>【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168995"><strong>【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168967"><strong>【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</strong></a></p> </div></div></div>
2025/5/20 17:53作者周峻佑https://www.ithome.com.tw/news/169054
Linux程式庫Glibc存在重大漏洞，恐被用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月16日GNU C程式庫（glibc）的開發團隊<a href="https://sourceware.org/cgit/glibc/tree/advisories/GLIBC-SA-2025-0002">發布資安公告</a>，指出該程式庫存在重大層級的資安漏洞CVE-2025-4802，一旦遭到利用，針對靜態編譯的setuid二進位檔案呼叫dlopen功能的過程，攻擊者就有機會控制載入的動態共用程式庫，從而載入惡意程式庫的程式碼，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4802">CVSS風險達到9.8分</a>（滿分10分），影響2.27以上的版本，該團隊於<a href="https://lists.gnu.org/archive/html/info-gnu/2024-01/msg00017.html">去年1月下旬推出的2.39版</a>修補這項漏洞。由於glibc廣泛用於各種Linux作業系統，這樣的漏洞帶來的後續效應相當值得留意。</p> <p>針對這項漏洞發生的原因，在於不受信任的LD_LIBRARY_PATH環境變數，導致靜態連結的setuid二進位檔案呼叫dlopen功能的過程，可能會在確認要載入的程式庫名單時，不正確地搜尋LD_LIBRARY_PATH變數，使得攻擊者能載入他們控制的程式庫程式碼。值得留意的是，無論setuid二進位檔案是在setlocale功能之後透過內部dlopen呼叫，還是呼叫NSS功能，都可能曝險。</p> <p>不過，利用這項弱點存在特定條件，首先是攻擊者必須在本機利用，並且在靜態setuid應用程式呼叫dlopen的狀態下，就可能導致在搜尋LD_LIBRARY_PATH變數的過程，導向並載入SONAME。開發團隊指出，目前他們尚未發現存在相關弱點的應用程式，但有可能出現在自製的setuid應用程式上，因此他們強烈建議IT人員不要忽視這樣的問題。</p> </div></div></div>
2025/5/20 12:02作者周峻佑https://www.ithome.com.tw/news/169043
殭屍網路HTTPBot鎖定Windows裝置而來，對遊戲產業從事DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來許多殭屍網路針對路由器、網路攝影機、交換器、NAS等網路設備下手，利用這類設備的使用者往往疏於定時修補、安裝更新軟體的現象，使用已知漏洞入侵、控制設備，甚至有部分是針對已終止支援（EOL）、廠商不再維護的裝置而來，但也有攻擊者轉移目標，選擇綁架Windows電腦。</p> <p><a href="https://nsfocusglobal.com/high-risk-warning-for-windows-ecosystem-new-botnet-family-httpbot-is-expanding/">中國資安業者綠盟科技（Nsfocus）提出警告</a>，他們從去年8月開始監控的DDoS殭屍網路HTTPBot，在今年4月出現顯著增加的現象。研究人員提及，駭客的主要攻擊目標是中國遊戲產業，但也有科技公司及教育機構受到波及。從4月初至今，這些駭客已發動超過200起攻擊，超過80家企業組織遭到鎖定，他們通常對同一目標發動多回合的攻擊，而且目標都很明確。</p> <p>HTTPBot是Go語言開發的殭屍網路病毒，在過去幾個月積極擴張規模，持續利用受到感染的裝置對外發動攻擊。此殭屍網路駭客使用特定的ID管理受害目標，精準控制攻擊的流程，這樣的手法並不常見。</p> <p>此外，攻擊者還實作高度模擬HTTP洪水攻擊的機制，以及動態功能混淆手法，使得一般的偵測機制難以察覺異狀。研究人員特別提及駭客運用的其他迴避偵測手法，像是Cookie補充機制、HTTP請求採用隨機的使用者代理字串（User Agent）與標頭，以及URL、呼叫實際的瀏覽器傳送流量、動態速率控制等。</p> <p>有別於其他殭屍網路家族偏重於通訊方式及網路的控制，使用網域生成演算法（DGA）、DNS over HTTPS（DOH）、OpenNIC，HTTPBot並未採用這些手段，而是使用以HTTP為基礎的攻擊手法，並精確地瞄準高價值的目標，對於遊戲登入系統、支付系統等需要即時互動的環境帶來系統性的威脅。Nsfocus認為，HTTPBot帶來DDoS攻擊模式的轉變，防禦者難以透過一般的規則攔截，必須藉由行為分析與資源彈性的動態機制來因應。</p> <p>研究人員強調，一般的DDoS殭屍網路普遍鎖定Linux及物聯網裝置，像HTTPBot專門針對Windows而來的情況並不常見，由於此殭屍網路持續使用隨機的URL及Cookie補充手法占據伺服器連線，而能成功繞過仰賴通訊協定完整性的防護機制，攻擊者甚至會根據受害組織回應的狀態，來動態調整攻擊速度，使得許多企業組織現有的防禦機制，恐難以因應。</p> </div></div></div>
2025/5/19 16:55作者周峻佑https://www.ithome.com.tw/news/169020
VS Code加強AI協作能力，擴展自動修正與跨裝置同步開發機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_100" target="_blank">微軟釋出最新VS Code 1.100版本</a>，持續推進人工智慧輔助開發的整體體驗，主打更精準、反應更快的人工智慧編輯回應能力，並同步在聊天互動、擴充套件安全性及開發介面上推出多項改進。此版本預設啟用NES（Next Edit Suggestions）功能，並新增多項可自訂的指令（Instructions）與提示詞（Prompt）檔設計，使得開發者能以更高的效率與一致性整合人工智慧協作流程。</p> <p>NES模型升級後可自動判斷程式碼邏輯與上下文，提供更貼近實際需求的程式碼建議，且回應速度較以往大幅提升。除了針對語法錯誤與樣式修正，NES也新增支援自動補齊JavaScript與TypeScript檔案中的匯入語句。這項功能不僅降低錯誤率，也讓開發者在多檔案協作情境下，能更專注於邏輯撰寫而非細節。</p> <p>新版也進一步強化了代理模式的使用體驗。VS Code現已支援OpenAI與Anthropic提供的快速編輯格式，使人工智慧在處理大型檔案時回應速度更快、表現更穩定。當人工智慧產生的編輯動作導致新的錯誤，系統也能即時偵測並主動提出後續修正建議，無需開發者額外下指令重試。這項改進有助於處理大型程式碼庫或需頻繁測試與迭代的開發流程。</p> <p>同時，VS Code新增以Markdown編寫的指令與提示詞兩種設定檔。指令檔用來定義開發規範，例如程式風格或指定使用的框架，而提示詞檔則可儲存完整的任務指令，例如產出元件、執行安全檢查等特定請求。這些檔案可依專案或檔案類型自動套用，助團隊建立可重複使用的人工智慧工作流程，也可透過VS Code的設定同步功能，在多臺裝置間保持一致的協作環境。</p> <p>此外，VS Code此次也著重於聊天介面與上下文連結的整合設計。聊天視窗支援多工操作、多視窗浮動顯示與上下文引用標籤，讓開發者能在不中斷編輯工作的情況下查詢、修正與對話，提升實用性。針對Notebook與網頁開發使用情境，新增支援拖曳單元格輸出、網頁元素截圖與HTML/CSS結構至聊天中，進一步擴展人工智慧協作的範疇。</p> <p>在安全性方面，這次更新納入Linux平臺對擴充套件簽章驗證的強制規範，補齊原先僅涵蓋Windows與macOS的限制，確保所有平臺安裝的擴充功能皆經過驗證。對於使用者不慎安裝測試版Copilot Chat導致功能異常的情形，VS Code也已進行改進，限制穩定版無法直接安裝預覽版本，減少錯誤發生機會。</p> </div></div></div>
2025/5/14 08:17作者李建興https://www.ithome.com.tw/news/168919
【資安日報】5月13日，華碩修補主機板驅動程式管理工具驗證不當的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/168581">華碩針對旗下的4款工作站主機板發布韌體</a>，修補由資安業者Eclypsium揭露的滿分漏洞CVE-2024-54085而受到關注，該公司近日再對主機板用戶發布更新，主要是修補驅動程式管理工具DriverHub的資安弱點。</p> <p>耐人尋味的是，華碩強調相關漏洞僅影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置，而通報此事的研究人員MrBruh認為，無論是桌機還是筆電，只要有安裝DriverHub就可能曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168884"><strong style="font-size: 22px;">NPM套件rand-user-agent遭供應鏈攻擊，植入木馬遠端監控用戶系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot 2025-05-06 at 16_14_54.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/681a3b75f175dd133534f6b5_Screenshot%202025-05-06%20at%2016_14_54.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商Aikido研究人員發現開源NPM程式庫rand-user-agent被植入RAT木馬，攻擊者竊得發布權限，針對開發者常用的NPM套件進行供應鏈攻擊。由於rand-user-agent套件每周下載量達4萬5千次，推估已有部分用戶系統遭入侵。</p> <p>受影響的rand-user-agent版本包含1.0.110、2.0.83與2.0.84，均非由原開發團隊透過GitHub推送，疑似有第三方在原作者未維護套件期間竊用發布權限，將惡意版本上架至NPM。</p> <p>惡意程式碼在該套件內部以混淆工程隱藏，使用極長的字串與加密邏輯繞過靜態分析。攻擊者植入的後門程式可與遠端指令伺服器建立連線，並具備上傳本機檔案、切換工作目錄以及執行任意系統指令等能力。初始惡意程式會檢查系統中是否存在axios與socket.io-client套件，若無則自動於使用者主目錄下的隱藏路徑.node_modules，安裝所需模組以方便後續運作，並避免被開發者注意。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182159&SPOKE_DATE=20250512&COMPANY_ID=5522"><strong style="font-size: 22px;">遠雄發生系統異常的資安事故，出現郵件發送給外部無關人員的狀況</strong></a></p> <p>5月12日跨足營造與不動產領域的遠雄集團於股市公開觀測站發布重大訊息，指出該公司發生系統異常的情況，導致郵件發送給無關的外部人員。對此，該公司表示事發後已啟動相關防禦機制及復原作業因應。</p> <p>而對於這起事故可能造成的影響，遠雄表示根據初步的調查結果，未有資通訊系統、網站遭到攻擊的跡象，也沒有出現無法營運，該公司系統皆正常提供服務，因此未造成重大損害或是影響。但為何會發生系統異常的現象，遠雄並未說明，是否與網路攻擊有關？有待進一步釐清。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/fake-ai-tools-used-to-spread.html">惡意軟體Noodlophile佯裝AI工具散布，透過臉書鎖定逾6萬用戶</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/seo-poisoning-campaign-hit-it-admins-with-malware/">SEO中毒攻擊鎖定Azure管理員而來，意圖左右HPC及AI工作負載</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/backdoor-by-design-malicious-npm-packages-hijack-cursor-ide-on-macos/">惡意NPM套件鎖定IDE工具Cursor用戶，在macOS平臺植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-now-testing-clickfix-attacks-against-linux-targets/">駭客試圖對Linux用戶發動ClickFix網釣攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168906"><strong style="font-size: 22px;">華碩主機板存在遠端程式碼執行漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/asus-bios-driverhub_avif.jpg" style="width: 300px; float: right;" /></a>5月9日華碩發布資安公告，他們為驅動程式管理工具DriverHub發布更新，修補資安漏洞CVE-2025-3462、CVE-2025-3463，呼籲用戶儘速安裝最新版軟體，也可存取DriverHub並按下立即更新（Update Now）來進行。</p> <p>這些漏洞為紐西蘭程式開發員MrBruh發現，並指出攻擊者有機會遠端利用，並於受害電腦執行任意程式碼，發生的原因在於外部發送的呼叫請求檢查不周全，以及欠缺嚴謹的安全檢查，未經授權的攻擊者可發送惡意HTTP呼叫，從而影響受害電腦的系統行為，或是與軟體功能進行互動，而對於CVE-2025-3462、CVE-2025-3463的危險程度評估，根據華碩以4.0版CVSS進行風險評分，分別得到9.4、8.4分（滿分10分）。</p> <p>值得留意的是，華碩特別強調上述漏洞只影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置。但究竟有那些主機板用戶會受到影響，以及DriverHub是否預設安裝於華碩電腦，該公司並未說明。</p> <p><a href="https://www.ithome.com.tw/news/168905"><strong style="font-size: 22px;">微軟修補Azure DevOps滿分重大漏洞，攻擊者恐挾持Token存取特定專案</strong></a></p> <p>5月8日微軟發布資安公告，表示他們近期修補Azure DevOps、Azure Automation、Azure Storage、Power Apps的重大漏洞，其中有3項弱點特別危險，風險分數接近滿分10分而受到關注。</p> <p>其中最嚴重的漏洞是CVE-2025-29813，此為Azure DevOps權限提升漏洞，起因是Visual Studio對於管線工作（Pipeline Job）所使用的Token，出現處理不當的情況，一旦攻擊者成功利用，就可能存取特定的專案，CVSS風險達到10分。不過，利用這項弱點存在必要條件，那就是攻擊者必須事先存取專案，並置換特定的Token。</p> <p>另外兩個風險達到9.9分的漏洞CVE-2025-29827、CVE-2025-29972，分別存在於Azure Automation與Azure Storage。其中，CVE-2025-29827為權限提升漏洞，而CVE-2025-29972則是伺服器請求偽造（SSRF）漏洞，可被用於欺騙資源供應者。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-patches-major-security-flaws-in-ios-macos-platforms/">蘋果針對行動裝置、電腦、穿戴裝置、Apple TV發布更新</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168879"><strong style="font-size: 22px;">Google將自動把桌機、手機用戶密碼升級為通行密鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google-Password-Manager-auto-passkey-generation-AssembleDebug-1000w-2223h.jpg" style="width: 300px; float: right;" /></a></p> <p>Google積極推動無密碼登入，將利用桌機Chrome及手機版的密碼管理工具Password Manager，自動將用戶密碼升級通行密鑰（passkey）。</p> <p>上周Android Authority首先在25.19.31 beta版Google Play Services App發現，Android版Password Manager包含一個新功能，會自動將用戶密碼在用戶登入時轉成通行密鑰，而且，這項功能預設開啟。</p> <p>隨後Google宣布，Chrome加入Google密碼管理器自動建立通行密鑰的功能，並將這項功能稱為Automatic Passkey Upgrade。啟用該功能後，當用戶以密碼管理器儲存的密碼登入網站，此應用程式就會將密碼升級為通行密鑰，並傳送通知給用戶。這項功能將先透過桌機版Chrome 136釋出，Android版則即將推出。</p> <p><a href="https://www.ithome.com.tw/news/168880"><strong style="font-size: 22px;">為防止敏感資訊外流，微軟替Teams加入新功能，防止視訊畫面遭擷圖</strong></a></p> <p>本週微軟預告，他們預計在7月為Teams加入防止視訊時螢幕擷取的功能，防止敏感資訊外洩。</p> <p>微軟說明，為解決視訊會議時未經授權的螢幕擷取疑慮，新增的「防止螢幕擷取」功能可在用戶試圖擷取螢幕時，視訊視窗會變黑，防止敏感資訊外流。這項新功能將會同時提供給Teams網頁版、電腦版（Windows及Mac），以及行動裝置版（iOS、Android）用戶。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168893"><strong>【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168859"><strong>【5月9日】臺灣未來4年國家資通安全發展方案正式出爐，將從4大層面著手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168833"><strong>【5月8日】勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案</strong></a></p> </div></div></div>
2025/5/13 15:19作者周峻佑https://www.ithome.com.tw/news/168916
SUSE要將中國社群開發的Deepin桌面環境自openSUSE中移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.opensuse.org/2025/05/07/deepin-desktop-removal.html" target="_blank">SUSE安全團隊上周三（5/7）宣布</a>，已自openSUSE發行版本中移除來自中國社群的Deepin桌面環境（Deepin Desktop Environment，DDE），原因是Deepin套件在打包過程中，違反了openSUSE的安全審查政策。開發Deepin的深之度隔天就承諾，會在5月底前修復這些歷史性的安全問題。</p> <p>Deepin是由中國業者武漢深之度科技公司所開發的桌面環境，原本為Deepin Linux的預設介面，它注重可用性，有精美的圖像呈現並支援中文，亦可被移植到其它的Linux發行版上使用；openSUSE雖未曾預設使用Deepin桌面，但社群曾維護Deepin桌面，讓使用者可於openSUSE中安裝並使用DDE。</p> <p>SUSE安全團隊說明，他們針對openSUSE發行版實施了許多打包限制，若要安裝D-Bus系統服務設定檔案與各項Polkit政策即需通過該團隊的審核，在符合安全需求時才會將相對應的元件列入白名單，之後該軟體包裝才能提交到發行版中。</p> <p>D-Bus（Desktop Bus）為一程序間的通訊機制，允許系統中不同的程式或服務彼此溝通，系統服務設定檔案即是用來定義D-Bus上各種註冊服務的啟動方式與授權條件；Polkit政策則是用來管理權限與授權規則，定義哪些使用者或程式可以執行需要高權限的系統動作。</p> <p>SUSE安全團隊表示，有鑑於Deepin是個包含大量D-Bus服務的大型軟體套件，因此在導入openSUSE 的初期審查階段就會面臨很高的技術門檻，自2017年開始，該團隊便一直與openSUSE Deepin打包者保持聯繫，以陸續將許多Deepin D-Bus元件列入白名單，但仍有些問題一直沒有實質進展，可能是因為等太久了，打包者決定另闢蹊徑，試圖繞過正常的審查流程，將剩下的Deepin元件納入openSUSE。</p> <p>該團隊是在今年1月發現一個名為deepin-feature-enable的套件，它實際上是個授權協議的對話框，大意是告訴使用者：「SUSE安全團隊對Deepin某些元件的安全性所疑慮，可若想完整地使用Deepin，就必須安裝這些元件，所以如果你不在乎安全的話，就接受這份協議吧。」而且該套件是在2021年的4月27日就被納入openSUSE的官方發行版，只是今年才被發現。</p> <p>一旦使用者接受協議，該套件就會從另外兩個套件提取並安裝D-Bus設定檔與Polkit 授權政策到系統目錄，還建議使用者手動安裝其它的套件，以側載更多配置檔案。</p> <p>SUSE安全團隊一怒之下便決定，要在未來的滾動更新版本openSUSE Tumbleweed及穩定版本openSUSE Leap 16.0中，完全移除Deepin桌面環境，而即將發表的 Leap 15.6則僅會移除deepin-feature-enable套件。其實使用者還是可以自行安裝Deepin，只是SUSE安全團隊不想再牽涉其中。</p> <p>不過，<a href="https://bbs.deepin.org/post/287016" target="_blank">深之度隔天就發表聲明</a>，表示會在今年5月底前修復SUSE安全團隊所提出的所有安全問題，並深入掃描潛在風險，以及透過GitHub透明化相關的工作進展。</p> </div></div></div>
2025/5/12 08:28作者陳曉莉https://www.ithome.com.tw/news/168877
OpenSearch轉交Linux基金會後首次釋出重大版本3.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源搜尋與分析引擎OpenSearch釋出3.0版本，這是AWS將專案移交至Linux基金會後第一個重大版本更新。OpenSearch 3.0強化查詢效能、資料傳輸與向量查詢功能，也導入多項針對生成式人工智慧應用的技術支援。</p> <p>效能提升是<a href="https://opensearch.org/blog/unveiling-opensearch-3-0/">OpenSearch 3.0</a>的一大亮點，官方指出，與2.19版相比，3.0在多項查詢操作上平均快20％，與1.3版相比則提升達9.5倍，這主要來自底層索引引擎升級至Apache Lucene 10，改善向量欄位索引、稀疏資料處理與壓縮方式，提升查詢與儲存效率。</p> <p>新版OpenSearch增加gRPC與protobuf支援改善資料傳輸效率，讓OpenSearch能在處理大型或複雜查詢時減少序列化成本，也更容易整合進現有gRPC架構。資料來源方面，OpenSearch 3.0引入基於拉取的擷取方式，可從Kafka與Kinesis等串流來源主動拉取資料，較傳統推送方式更能控制流量與穩定性。</p> <p>向量查詢也是本次版本更新的重點之一，過去以實驗功能釋出的衍生來源（Derived Source）機制正式推出，允許在不儲存原始向量的情況，於查詢階段動態取得向量值，藉此降低儲存成本並提升冷啟動查詢效能，使冷啟動查詢延遲最多改善達30倍，且支援多種向量引擎。</p> <p>OpenSearch也導入GPU加速索引建立，可使索引建立速度提升9倍以上，適合高頻率向量資料場景，搭配新推出的Explain API，開發者可進一步了解向量查詢計分邏輯，掌握相似度計算與排序依據。</p> <p>觀測性與日誌分析功能也有所擴充，PPL查詢語言加入欄位對照查詢（Lookup）、欄位關聯（Join）與子查詢（Subsearch）語法，可用來即時補足資料上下文或關聯性，對安全分析與跨來源日誌處理特別實用。Query Insights功能則新增即時查詢觀測API與彈性欄位顯示，可即時掌握資源密集型查詢對系統的影響，提升監控效率。</p> <p>OpenSearch自2021年由AWS主導成立，作為Elasticsearch更改授權後的開源替代方案。2024年AWS將專案正式移交給Linux基金會旗下的OpenSearch基金會，確立由社群主導的治理架構。轉移後，技術決策由技術指導委員會負責，資源與專案方向由管理委員會統籌，降低對單一廠商依賴，並擴大外部貢獻者參與。</p> </div></div></div>
2025/5/9 08:20作者李建興https://www.ithome.com.tw/news/168843
Nvidia開源AI語音辨識模型Parakeet TDT 0.6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2" target="_blank">Nvidia本周開源</a>支援語音辨識及聽寫專用的AI模型Parakeet TDT 0.6B，可用於對話式AI、語音助理或是需要生成字幕的服務。</p> <p>Parakeet TDT 0.6B為6億參數的自動語音辨識（automatic speech recognition,ASR）模型，專為高品質英語聽寫（transcription）而設計。</p> <p>Parakeet TDT 0.6B為FastConformer架構的XL變種，整合TDT解碼器，並以全注意力（attention）機制訓練而成，它具有很高的語音聽寫速度，一次single pass最長可聽寫24分鐘語音。Parakeet TDT 0.6B在HF-Open-ASR得分榜上達RTFx 3380，詞錯誤率（word error rate）為6.05%，優於其他開放模型。</p> <p>在功能上，Parakeet TDT 0.6B，支援自動斷句、首字母大寫及精準預測字時戳，在口說數字和歌詞的聽寫效能尤佳。支援音源檔案格式涵括.wav和.flac檔。</p> <p>Parakeet TDT 0.6B以寬鬆的CC-BY-4.0授權開源，<a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2/blob/main/README.md" target="_blank">現在已在Hugging Face網站公開</a>。</p> <p>Nvidia表示，該模型支援使用情境涵括需要文字聽寫的開發人員、研究人員、學術和產業人士，其應用包括對話式AI、語音助理、聽寫服務、字幕生成和語音分析平臺。</p> <p>Parakeet TDT 0.6B經過優化，適合執行在Nvidia硬體如GPU，及軟體框架（像是CUDA函式庫）上，能比在純CPU環境上獲致更快的訓練和推論時間。它支援Linux 及NVIDIA Ampere、Blackwell、Hopper與Volta等架構的硬體平臺，RAM最少要2GB。</p> <p>若要操作Parakeet TDT 0.6B或訓練、微調，系統必須安裝Nvidia NeMo工具套件，最好也安裝最新PyTorch版本。</p> </div></div></div>
2025/5/7 10:39作者林妍溱https://www.ithome.com.tw/news/168792
安全產品開發流程漸成產業標配，IEC 62443-4-1改版在即，3大重點聚焦：對齊國際、預設安全、SBOM與開源軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安的態勢在2025年有重大轉變，在全球資安法規與標準的快速演進下，安全軟體開發生命週期（SSDLC）更成為檯面上的焦點，重要性顯著提升，成為應對資安挑戰並確保產品合規的關鍵要求。例如，大家可能沒想過的是，這一兩年，包括造船產業、醫療器材產業等，已經積極透過建立嚴格的資安規範，讓SSDLC成為必備條件。</p> <p>此外，我們這幾年持續報導物聯網安全法規、軟體供應鏈等議題時，經常介紹Security by Default（預設即安全）、SBOM（軟體物料清單）、開源軟體安全等新興資安概念，如今這些概念也成為產品安全合規的實質要求。</p> <h2><strong>安全產品開發流程受重視，IEC 62443-4-1正被產業納入必需要求</strong></h2> <p>過去經常在臺灣資安大會發表演說的國際自動化協會 (ISA) 臺灣分會會長林上智，他今年特別強調SSDLC、IEC 62443-4-1流程標準的重要性，原因在於這些領域出現了顯著的新進展，而他之所以能掌握第一手資訊，正是因為他目前正主導IEC 62443-4-1流程標準的修訂工作。</p> <p>簡單來說，IEC 62443標準，是國際廣泛採納與認可的工業自動化及控制系統標準，而IEC 62443-4-1的部分，主要聚焦在「安全產品開發生命週期要求（Secure product development lifecycle requirements，SPDLC）」。而上述SPDLC其實與SSDLC具有相同的概念，強調：從產品的需求分析、設計、實作與測試，以及產品上線後的缺陷管理、更新，還有使用者手冊等相關文件，一直到產品生命週期結束，都必須將資安要素融入每一個階段。</p> <p>在這次演說中，林上智特別闡釋了IEC 62443-4-1的最新發展現況，揭示其影響性與最新變化。</p> <p>從影響性來看，林上智指出，近年造船產業、醫療產業都已經將IEC 62443-4-1納入強制要求，讓SSDLC要求成為必備。</p> <p>因此我們可以看出，IEC 62443-4-1似乎在產業間變得越來越重要，過去廠商導入可能多是自我要求或供應鏈要求，現在有些產業規範則是明確定義這方面的要求。</p> <p>林上智進一步解釋，以造船產業而言，國際船級協會聯合會（IACS）去年7月正式實施了UR E26與UR E27規範，這是網路安全首次強制要求納入船級規則，換言之，新造船舶若沒有符合UR E26或UR E27的要求，將無法通過驗船，等於無法投保與下水營運，因此，其實質效力已等同於法律法規。</p> <p>其中UR E27最為重要，當中針對船上設備與系統提出具體要求，並明確規範軟體開發流程必須遵循SDLC（軟體開發生命週期）的要求。林上智指出，在UR E27中更是直接引用了IEC 62443-4-1標準，甚至詳細列出相關章節編號，包括SM-8與SUM-2，這突顯了該規範已針對對船舶設備具關鍵影響的開發流程進行了精選，並將其納入強制性要求。</p> <p>以醫療產業而言，包括美國、歐盟、臺灣等食品藥物監管單位，也都針對生產血壓計、MRI等醫療設備製造商提出網路安全要求，上市前都必須通過資安相關的檢驗。這當中最受矚目的一例，是美國食品藥物管理局（FDA）2023年9月發布的醫療器材資安指引，當中清楚載明需參考IEC 62443標準，並直接點名IEC 62443-4-1。由此可見，在其他產業的開發流程中，IEC 62443-4-1標準也被廣泛採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)IEC 62443-4-1_林上智_攝影羅正漢-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></a></p> <h2><strong>IEC 62443-4-1標準改版三大方向：對應國際、預設安全、SBOM與開源軟體安全</strong></h2> <p>關於SSDLC的議題，事實上，這些年我們持續報導這方面的消息，不只<a href="https://www.ithome.com.tw/news/140800">IEC 62443-4-1標準開發流程認證</a>受重視，國際間也有諸多重要參考資源，包括<a href="https://www.ithome.com.tw/news/80369">ISO 27034</a>，<a href="https://www.ithome.com.tw/news/153723">NIST SSDF</a>，以及OWASP SAMM等。</p> <p>近年還有美國CISA與多國網路安全單位，亦發布<a href="https://www.ithome.com.tw/news/160862">Security by Design的警報</a>與相關指引，以及最新<a href="https://www.ithome.com.tw/news/162730">歐盟網路韌性法（Cyber Resilience Act，CRA）等法規實施</a>的消息。</p> <p>在這次演說中，林上智搶先公開了IEC 62443-4-1的最新變化，揭露這項標準的現行修訂方向，首先就是強調對齊國際標準與法規態勢而來，另也指出Security by Default、SBOM等面向的強化，在此我們整理出未來3大改版重點：</p> <h3><strong><span style="color: rgb(178, 34, 34);">●改版重點一：對應國際框架與準則</span></strong></h3> <p>目前市面上有眾多標準與框架，這對產品與系統開發商造成了一定的困擾。因此，林上智指出，修訂IEC 62443-4-1的首要任務，就是要與其他國際標準及法規進行全面的比較與對應，以確保更有效對應當前的資安挑戰。</p> <p>例如，他們的4-1工作小組，已檢視美國NIST SSDF軟體開發安全框架（NIST SP 800-218），以了解IEC 62443-4-1是否需要補充或調整，這方面已有成果展現。林上智表示，今年3月他們已發布相關<a href="https://isagca.org/hubfs/2023%20ISA%20Website%20Redesigns/ISAGCA/PDFs/ISAGCA%20NIST%20SSDF%20SP%20800%20FINAL.pdf">白皮書，比較IEC 62443-4-1標準，NIST SSDF框架</a>，找出一些無法對應的項目的原因，納入改版考量，當中也有相當少部分是完全無法對應的內容，主要是顆粒度較細的要求。</p> <p>特別的是，他們也審視了半導體產線設備資安標準規範SEMI E187，當中也有包含開發流程的對應，預計這方面的對應很快就可以公開，而安全功能方面則是會對應到IEC 62443-4-2。</p> <p>另一個大家關注的重點，是最新的歐盟CRA網路韌性法，林上智表示，他們已展開對應分析，若發現IEC 62443-4-1標準與CSA要求存在落差，將會研議在新的條文中進行補強或調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點二：聚焦「Security by三兄弟」概念強化</strong></span></h3> <p>這次改版的另一大重點，是美國政府與多國網路安全單位不斷提倡的「Security by Design」、「Security by Default」與「Security by Demand」，林上智用Security by三兄弟這樣的簡稱，方便大家認識與記憶。</p> <p>林上智指出，過去IEC 62443-4-1便一再強調Security by Design的原則，因此這部分預計不會有太大的變動。例如，安全功能應該在一開始就被納入考量、設計與實作，而非產品設計完才疊床架屋地進行補強。</p> <p>他更希望大家謹記，Security by Design的意義在於，並非僅僅增加安全功能，而是決定產品是否值得信賴的關鍵。</p> <p>本次改版的重心，主要放在Security by Default、出廠時預設即安全。這意味著使用者在購買產品後，無需進行過多的操作、額外的複雜設定或支付額外費用，即可具備防禦常見攻擊手法的能力，也就是讓使用者「不設定」也安全。</p> <p>不過，林上智指出，要將Security by Default概念融入標準內，並不容易處理，尤其需要考量到工業控制環境中設備使用年限較長等特殊狀況。他以FTP為例說明，由於FTP本身不夠安全，若依預設即關閉的原則處理，但在工廠等特定場景中，就可能出現因FTP關閉而不能生產的情況。</p> <p>換言之，若要讓Security by Default能落實，其實非常看場景、場域與情境。</p> <p>林上智表示，這幾個月來，他們4-1工作小組與美國CISA等單位不斷討論，尤其是Security by Default與可用性的兩難問題，因為Security by Default必需要存在，可是又不能影響可用性。</p> <p>他們目前討論結果是，將從層次更高的風險評估、風險建模，並依照場域、場景、情境來決定產品要怎麼做設定，才是所謂的Security by Default，並持續對外徵集不同意見。</p> <p>同時他也強調，Security by Default不會是獨立的章節，而是會分散到每一個開發章節之內。</p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點三：強化SBOM與開源軟體安全管理</strong></span></h3> <p>最後一個改版重點，是加強對軟體供應鏈與開源軟體的安全管理。</p> <p>林上智指出，在改版會議中，他們深入探討了軟體供應鏈的各項議題，特別是美國政府於2021年發布的行政命令，該命令已經明確要求美國聯邦政府在採購軟體時，必須提供軟體物料清單（SBOM）。</p> <p>過去，IEC 62443-4-1雖然提到軟體裡面要有inventory，也就有這樣的概念存在，但並未明確定義SBOM一詞。因此，本次改版將新增相關要求，強制建立SBOM的管理機制。</p> <p>雖然標準只會規範「應該」做，不會具體規定「如何」做。但林上智在此也分享其經驗，指出目前主流的三種SBOM格式，包括SPDX（ISO 59626）、CycloneDX、SWID（ISO 19770），前兩者是他通常會建議的選項。例如，SPDX是Linux基金會的專案，若業者的產品與嵌入式系統或Linux相關就很適用，轉換為其他格式也可行，但需確保轉換後的正確性；CycloneDX 亦廣泛被採用，其精美的介面令人印象深刻。至於最終選擇何種格式，則取決於企業自身的需求。</p> <p>另一方面，林上智強調，SBOM表可以在軟體開發的不同階段生成，無論是在需求規格階段、程式碼階段，或是建置、測試或執行階段，目前常見作法是在程式碼開發階段產生，但他提醒，需注意可能發生的誤判，因為某些函式庫（library）的使用情況，可能是在執行當下才能確定。目前來看，對於應在何種階段產生SBOM，並無嚴格的規範。</p> <p>或許有些人認為，SBOM僅是一份清單或列表，但林上智強調，SBOM 應被視為一種信任機制。它並非漏洞報告，也不是單純的產出結果，而是協助我們管理軟體的信任基礎。</p> <p>不只是SBOM，另一重點在於開源軟體管理也是改版的強化方向。他解釋，之前IEC 62443-4-1與開源軟體最相關的部分，是SM9章節的第三方套件，但原先規範顆粒度較粗，可能導致管理上的疏漏。</p> <p>因此，這次會特別針對開源軟體進行規範，畢竟，現在很少有開發者會從頭編寫一個完整的程式，其重要性不言而喻。</p> <p>林上智也透露，若企業在開源軟體開發上，遇到不確定如何進行的情況，雖然IEC 62443-4-1本身不會提供具體做法，但會在補充指引增加一些建議。例如，可以參考ISO/IEC 18974標準，此為Linux基金會旗下的專案，聚焦OpenChain安全保障規範，目的是協助企業在使用開源軟體時，透過特定的流程與機制，處理相關的資安注意事項。</p> <p>綜上所述，我們可以了解目前IEC 62443-4-1改版討論的方向與重點，林上智也提到他們正持續徵集意見，以完善這次針對安全開發流程內容的修訂。</p> </div></div></div>
2025/5/6 16:55作者羅正漢https://www.ithome.com.tw/news/168765
【資安日報】5月6日，惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在受害電腦成功執行惡意軟體，駭客利用惡意軟體載入工具（Loader）、下載工具（Downloader）的情況，越來越常出現。最近有一款前身為殭屍網路病毒的惡意軟體下載工具Phorpiex，引起研究人員的高度關注，因為，駭客拿來散布惡名昭彰的勒索軟體LockBit 3.0。</p> <p>值得留意的是，關於勒索軟體LockBit 3.0的攻擊流程，駭客多半以手動方式操作，透過Phorpiex下載、部署，能讓整個流程高度自動化，而鮮少需要人工介入，使得攻擊者能同時對更多目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168740"><strong style="font-size: 22px;">惡意軟體下載工具Phorpiex捲土重來，被用於散布LockBit 3.0勒索軟體</strong></a></p> <p>資安公司Cybereason發表威脅分析報告指出，老牌殭屍網路Phorpiex近期再度現身，並被觀察到成為散布LockBit 3.0勒索軟體的載體。Phorpiex在受感染主機上自動下載並執行LockBit勒索程式，無需駭客進行後續操作，由於該攻擊流程高度自動化，與傳統勒索攻擊仰賴人工作業的模式有所不同，因此受到關注。 </p> <p>Phorpiex又名Trik，自2010年起即活躍於各類攻擊活動，最早是以垃圾郵件推送及挖礦行為為主，近年則被用於交付惡意程式。根據Cybereason觀察，該工具近來技術變動不大，甚至仍保留刪除Windows下載區域標記檔，以掩蓋惡意檔案真實來源的老舊行為。</p> <p>除了LockBit，Phorpiex也被用來投遞其他惡意程式，例如：TWIZT與GandCrab。TWIZT會透過捷徑檔觸發下載流程，並建立空白JPEG圖檔判斷是否重複感染，而散布GandCrab的版本則具備反偵測與關閉防毒的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lb infection flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lb%20infection%20flow.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168754"><strong style="font-size: 22px;">勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，該國否認遭駭</strong></a></p> <p>資安業者Comparitech上周五發現，勒索軟體駭客組織Rhysida在暗網貼文，聲稱攻擊秘魯政府的數位平臺，並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據（Gob.pe為祕魯政府數位平臺的網址），駭客宣稱已向祕魯政府要求在7日內支付5個比特幣，來換取資料不被外流。</p> <p>不過，祕魯政府否認此事。資安業者Venarix轉貼祕魯政府的聲明，他們宣稱該國數位平臺<a href="http://www.gob.pe">www.gob.pe</a>並未遭入侵或遭破壞，所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體流傳關於<a href="http://www.gob.pe">www.gob.pe</a>網域被劫持的訊息，並不準確。所謂的資安事件，實際上是發生於<a href="http://www.satp.gob.pe">www.satp.gob.pe</a>網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p><a href="https://www.ithome.com.tw/news/168637"><strong style="font-size: 22px;">電子商務平臺WooCommerce管理員遭鎖定，駭客佯稱網站有漏洞從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51 PM-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51%E2%80%AFPM-1.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定Magento、WooCommerce等電子商城平臺的攻擊行動不時傳出，其中最常見的入侵手法之一，就是利用零時差漏洞或已知漏洞而能得逞，但也有駭客反其道而行，佯稱電商網站有資安弱點為由，從事網釣攻擊。</p> <p>例如，資安業者Patchstack提出警告，他們發現專門針對WooCommerce網站管理員的大規模釣魚攻擊，駭客聲稱經過他們的掃描，網站有重大層級的資安漏洞，這項漏洞能被用於未經授權的狀態下，以管理者身分入侵網站，若是不處理，攻擊者就能竊取網站敏感的使用者資料，包含客戶資訊、訂單細節，以及付款方式的內容。駭客甚至恐嚇管理者，該漏洞可能會導致未經授權的付款，甚至讓網站失去控制。</p> <p>駭客建議網站管理者要儘速依照指示操作，從他們的網站下載修補程式，並以WordPress外掛程式的形式上傳、安裝，然後啟用，網站才會得到保護。然而，上述的一切，都是與駭客聲稱、卻不實際存在的假漏洞有關，一旦網站管理者照做，駭客就會透過後門與新建立的管理員帳號，來入侵受害網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-bring-your-own-installer-edr-bypass-used-in-ransomware-attack/">勒索軟體Babuk繞過EDR防護出現新手法，利用合法安裝程式達到目的</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/venom-spider-phishing-scheme">駭客組織Venom Spider冒充求職者，鎖定人力資源部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/npm-malware-crypto-wallets-mongodb-turkey-code/">惡意NPM套件鎖定CryptoJS用戶而來，企圖竊取加密貨幣錢包、MongoDB資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168751"><strong style="font-size: 22px;">PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險</strong></a></p> <p>PHP開源專案ADOdb上周釋出5.22.9版，以修補CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337為SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞，起因是最近想要強化對白盒的了解，於是他開始探索靜態分析安全測試（SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及客戶關係管理專案VtigerCRM。沒想到，Marco Nappi在Moodle或VtigerCRM都找到相同的SQL注入漏洞，進一步檢查才確認，該漏洞其實隱藏在ADOdb元件。</p> <p><a href="https://www.ithome.com.tw/news/168640"><strong style="font-size: 22px;">圖像化資料分析平臺Grafana出現高風險權限繞過漏洞</strong></a></p> <p>圖像化資料分析平臺Grafana發布安全更新，修正多項資安漏洞。其中，高風險漏洞CVE-2025-3260影響Grafana 11.6.0以上的版本，允許具Viewer或Editor角色的使用者繞過儀表板與資料夾的權限設定，查看、編輯或刪除組織內所有儀表板。當系統啟用匿名認證，且匿名用戶被指派為Viewer或Editor角色，未登入使用者也可能無需授權即可操作組織內所有儀表板。</p> <p>根據官方說明，該漏洞發生於新開發的/apis/dashboard.grafana.app/系列端點，在權限檢查邏輯上存在缺陷，影響所有啟用該API的部署環境。雖然組織隔離機制仍然有效，不同組織之間的資料不會因此洩漏，但單一組織內的權限防護卻會失效。該漏洞CVSS評分為8.3屬高風險等級，建議用戶盡速升級至11.6.0+security-01版本或同分支修補版本，即便使用者無法立即升級，也應以網路層封鎖特定API路徑因應。</p> <p><a href="https://www.ithome.com.tw/news/168650"><strong style="font-size: 22px;">研究人員公布使用Linux io_uring迴避偵測的手法</strong></a></p> <p>資安廠商Armo研究人員公布針對Linux的Rootkit，利用Linux提高效能的專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享緩衝區來大幅減低因複製產生的系統額外的資源消耗（overhead），加速I/O執行。</p> <p>但Armo研究人員發現，io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。基於io_uring的安全疑慮，Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援，Docker也預設不支援io_uring；Linux基金會也提供全系統關閉的方法。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/android-security-bulletin-may-2025-multi-vulnerabilities-including-actively-exploited-cve-2025-27363/">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/unauthenticated-dos-vulnerability-crashes-windows-deployment-services-no-patch/">Windows部署服務存在DoS漏洞，攻擊者有機會遠端發動零點擊攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> </div></div></div>
2025/5/6 11:20作者周峻佑https://www.ithome.com.tw/news/168762
GCC 15.1採用C23為預設標準，同步納入Rust與COBOL支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gcc.gnu.org/gcc-15/changes.html">GCC（GNU Compiler Collection）正式推出15.1版本</a>，這是該專案近年來涵蓋面向最廣的一次重大更新，不僅更換C語言的預設標準，也正式將Rust與COBOL納入支援，呈現出GCC從傳統C編譯器轉型為多語言編譯核心的發展方向。對開發者而言，GCC 15.1在語言相容性、靜態分析能力與平台支援上的全面強化，提供更現代化、多元且可擴充的開發環境選擇。</p> <p>GCC 15.1是GCC 15系列的第一個穩定版本。針對C語言，預設語言標準由gnu17切換為gnu23，開發者如果未在建構參數中明確指定，將自動採用C23語法與編譯規則。C23標準導入多項語言現代化設計，如#embed指令、命名迴圈、位元操作內建函式與型別診斷改善，GCC也同步改進錯誤訊息，提供具修正建議的提示，協助開發者加速轉換。</p> <p>在語言支援上，GCC此次新增對Rust與COBOL的原生支援。Rust前端gccrs已能正確處理Rust 1.49語法與標準函式庫，包括for迴圈、錯誤傳遞運算子、let-else、索引與自動解參照（Dereferencing），並已成功編譯完整的core與alloc模組。雖然尚未支援較新的語法與完整std函式庫，但此進展已足以涵蓋基礎系統程式設計需求，進一步替GCC納入Linux核心子系統中的Rust元件鋪路。至於COBOL，新引入的gcobol編譯器遵循ISO/IEC 1989:2023標準，在x86-64與AArch64架構上可通過大部分測試項目，企業可善用於維運老舊系統。</p> <p>診斷與分析能力提升也是GCC 15.1的一大重點。-fanalyzer分析器經過多項強化，不僅能顯示多步驟控制流程，還能透過表情符號與ASCII圖形標示錯誤節點，有助於視覺化追蹤錯誤。此外，GCC進一步支援SARIF診斷格式，開發者可輸出結構化JSON結果供其他工具分析，提升於CI/CD或DevSecOps流程中的可整合性。</p> <p>硬體架構與最佳化方面，該版本對AArch64新增多款CPU支援，包括Apple M1/M2/M3、Qualcomm Oryon與Nvidia Grace，並針對SVE與SME指令集進行自動最佳化處理。x86-64則引入AVX10.2、AMX-FP8與MOVRS等新一代指令集，GCC也在此版本中淘汰對Xeon Phi平臺的支援。標準C++函式庫libstdc++同步引入C++23與部分C++26草案功能，例如flat_map、views::concat與constexpr排序演算法等，並新增針對std::format的編碼與格式化支援。</p> </div></div></div>
2025/5/1 15:37作者李建興https://www.ithome.com.tw/news/168706
【臺灣資安大會直擊】先下手為強的另一種資安左移策略！掌握可能遭攻擊的先機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了積極鞏固防線，盡可能不要犯錯，以免增加入侵者的可乘之機，許多人可能也會想到能否反擊？使對方更不敢輕易越雷池一步！但也擔心因此激怒對方而發起更劇烈、更難以招架的報復行動，而得不償失。過往我們知道的資安反制手段是<a href="https://www.ithome.com.tw/tags/deception">欺敵（Deception）</a>，設下陷阱進行誘捕，進而獲得主動防禦能力，自由資安顧問PD Lee的演講在2025臺灣資安大會，也針對這項議題進行探討，他說明一種更進階、危險性也更高的作法，他稱之為「逆襲中繼站」，透過他實務操作的經驗，為大家提供不同的防守思路。</p> <p>首先，他特別警告，若要採取這樣的作法，千萬不要透過自家辦公室的網路環境進行反擊，因為攻擊者一旦發現有受害者從他們原本鎖定的網路環境反擊，有可能會對這個網路發動報復行動，例如DDoS攻擊，然而，CDN或網路流量清洗的防禦服務，可能需要滿足一些條件，才能幫忙緩解辦公室的網路環境所面臨的大規模網路流量。</p> <p>實務上，要如何進行「逆襲中繼站」？PD表示，在傳統資安事件處理流程當中，當他察覺遭到攻擊，會開始分析樣本、找出C2中繼站、封鎖C2，接著將樣本提交給防毒軟體廠商或資安廠商，並且清查所有受影響的設備跟主機，設法恢復運作，之後執行安全評估，了解該實施的補強，避免駭客再次用同樣的方式打進來。</p> <p>但是，在過程中，PD還會再做一件事情：試著「打回去」，一旦成功，會接管攻擊者部署的中繼站，若運氣好，還能進入對方的「兵器庫（駭客存放攻擊工具的地方）」，找到後，能每天分析攻擊者上架的各種工具樣本。因此，當攻擊者對他負責的單位發動實際攻擊之前，就能夠先擋下來；在防守方完成上述「超前部署」，攻擊者發動攻勢之後，會出現看似成功部署、資料卻一直無法回傳。PD說，這可能讓對方打到懷疑人生。</p> <p>在某些情境下，上述做法也有機會帶來意外收穫，例如，潛伏在單位內部的一些惡意使用者，有可能會浮出檯面。</p> <p>逆襲中繼站之所以可行，其實，也跟黑色產業的角色分工有關，PD以東南亞、非政府網軍的生態為例說明，點出攻擊者分為兩種，一是要價高、數量稀少的Hacker，他們能負責搜集跟挖掘各種資安漏洞，以及量身打造後門，另一是OP，有些人會負責建置與維護中繼站環境，或是實際發動社交工程，多種負擔很重的攻擊工作會交給OP執行，有些人可能是忠於黑色產業主事者、聽話的自己人，負責回收偷盜、搶劫到的個資名單或機密資料，避免駭客取得資料後，不只上繳至組織，還擅自偷偷轉賣牟利。</p> <h3><strong><span style="color:#0000FF;">找到中繼站，反滲透至攻擊者的基礎設施</span></strong></h3> <p>對於防守方而言，如果能找到中繼站，接下來如果想要對攻擊者進行反制，該如何著手？PD列出4種常見作法：善用已知漏洞或不當配置、未公開漏洞、偽造被入侵環境進行反監控，以及社交工程，前兩種與最後一種都是攻擊者常用的伎倆，共通點是以其人之道還治其人之身，並不難理解，反監控則與上述的欺敵或誘捕的概念有關。</p> <p>無論採用傳統的資安事故應變流程或進行反制攻擊者的行動，要突破的共通關卡，就是分析樣本、找到中繼站，PD提供兩種方法：運用資安事故應變處理工具（IR Tools）、沙箱檢測環境（Sandbox），像是VirusTotal、Any.Run、Cuckoo Sandbox。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-IR1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" style="width: 298px;" /></a></p> <p>在上傳疑似帶有惡意軟體的樣本時，PD提醒大家不要上傳可能包含公司機密資料的樣本，因為他過去常在這些平臺找到臺灣企業的機密文件，上傳資料的人可能以為他找到的檔案裡面有病毒，於是，將這些他判斷為惡意文件的資料，直接送至沙箱檢測環境分析，結果反而因此意外暴露機敏資料。</p> <p>而在分析樣本的過程中，由於攻擊者有時也會對這些惡意檔案進行<a href="https://ithelp.ithome.com.tw/articles/10253504?sc=rss.iron">混淆（Obfuscation）</a>，PD用自己做的樣本舉例說明，當中採用兩次ROT13（迴轉13位，一種替換式密碼），以及兩次Base64編碼處理，他提醒大家實務採用的手法可能會更複雜。而解開這些遮蔽之後，就有機會找到底下的中繼站位置。有時防守方會發現對方的惡意檔案設計不良，甚至直接把金鑰寫死在裡面，此時就可以上傳防守方寫好的webshell，進而拿下這臺中繼站。</p> <h3><span style="color:#0000FF;"><strong>偵測是否存在已知、未修補的漏洞，以及組態設定不當等狀況</strong></span></h3> <p>找到中繼站以後，接下來防守方可對這些節點執行資安弱點掃描，尋找可乘之機，如果當中存在一些已知的漏洞，接下來就可以到GitHub、ExploitDB等地方，找對應的漏洞濫用方法。</p> <p>另一個突破點是防守方本身也經常存在的資安空隙，那就是組態設定不當（Misconfiguration），但對於攻擊方而言，他們設置的IT基礎設施之所以存在這些風險，與他們平常接觸的線上技術教學資源，存在檔案下載來源複雜、可能藏有後門，以及技術文章與軟體版本過時等問題。</p> <p>PD表示，由於特定國家實施嚴格的網路管制措施，因此，當地網路論壇相關教學文章提到的軟體，若要下載使用，必須修改來源才能取得更新；另一種情況是，攻擊者所用的軟體大多是經過修改的版本，例如，用於滲透測試與數位鑑識的Kali Linux，但水能載舟亦能覆舟，這套系統也經常被黑帽駭客改裝，因此，攻擊者可能採用的是非標準、訂製的「魔改」版本；軟體下載的位置可能也不是工具作者管理的站點，而是放在百度雲盤、迅雷等網站，供人下載，PD表示，這些檔案本身可能存在安全性疑慮，因為經過分析後，會發現當中被增添一些後門或資安漏洞。</p> <p>再來就是教學文章的問題，有些內容會使讀者以為是最新整理的資訊，但仔細一看會發現這是其他網站發布的舊文，而且，上面提到軟體套件是五六年前的，若攻擊者參考這些搬磚的過期文章去架構系統，會導致所建置的IT環境本身就是存在資安漏洞的舊版系統。</p> <h3><span style="color:#0000FF;"><strong>小心水坑式攻擊</strong></span></h3> <p>另一個PD要提醒大家注意使用風險的現象，則是水坑式攻擊（Watering hole），他這裡舉的例子是IT人員複製、貼上技術文章列出的指令，以及程式碼的內容，要注意裡面是否被加料。這類問題不僅危害一般IT人員，但也損及運用這些內容的攻擊者。</p> <p>當我們在安裝、設定Linux系統的一些軟體套件，有時會需要輸入一大串指令，因此，我們可能會從教學文章直接複製一段相關內容，轉貼至系統執行，然而，有可能我們以為複製的文字敘述跟網頁呈現的一樣，但如果將這些內容轉貼至文字編輯器，逐一比對會發現中間突然多了一段指令敘述，PD舉的例子是被插入一個下載Shell並且執行的敘述，這個偷偷夾帶攻擊的手法並不難，對方只是在網頁的JavaScript加了一段event listener指令碼，因此，當有人到教學文章網頁複製這段批次指令執行緒敘述時，以為只是單純安裝一個軟體套件，但也同時被偷安裝了後門程式。</p> <p>關於這類針對複製貼上偷加料的竄改手法，2018、2019年就出現過案例，<a href="https://www.ithome.com.tw/news/148701">2022年1月iThome也曾編譯過相關資安新聞</a>，PD感慨地說，大部分的資安設備都沒辦法偵測到這種手法，所以，IT要自強、不能只靠設備，因為你會發現很多攻擊手法單靠設備是擋不掉的，而且少有廠商宣傳這種攻擊手法，所以你可能就忽略掉這種攻擊手法。</p> <h3><span style="color:#0000FF;"><strong>刻意收集與掌握未公開的漏洞</strong></span></h3> <p>已知資安漏洞的公開消息多到不可勝數，但若是作為攻擊型的資安人員，本身應該都儲備一些沒有公開的資安漏洞，如果在企業端工作時，其實是有不少機會可蒐集到這些情報。PD說，當他在甲方（業主）任職，是他找到最多零時差漏洞的時候，因為每年第四季有許多資安廠商會將設備送來測試，希望企業能編列預算採購，而且，這些都是百萬、千萬等級的產品，平常資安人員其實沒有機會接觸到這麼高檔的設備。</p> <p>而在實際測試與研究之後，他發現高檔的IT系統，像是ERP、BPM、CRM的內部系統，有時比家用版產品還要脆弱，顛覆越貴越好的刻板印象——越貴的、越少人接觸的設備或系統，潛在的資安漏洞可能反而更多。而將這些資訊累積起來，日後可用於發布CVE漏洞，也能當做反制網路攻擊活動的知識庫</p> <h3><strong><span style="color:#0000FF;">偽造被入侵環境進行反監控</span></strong></h3> <p>除了奪下中繼站的控制權，防守方遭到侵入的系統雖然安全性受到危害，但其實也是反制攻擊者的重要武器，因為可以把受害主機轉生為客製化的Honeypot，藉此偽造看似遭駭、實則已被資安人員列管觀察的環境，進行反監控。</p> <p>哪些系統較適合扮演這種角色？PD認為，會是相對獨立運作的環境，例如，有些使用單位的行銷部門，可能會找個懂電腦的人，自行架設WordPress平臺、在上面設置行銷網站，以便推動業務運作，但這些系統大多完全沒有考慮到安全性，因此，往往很容易被攻陷，一旦發現此類狀況出現，確認遭駭系統沒有機密資訊之後，他會建立一個隔離網段，再將受害系統複製、搬入——可透過實體轉虛擬機器（P2V）的轉換工具，將遭駭網站系統、連同被植入的後門程式轉為虛擬機器，然後放在虛擬化系統上面執行，接下來，就可以如同設置水族箱，把遭駭系統「養」在裡面，然後對其進行觀察。</p> <p>在上述隔離環境當中，防守方可以植入網路封包擷取與分析器（Sniffer）、鍵盤側錄程式（Keylogger），但可能會被攻擊者發現有人正在監控他們的活動，有可能是其他也想分一杯羹、甚至企圖整碗端去的駭客組織，因此，PD建議可以運用IP-guard、iMonitor或神網進行側錄與觀察，而這些產品是目前臺灣企業常用的員工行為監控工具，反而不會打草驚蛇，因為攻擊者原本就預期受害系統本身有這樣的常態防護措施。</p> <p>PD表示，如果運氣夠好，在反監控的過程中，防守方有機會搜刮到攻擊者使用的工具、加密金鑰，以及得知濫用的資安漏洞，後續可憑藉這些重要情報順勢反制。</p> <h3><strong><span style="color:#0000FF;">發動社交工程、打探攻擊者情報</span></strong></h3> <p>在資安防護領域，一談到社交工程，常令人聯想到網路釣魚，攻擊者常用一些伎倆或誘餌促使受害者上鉤（開啟惡意網站或下載執行惡意軟體），而對於防守方而言，若要進行反擊，是否也可以對其誘騙，進而牽制攻擊者的行動？</p> <p>在PD的演講裡面提到，防守方為了能更近距離獲得更多攻擊者的情報，也可以透過間接互動的方式與其進行溝通，他也借用「社交工程」一詞代稱這樣的刺探。</p> <p>實際上，會以何種形式進行？PD表示，有時他發現所保護的單位有主機遭到入侵，他會在系統裡面偽裝成另一批打進去的攻擊者，留下一些文字試圖與入侵者對話，在大多數情況下，得不到任何回應，但偶爾還是會出現例外，於是，彼此就開始展開一來一往的對話，他還因為這樣而收到攻擊者的工作招攬邀約，也藉此多了解對方的底細，但他坦言這種互動的成功率很低。</p> <p>另一種大家比較能想像的作法，就是混入特定社群媒體的駭客技術討論頻道，進行臥底、伺機蒐集相關的攻擊資訊，不過，也要小心黑吃黑的風險，因為他發現有些人雖然無償提供很多好用的工具套件，但經過分析後，發現這些檔案有問題，背後別有居心。</p> <h3><strong><span style="color:#0000FF;">接管中繼站</span></strong></h3> <p>當防守方奪下攻擊者的中繼站之後，還有很多可以加工的部分，以便持續監控、掌握對方更多動態。舉例來說，PD他會在僅透過FTP協定傳輸檔案的命令與控制節點，安裝網頁伺服器，例如檔案分享伺服器軟體HFS（HTTP File Server）；如果中繼站本身有網頁介面，他會啟用目錄瀏覽（Directory Listing），如此一來，防守方能更容易查看中繼站存放的各種檔案與資料夾，可以隨時監控上面的資料是否更新。</p> <p>有時，防守方如果遇到中繼站全都使用相同的金鑰的狀況，這意味著，只要攻下一個中繼站，後續可以繼續擴展、奪走更多中繼站，PD說，運氣好的話，可進到攻擊方的「兵器庫」與儲存區，這是最核心、最重要的部位。</p> <p>接下來，該如何觀察這兩個區域的動態？PD先從檔案與資料夾的時間著手，例如，可發現攻擊工具更新的頻率或是否有增減，也能針對這些樣本進行分析，以便超前部署對應的防禦規則。例如，防守方本身如果已設置端點偵測與應變系統（EDR），可以自行撰寫一些YARA規則協助偵測、透過EDR執行防禦，會更有效率，因為這麼一來，即使使用者不慎中招，仍有很高的機率能讓攻擊失效；網路防火牆的部分，被滲透的防守方也可以運用這些資訊先行封鎖中繼站，之後就算使用者不慎點選、開啟惡意網址連結，或被植入惡意軟體，也將因此受到防火牆阻隔，無法將擷取的資料傳回中繼站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-Hacker backoffice1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-Hacker%20backoffice1.jpg" style="width: 600px;" /></a></p> <p>而在回傳資料儲存區的部分，作為監控當中動態的防守方，可以注意幾個現象，像是：每個資料夾可能代表對不同目標搜括的資料，可確認上面是否有自家單位的資料，若發現有其他公司的資料，最好以間接方式提醒對方檢查，而不要直接通報，因為反制畢竟是遊走合法邊緣的手法，很難預料遭駭者接收這些訊息後的反應；個別資料夾的點閱數量高低也有意義，因為這可能表示目標中招的機會較大，若是發現部分資料夾突然消失，可能代表攻擊者打完、收工，以免被受害者察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-Hacker backoffice2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-Hacker%20backoffice2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>揪出內鬼</strong></span></h3> <p>若能有效實施上述這些制敵機先的手段，攻擊者在遲遲無法獲得戰果的狀況下，若他們事先派人在受害單位臥底，可能就會接到其他裡應外合的命令，以便讓惡意連線與資料外洩的活動能恢復正常運作，但此舉有可能反而導致「內鬼」曝光。</p> <p>PD表示，過去曾遇過攻擊者因為受困於防守方的超前部署，於是開始聯絡潛伏在受害單位的惡意使用者，請他們檢查相關的攻擊連線是否正常，而防守方之所以察覺這種異狀，是因為檢視防火牆連線記錄時，發現有使用者電腦本身並沒有接收惡意程式的樣本、卻有連至C2中繼站的記錄，而對應到此人的真實身分時，也發現他是被鎖定攻擊目標之外的其他部門人員；為了進一步確認該名使用者是否有不當行為，防守方還特地調閱工作場所的視訊監控系統，比對相關的時序，結果畫面顯示：這位使用者操作電腦連至中繼站之前，先到角落接了一通電話，然後回到座位、將手機放在桌面上，接著在電腦上鍵入一段網址，進行這些操作的時間與非感染電腦新連上中繼站的時間相符，後續請法務人員與其洽談，對方也坦白自己是受朋友囑託而做，於是，潛伏在內部的惡意使用者就此正式曝光。</p> <h3><strong><span style="color:#0000FF;">務實理解反擊的風險與優點</span></strong></h3> <p>分享自身的實戰經驗後，PD一再提醒「反擊駭客絕對不是一個最有效的防禦方式」，希望大家謹慎考量是否適合這麼做。然而，不入虎穴，焉得虎子，如果能在有足夠自保能力的狀態下，的確有機會扭轉「後發制於人」的傳統被動防守劣勢，甚至也能將這樣的反擊視為「後發先至」、「後發制人」，提供顛覆既有模式的防守思路。</p> <p>為何防守方不敢反擊？簡而言之，擔心失控、遭到反噬、更大程度的反撲。PD列出三點考量：首先，這麼做的技術門檻很高，防守方必須同時熟悉攻擊跟事故應變的技術第二是有法律風險，攻擊者設置的中繼站有可能坐落在第三方受害者的環境，當我們攻擊這樣的中繼站，可能會被視為攻擊無辜的第三方，所以存在違法風險；最重要的是，防守方面臨的攻擊可能來自四面八方，發起入侵活動的可能不只一家，然而，攻守之間往往處於不對稱的態勢，防守方的人力有限，即使能針對部分攻擊者的活動進行一些超前部署，但其他厲害的人還是會攻打我們，所以不能單靠反擊來進行所有的防禦。</p> <p>不論防守方最終是否決定採取這樣冒險的手段，但反擊所能帶來的一些好處，還是值得大家省思，例如，防守方內部應具備一定程度的威脅研究與分析能力，而非全然仰賴外部（資安廠商與資安產品）收集與產生的情資。PD表示，透過這樣的行動，可以研究對方的攻擊手法，他會把這些搬到自己架設的環境進行模擬，可藉此驗證現有的防禦機制與政策，看看是否能擋下攻擊，若無法招架，可將這些研究內容、證據整理成報告，以此實證資料分析結果向使用單位申請一些資源，以便預先部署更進階的防禦措施。</p> <p>為什麼要這樣做？PD表示，過去使用單位總是要等到被攻擊者打進內部環境、進行麻煩的善後處理，才有辦法促使意識到問題嚴重性的高層，更願意投入資源以強化資安，但此時傷害已經造成，若能活用上述「超前部署」策略，就可以在事發之前獲得足夠佐證，進而藉此爭取所需的防禦資源，能以更精準、務實的方式實現「防患於未然」。</p> </div></div></div>
2025/5/1 12:28作者李宗翰https://www.ithome.com.tw/news/168709
【資安日報】4月30日，韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期韓國出現數起相當嚴重的資安事故，其中一起是韓國電信龍頭SK Telecom（SKT）遭到入侵的消息，本週該公司宣布，他們將為2,500萬用戶免費SIM卡，目前已有超過400萬用戶申請。</p> <p>值得留意的是，由於該公司SIM卡庫存有限，目前僅有100萬張，必須分批為用戶更換，預估5月底能再更換500萬張，換言之，仍有四分之三無法在5月底前完成更換，後續影響將值得觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168675"><strong style="font-size: 22px;">韓國大型電信業者SKT驚傳遭駭，客戶資料遭竊，該公司決定為2,500萬用戶免費換發SIM卡</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/사이버-침해-사고-관련-SKT-고객-보호조치-안내_02.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EC%82%AC%EC%9D%B4%EB%B2%84-%EC%B9%A8%ED%95%B4-%EC%82%AC%EA%B3%A0-%EA%B4%80%EB%A0%A8-SKT-%EA%B3%A0%EA%B0%9D-%EB%B3%B4%ED%98%B8%EC%A1%B0%EC%B9%98-%EC%95%88%EB%82%B4_02.png" style="width: 300px; float: right;" /></a></p> <p>韓國電信龍頭SK Telecom（SKT）上週證實，4月19日發現惡意活動，偕同第三方資安專家調查顯示，攻擊者在網路環境植入惡意程式，並竊走消費者和USIM卡有關資料。29日SKT宣布，他們將為2,500萬用戶免費換發SIM卡。</p> <p>SKT表示，駭客竊走的資料當中，包含IMSI（International Mobile Subscriber Identity）、手機基地臺ISDN號、網路用量、儲存在SIM卡上的簡訊或聯絡人資料。不過，客戶姓名、其他身分資訊、財務資料並未外流。</p> <p>若外洩的資訊落入歹徒手中，結合自其他來源取得的用戶個資，可能會被用於發動SIM卡交換（SIM Swapping）攻擊。SKT指出，他們原本就已建置相關防範機制降低風險，但還是決定開放用戶免費換發新的SIM卡，當地媒體指出，逾2,500萬用戶符合換卡資格。截至29日上午，已有430萬人提出申請。</p> <p><a href="https://www.ithome.com.tw/news/168659"><strong style="font-size: 22px;">教育機構Azure租戶遭到鎖定，駭客濫用AzureChecker從事挖礦活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-overview-of-attacks-against-kubernetes-environments.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-overview-of-attacks-against-kubernetes-environments.png" style="width: 300px; float: right;" /></a>微軟威脅情報團隊提出警告，他們觀察到駭客在最近1年裡，偏好利用不安全的工作負載對容器環境下手，利用命令列（CLI）工具AzureChecker.exe進行活動。</p> <p>他們舉出其中一起由駭客組織Storm-1977發起的密碼潑灑（Password Spray）攻擊行動為例，駭客鎖定教育領域使用的雲端租戶環境，利用AzureChecker.exe進行活動，從特定網域下載經AES演算法處理的資料，解密後得到攻擊的目標。駭客也運用AzureChecker.exe讀取用於密碼潑灑攻擊的帳密資料列表檔案accounts.txt，然後對目標租戶發動攻擊。</p> <p>一旦攻擊者得逞，就會透過訪客帳號建立資源群組，然後用於挖礦，微軟看到駭客建立超過200個容器來牟利。</p> <p><a href="https://www.ithome.com.tw/news/168676"><strong style="font-size: 22px;">法國指控APT28對當地政府機關、企業組織發起網路攻擊</strong></a></p> <p>受到俄羅斯軍情單位GRU指使、被稱做APT28、Forest Blizzard、Strontium的駭客組織，去年德國聯邦政府（Bundesregierung）、捷克外交部（MFA）、波蘭國家研究院（National Research Institute，NASK）出面指控，當地政府機關及企業組織遭受攻擊，如今又有歐洲國家表示，這些駭客長時間對他們的企業組織從事攻擊行動。</p> <p>4月29日法國外交部發布新聞稿，指控APT28在過去4年，鎖定當地超過10個政府機關及企業組織從事網路攻擊，這些組織包含法國的公共服務、私人企業，以及2024奧運及帕拉林匹克運動會（Paralympic Games，簡稱帕運）相關的體育機構。針對APT28的攻擊手法，他們提及GRU也曾經使用，於2015年破壞電視臺TV5Monde，以及在2017年試圖干預法國選舉。</p> <p>對此，法國網路安全局（ANSSI）同日發布調查報告說明相關細節，他們指出這段期間APT28攻擊的目標，包含政府機關、地方政府、行政單位、國防科技與工業基礎（Defence Technological and Industrial Base，DTIB）、航太領域、研究機構、智庫、金融機構。其中，在2024年，這些駭客主要針對當地政府、外交、研究機構、智庫而來。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/breachforums-displays-message-shutdown-mybb-0day-flaw/">駭客論壇BreachForums傳出遭零時差漏洞攻擊被迫停機，管理者表示將捲土重來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/outlaw-botnet/116444/">殭屍網路Dota將Linux電腦用於挖礦，利用弱SSH帳密入侵受害主機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cyfirma.com/research/hannibal-stealer-a-rebranded-threat-born-from-sharp-and-tx-lineage/">竊資軟體Hannibal Stealer能繞過Chrome最新Cookie防護，竊取加密貨幣錢包、FTP用戶端資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-97-zero-days-exploited-in-2024-over-50-percent-in-spyware-attacks/">駭客2024年使用近百個零時差漏洞，逾半數被用於間諜軟體攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168661"><strong style="font-size: 22px;">FastCGI程式庫存在重大漏洞，恐使嵌入式裝置遭遠端執行任意程式碼</strong></a></p> <p>資安公司Synacktiv研究人員揭露FastCGI程式庫存在高風險漏洞CVE-2025-23016，攻擊者可藉由特製請求觸發整數溢位並導致堆積溢位，在特定部署情境進一步控制應用程式流程，達到執行任意程式碼的目的。由於該程式庫廣泛用於輕量級網路應用，尤其是在攝影機、路由器等資源受限的嵌入式裝置，風險影響不容忽視。</p> <p>儘管FastCGI歷史悠久且一向以穩定著稱，過去也少有重大漏洞紀錄，但此次事件顯示，在嵌入式部署與舊版系統，仍可能潛藏資安風險。開發者與系統管理員應盡快檢查所使用的FastCGI函式庫版本，並更新至已修補的2.4.5版。此外，建議改以UNIX Socket取代TCP Socket，避免將FastCGI介面直接暴露於網路，以降低被攻擊的風險。</p> <p><a href="https://www.ithome.com.tw/news/168627"><strong style="font-size: 22px;">遠端桌面軟體ScreenConnect存在重大漏洞可導致遠端程式碼執行攻擊</strong></a></p> <p>軟體業者ConnectWise發布安全公告，警告遠端桌面軟體ScreenConnect存在高風險漏洞，可允許ASP.NET網頁元件注入，導致遠端程式碼執行。ConnectWise已發布更新修補漏洞。</p> <p>該漏洞編號CVE-2025-3935，起因為驗證不充分，位於ScreenConnect使用ViewState保存頁面和控制項狀態的ASP.Net Web表單，這些網頁是利用ASP.NET機器金鑰（machine keys）進行資料的Base 64編碼加密。英國NHS安全公告指出，由於此項漏洞，擁有系統高級權限的攻擊者可能取得機器金鑰，而得以製作和傳送惡意ViewState程式碼到網站，使其可在受害者伺服器上遠端執行。</p> <p>攻擊者若取得其他存取權限，可導致機密資料外洩，或被存取其他部份的系統。本漏洞影響ScreenConnect 25.2.3及之前版本，CVSS風險值達8.1分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/multiple-vulnerabilities-in-netscout-ngeniusone-threaten-infrastructure-visibility-platforms/">Netscout修補nGeniusONE多項資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://ithome.com.tw/news/168662"><strong style="font-size: 22px;">【臺灣資安大會直擊】衛星科技快速崛起，從美國衛星安全CTF競賽看太空中的資安威脅</strong></a></p> <p>太空科技發展快速，衛星通訊愈來愈普及，太空中的資訊安全也逐漸受到重視，今年臺灣資安大會邀請不少專家來分享衛星通訊面臨的資安威脅及攻擊，國家資通安全研究院通報應變中心助理工程師Sol Yang從美國舉辦的衛星通訊相關的CTF競賽，剖析太空安全相關的資安威脅及潛在風險。</p> <p>Sol Yang指出，美國空軍在2020年舉辦首屆Hack A Sat競賽，為以太空安全為主題的CTF搶旗賽，其概略的流程是，參加者設法竊取Cookie，並取得管理員權限後，再駭入地面站使用的開源控制軟體COSMOS，從中辨識並移除惡意程式，再以衛星上的感測器資料，從中分析地面站和衛星間的通訊、協定結構，再竄改內容進行注入攻擊，進而控制衛星。</p> <p>美國空軍舉辦衛星安全競賽的目的是推動Security by Design，在設計衛星之時就基於安全設計，和一般電腦能夠事後執行安全更新不同，衛星在太空環境作事後修補成本相當高，因此在設計衛星時就需要確保是安全的，訂立標準確保衛星通訊的安全。</p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168639"><strong>【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168608"><strong>【4月25日】導致藍色當機畫面的RDP漏洞BlueKeep，再次出現利用活動</strong></a></p> </div></div></div>
2025/4/30 13:36作者周峻佑https://www.ithome.com.tw/news/168681
【臺灣資安大會直擊】衛星科技快速崛起，從美國衛星安全CTF競賽看太空中的資安威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>太空科技發展快速，衛星通訊愈來愈普及，太空中的資訊安全也逐漸受到重視，今年臺灣資安大會邀請不少專家來分享衛星通訊面臨的資安威脅及攻擊，國家資通安全研究院通報應變中心助理工程師Sol Yang從美國舉辦的衛星通訊相關的CTF競賽，剖析太空安全相關的資安威脅及潛在風險。</p> <p>一般而言，衛星通訊涵蓋三個部分，地面站、通訊、衛星。地面站負責控制、監控衛星，通訊則包括上行鏈路（Uplink）及下行鏈路（Downlink），衛星方面則包括衛星本體及酬載，美國在太空衛星發展較早，因此很早便開始重視太空資訊安全，美國政府在2020年以Hack A Sat為主題，舉辦以太空安全為主題的CTF資安競賽，至今已舉辦4屆競賽，競賽的題目可分為六大類，涵蓋衛星通訊的三個部分。</p> <p><span style="color:#B22222;"><strong>從美國衛星安全競賽看威脅</strong></span></p> <p>Sol Yang指出，美國空軍在2020年舉辦首屆Hack A Sat競賽，為以太空安全為主題的CTF搶旗賽，其概略的流程是，參加者設法竊取Cookie，並取得管理員權限後，再駭入地面站使用的開源控制軟體COSMOS，從中辨識並移除惡意程式，再以衛星上的感測器資料，從中分析地面站和衛星間的通訊、協定結構，再竄改內容進行注入攻擊，進而控制衛星。競賽會模擬在伺服器上，上面的應用程式存在Buffer Overflow漏洞，讓參賽者設法拿到控制權取得分數，最後再測試美國NASA開源的cFS飛行軟體。往後3屆競賽都採用類似的邏輯。</p> <p>Sol Yang表示，美國空軍舉辦衛星安全競賽的目的是推動Security by Design，在設計衛星之時就基於安全設計，和一般電腦能夠事後執行安全更新不同，衛星在太空環境作事後修補成本相當高，因此在設計衛星時就需要確保是安全的，訂立標準確保衛星通訊的安全。</p> <p>「透過安全設計，降低事後維護的需要，換言之，事前的預防是很重要的」，Sol Yang說。</p> <p>相較於第1屆仍偏向IT設備的攻擊，第2屆衛星資安競賽中則涵蓋衛星軌道力學的攻擊，軌道力學包括衛星的TLE（軌道資料）軌道位置，預測衛星飛行的軌跡，還有四元數（姿態資料），例如控制衛星姿態，太陽面板是否面向太陽，第2屆競賽同樣使用平面衛星讓參賽者解題，但是加入NASA開源的NASA 42模擬器。</p> <p>第3屆競賽受到COVID-19疫情影響，為避免面對面交流的群聚傳染風險，完全採用數位孿生方式進行，搭配開源軟體如開源地面站控制軟體COSMOS、飛行軟體cFS等等。參賽者可以選擇破解加密的地面控制站，追蹤TLE衛星軌道位置、控制衛星四元數，遙控太陽能板是否面向太陽，以獲得更好的充電效果。其他題目則有前2屆就有的注入攻擊、COSMOS指令等等。</p> <p>2023年舉行的第4屆競賽，首次發射真實的低軌衛星Moonlighter作為CTF競賽之用，這顆低軌衛星採用RISC-V處理器核心、ZTEX FPGA，搭配NASA cFS飛行軟體及Linux作業系統，參賽者不再使用COSMOS軟體，該屆競賽要求參賽者寫控制腳本，控制衛星在太空中拍攝照片。</p> <p><span style="color:#B22222;"><strong>資安威脅涵蓋衛星控制、通訊內容竊取</strong></span></p> <p>根據幾屆競賽內容，Sol Yang歸納衛星安全競賽，對衛星通訊的資安威脅包括Space OSINT、Space Math及Space Packet三類。</p> <p>其中的Space OSINT是由主辦方提供一些衛星元件資料，讓參賽者設法搜尋找出元件、供應商的相關資訊，作為後續修復或攻擊衛星的參考；Space Math則是根據主辦單位提供的TLE，計算衛星在未來某一個時間的軌道位置；Space Packet則是讓參賽者根據取得的感測器資料，分析其中使用的通訊協定，進而竄改封包，發出控制命令給衛星。</p> <p>Sol Yang表示，首先是Space OSINT方面，衛星包含的重要子系統及元件，其中比較重要的是AD&C、C&DH、TT&C，相應產生的資安威脅，以AD&C為例，它是用來控制衛星面對的角度方向，由於衛星的能源來自太陽能面板，太陽能面板必需正確面向太陽，否則將影響衛星產生能源的效率，也是駭客攻擊衛星的一個面向；C&DH則負責處理控制及資料處理，駭客可利用Command Injection或是False Data Injection造成衛星出現異常；至於TT&C則是天線追蹤及控制，當地面站與衛星間的上下行鏈路沒有良好的加密保護，可能遭駭客竊聽或干擾。</p> <p>在競賽中，Space Math多由主辦單位提供兩行TLE資料，參賽者可以根據兩行資料的格式，從中得到衛星名稱、編號、設計者、發射時間等等資訊，搭配特殊的工具軟體輸入TLE數據，得以預測衛星的軌道位置。</p> <p>Space Packet主要和衛星通訊有關，Sol Yang指出，和工控安全的攻擊手法類似，包括竄改資料及控制命令，發動DoS攻擊，如果通訊內容沒有妥善的加密保護，可能遭駭客竊聽。</p> <p>Sol Yang介紹衛星安全競賽主辦方提出的防禦機制，他認為現今衛星通訊所面臨的資安威脅和IT、OT相似，像是因為端點防護不足，需要加解密保護資料傳輸，衍生出Key的管理議題，包括如何產生及分發。另外，為偵測衛星是否被駭，需要掌握威脅情資及惡意程式分析。</p> <p>鑑於衛星安全更偏重在安全設計，目前國際上已有一些政府或相關組織提出衛星的安全標準，Sol Yang建議外界可以參考這些安全標準，例如美國政府頒布的SPD-5，以及NASA提出的太空資產保護標準，還有其他國際衛星航太組織所提出的各類衛星安全標準等等。</p> </div></div></div>
2025/4/29 17:14作者蘇文彬https://www.ithome.com.tw/news/168662
研究人員公布使用Linux io_uring躲避偵測的PoC Rootkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/armosec/curing/blob/main/README.md" target="_blank">資安廠商Armo研究人員公布一款針對Linux的Rootkit</a>，可利用提高效能的Linux專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享buffer來大幅減低因複製buffer產生的系統overhead，加速I/O執行。</p> <p><a href="https://www.armosec.io/blog/io_uring-rootkit-bypasses-linux-security/" target="_blank">但Armo研究人員卻發現</a>io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。</p> <p>研究人員因而設計了一個概念驗證rootkit，名為Curing，<a href="https://github.com/armosec/curing/blob/main/README.md" target="_blank">並公開給安全社群及企業</a>。</p> <p>廠商表示，兩年來已經有多項研究示範如何利用io_uring繞過偵測機制，但大部份資安廠商尚未解決這個問題。根據研究人員的測試，Microsoft Defender、雲端Runtime監控產品Falco都因基於系統呼叫而無法偵測到Curing，Kubernetes原生監測工具Tetragon則需定義好政策才會發現到該rootkit。</p> <p>基於io_uring的安全疑慮，<a href="https://en.wikipedia.org/wiki/Io_uring" target="_blank">Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援</a>，Docker也預設不支援io_uring。<a href="https://www.phoronix.com/news/Linux-6.6-sysctl-IO_uring" target="_blank">Linux 6.6也提供全系統關閉的方法</a>。</p> </div></div></div>
2025/4/29 12:23作者林妍溱https://www.ithome.com.tw/news/168650
【資安日報】4月28日，SAP、Commvault修補風險達到10分的重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾天有多則CVSS資安風險達到10分的消息引起關注，這些包括了SAP NetWeaver的任意檔案上傳漏洞CVE-2025-31324、老牌備份軟體Commvault集中管理工具漏洞CVE-2025-34028、<a href="https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432">內容管理平臺Craft CMS漏洞CVE-2025-32432</a>，以及日前公布的<a href="https://www.ithome.com.tw/news/168538">Erlang/OTP SSH程式庫漏洞CVE-2025-32433</a>，思科確認<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Multiple%20Cisco%20Products%20Unauthenticated%20Remote%20Code%20Execution%20in%20Erlang/OTP%20SSH%20Server%26vs_k=1">旗下部分產品受到影響</a>。 </p> <p>其中最值得留意的部分，是資安業者ReliaQuest在調查資安事故發現的CVE-2025-31324，因為已被用於實際攻擊行動；此外，CVE-2025-34028也相當值得留意，因為近期勒索軟體鎖定備份軟體漏洞的情況，也有增加的趨勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168624"><strong style="font-size: 22px;">攻擊者藉Ivanti SSL VPN零時差漏洞，植入DslogdRAT滲透日本組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dslogdrat02-800wri.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dslogdrat02-800wri.png" style="width: 300px; float: right;" /></a></p> <p>日本電腦緊急應變團隊暨協調中心（JPCERT/CC）近期通報指出，有攻擊者利用Ivanti Connect Secure裝置上已被發現的零時差漏洞CVE-2025-0282，對多家日本組織發動攻擊，成功植入DslogdRAT木馬程式與簡易Web Shell，持續控制受害者系統並展開後續滲透行動。這波攻擊主要發生於2024年12月前後，JPCERT/CC提醒企業加強防護，並持續監控Ivanti產品的異常行為。</p> <p>根據研究人員的分析，攻擊者首先在受害裝置上部署以Perl撰寫的Web Shell，該腳本在CGI環境運作，能讀取HTTP請求的Cookie標頭資訊，並驗證是否包含特定值。當驗證成功，Web Shell即可接收並執行攻擊者透過參數傳入的任意指令。由於Web Shell功能單純，研究人員推測攻擊者主要藉此建立遠端命令執行入口，以便下載及啟動DslogdRAT等後續惡意程式。</p> <p>附帶一提，研究人員也在同一受害系統上，發現名為SPAWNSNARE的惡意程式。SPAWNSNARE曾被CISA與Google揭露，不過，目前尚無法確認此次DslogdRAT攻擊行動，是否與先前操控SPAWN系列惡意程式的攻擊組織UNC5221直接相關。</p> <p><a href="https://www.ithome.com.tw/news/168626"><strong style="font-size: 22px;">安卓惡意軟體埋藏於地圖App，鎖定俄羅斯軍隊而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Android_Spy_1292_origin_telegram_group.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Android_Spy_1292_origin_telegram_group.png" style="width: 300px; float: right;" /></a></p> <p>俄羅斯資安業者Doctor Web發現，安卓地圖軟體Alpine Quest被植入木馬及間諜程式，可用來竊取受害者的地理位置與通訊錄，還能蒐集裝置上所存放的檔案資料，或是下載其他惡意程式，而且這波攻擊鎖定的對象是俄羅斯的前線戰士。Doctor Web說，Alpine Quest受到許多運動員、旅行者及獵人的喜愛，同時它也被俄羅斯軍人廣泛地在俄烏戰區使用，而這正是駭客的目標。</p> <p>駭客是在舊版的Alpine Quest軟體，嵌入Android.Spy.1292.origin間諜程式，然後建立假冒為Alpine Quest的Telegram頻道，宣稱要免費提供付費版產品，並將使用者導向俄羅斯的應用程式商店以進行下載。</p> <p>此惡意程式具備完整的Alpine Quest功能，使得它能夠蟄伏更久，每次啟用時，它就會蒐集裝置上的號碼、通訊錄、日期、位置及裝置上存放的檔案資訊等，並將它們上傳到駭客所控制的伺服器。</p> <p><a href="https://www.ithome.com.tw/news/168622"><strong style="font-size: 22px;">中國駭客組織IronHusky更新MysterySnail RAT，滲透蒙古與俄羅斯政府</strong></a></p> <p>資安廠商卡巴斯基發現，中國駭客組織IronHusky近期使用2021年曾曝光的後門程式MysterySnail RAT，針對蒙古與俄羅斯政府單位發動新一波網路攻擊。研究人員指出，攻擊者透過偽裝成蒙古政府公文的惡意MMC腳本，引導受害者下載並執行惡意載荷，進一步利用側載技術在系統部署中繼後門，以及更新版MysterySnail RAT。</p> <p>該攻擊活動涉及下載含有合法可執行檔CiscoCollabHost.exe、惡意程式庫CiscoSparkLauncher.dll的壓縮檔案，藉由合法程序載入惡意DLL，並以開源專案piping-server作為C2通訊中繼。為提升抵抗分析能力，後門通訊指令藏於外部加密檔案log\MYFC.log中，在執行時才解密讀取。</p> <p>研究人員進一步分析發現，中繼後門可下載並執行第二階段惡意程式，其中包含具備完整指令集的MysterySnail RAT。該RAT透過DLL挖空（Hollowing）技術，將加密於attach.dat的惡意酬載反射式載入（Reflective Loading），並以系統服務方式建立持久性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/">勒索軟體DragonForce東山再起，提供打手租用牟利</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/toymakers-playbook-cisco-talos-exposes-iab-tactics-leading-to-cactus-ransomware/">初始入侵管道掮客ToyMaker部署後門程式Lagtoy，為勒索軟體Cactus鋪路</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168625"><strong style="font-size: 22px;">SAP緊急修補允許非法上傳檔案的Netweaver安全漏洞，傳出已遭利用</strong></a></p> <p></p> <p>以開發企業資源管理（ERP）軟體聞名的德國廠商SAP，於4月24日緊急修補了CVSS風險評分高達10分的安全漏洞CVE-2025-31324，它允許駭客未經授權上傳並執行惡意程式，而且已經遭到駭客利用。該漏洞存在於SAP的應用程式伺服器SAP NetWeaver上。</p> <p>這項漏洞發現的緣由，是美國資安業者ReliaQuest在今年4月調查多起與SAP NetWeaver有關的安全事件，這些事故皆涉及未經授權的文件上傳及惡意檔案執行，同時發現駭客已經將許多JSP Web Shell上傳到可公開存取的目錄中。原本ReliaQuest團隊以為這是遠端檔案包含（Remote File Inclusion，RFI）漏洞作祟，但之後SAP卻證實它是個更嚴重的無限制檔案上傳漏洞，允許未經授權的駭客直接上傳任意檔案至受害系統。</p> <p>ReliaQuest在4月22日通報此事，隨後得到SAP確認，並發布緊急更新修補。</p> <p><a href="https://www.ithome.com.tw/news/168623"><strong style="font-size: 22px;">Commvault修補備份管理平臺，緩解遠端執行程式碼重大漏洞</strong></a></p> <p>當前最老牌備份軟體領導廠商、同時也是備份市場領導者之一的Commvault，於4月17日揭露影響旗下Command Center備份集中管理平臺的1項重大漏洞，並釋出修補。</p> <p>這項漏洞CVE-2025-34028是嚴重性達10分（原為9.0分，25日上修為10分）的重大漏洞，最初是由資安研究機構watchTowr研究人員Sonny Macdonald，於4月7日發現與通報，存在於Commvault用於備份環境集中管理的工具Command Center，可能導致未經身分驗證的遠端攻擊者執行任意程式碼，進而造成Command Center管理環境徹底受損。</p> <p>Commvault表示，這個漏洞只會影響其備份軟體11.38.0到11.38.19版的Innovation Release版本，而解決這個漏洞的方法，是升級到4月10日發布的11.38.20或11.38.25版。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/linux-io-uring-security-blindspot-allows-stealthy-rootkit-attacks/">Linux核心介面io_uring存在弱點，恐讓Rootkit在繞過資安系統偵測的情況下活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/craft-cms-rce-exploit-chain-used-in-zero-day-attacks-to-steal-data/">內容管理系統Craft CMS存在零時差漏洞，已有駭客用來從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/cisco-confirms-some-products-impacted-by-critical-erlang-otp-flaw/">思科確認部分產品受到10分Erlang/OTP重大漏洞影響</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168608"><strong>【4月25日】導致藍色當機畫面的RDP漏洞BlueKeep，再次出現利用活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168589"><strong>【4月24日】CISA傳出將停止使用Censys及VirusTotal</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168567"><strong>【4月23日】殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊</strong></a></p> </div></div></div>
2025/4/28 16:03作者周峻佑https://www.ithome.com.tw/news/168639
【資安週報】0421~0425，駭客組織NightSpire橫行全球，臺灣傳長慎醫院、倍力資訊遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年4月第四星期的資安新聞焦點，臺灣再傳4起資安事故，涵蓋醫院、資訊服務業、半導體製成設備商、航運業。</p> <p>其中長慎醫院事故已是國內今年第4家遭攻擊的醫院，突顯醫療業持續成鎖定對象；上櫃公司倍力資訊的事故也令人憂心，因為該業者是資訊軟體整合服務商，通常服務眾多客戶，事件影響是否擴大需持續留意。</p> <p>值得注意的是，這兩起事故的攻擊者身分很可能是駭客組織NightSpire所為。該組織4月中宣稱的受害者，就包含上述兩家臺灣企業組織，其他還有日本Nippon Ceramic，加拿大Promenade Village Dental、印尼Pupuk indonesia，以及法國Ardon地方政府單位等，顯示近期其攻擊行動相當活躍。</p> <p>●萬海航運18日發布重訊，指出資訊網站遭受網路駭客攻擊。<br /> ●桃園中壢長慎醫院事故消息在20日曝光於媒體，後續衛福部證實已接獲事故通報，該院21日發布資安事件聲明，說明醫療資訊系統異常發生於14日。<br /> ●萬潤科技20日發布重訊，揭露資訊系統與部份主機與電腦，遭受病毒攻擊。<br /> ●倍力資訊23日發布重訊，說明資訊系統遭受駭客網路攻擊。</p> <p>還有一起攻擊活動值得國內留意，Fortinet揭露名為RustoBot的殭屍網路，指出攻擊行動鎖定Totolink及居易特定型號的路由器，攻擊目標遍及臺灣、日本、越南、墨西哥。</p> <p>國際也有重大資安事件，日本知名Web郵件系統Active! Mail遭鎖定，影響大量當地企業與教育單位，引發當地多家主機商緊急中止服務，開發商亦公告修補漏洞CVE-2025-42599。這起事件再次突顯駭客的零時差漏洞攻擊目標，不只國際大廠，本土業者產品同樣需要當心。</p> <p>另一起攻擊是鎖定韓國軟體、能源、金融產業而來，已查出攻擊者為北韓駭客，特別的是，其攻擊手段是透過6年前引發藍色當機畫面的BlueKeep漏洞。</p> <p>在威脅態勢方面，金融領域要特別留意，有兩起重大消息，展現網路攻擊者滲透電商與金融詐騙的新手段。一是惡意NPM套件merchant-advcash被揭露，其表面聲稱支援金流整合，實際上在付款成功時觸發反向Shell，滲透電商交易伺服器；另一是SuperCard X安卓惡意軟體的揭露，其手段是能利用NFC中繼技術，偽造實體信用卡對POS或ATM系統進行詐騙交易，繞過實體卡驗證流程，並指出這可能是將NGate惡意軟體再包裝，功能更強。</p> <p>這一星期還有多起攻擊新手法揭露的新聞，值得資安防禦人員留意，我們列出下列4起消息。<br /> ●Fortinet調查漏洞攻擊事件時發現駭客採用新技術，透過符號連結（Symbolic Link）功能，可產生後門問題，建立可存取FortiGate防火牆根檔案的能力。<br /> ●Zscaler揭露中國駭客Mustang Panda針對緬甸的攻擊行動，發現其後門程式ToneShell，並指出其調整了C2連線的FakeTLS協定與用戶端識別編號建立方式。<br /> ●出現繞過雲端平臺MFA驗證的Cookie-Bite攻擊手段，研究人員指出這是駭客利用自製Chrome瀏覽器擴充程式及自動化指令，進而竊取用戶Cookies。<br /> ●攻擊者鎖定使用node-telegram-bot-api函式庫的社群，推出三個偽冒套件誘導誤用，在Linux系統中植入SSH後門，並提醒因應上不能只是單純移除套件。</p> <p>在漏洞消息方面，有3項需優先重視。首先，深度學習框架PyTorch修補重大漏洞（CVE-2025-32434），由於PyTorch廣受產業及學術界採用，需儘速更新修補。</p> <p>還有兩個漏洞被評為CVSS滿分，分別是有大學研究人員發現Erlang/OTP SSH函式庫漏洞（CVE-2025-32433），以及Commvault修補的備份管理平臺漏洞（CVE-2025-34028）。</p> <p>另一項涉及Windows工作排程服務核心元件的揭露也是本星期焦點新聞之一，有研究人員發現可濫用schtasks.exe的方法，指出其研究突顯了一種從CLI模擬任何使用者及其密碼的方法，能導致UAC繞過。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168530"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動</span></strong></a></h3> <p>微軟每個月例行更新（Patch Tuesday）修補的資安漏洞，少則40、50個，多的時候往往會超過100個，也因此大家通常會優先注意已遭到利用的零時差漏洞，以及危險程度較高的弱點，但被認定較不可能被利用的漏洞，若不處理，有可能成為駭客攻擊的目標。</p> <p>最近資安業者Check Point公布針對NTLM雜湊值洩露漏洞CVE-2025-24054的攻擊行動，就是這種例子，他們在一週內看到超過10起攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/168545"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月22日】中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊</span></strong></a></h3> <p>繼勒索軟體駭客組織CrazyHunter攻擊馬偕和彰基，有駭客組織也加入行列，對臺灣中大型醫院發動攻擊，而引起全臺高度關注。</p> <p>根據國內多家媒體報導，駭客組織NightSpire攻擊中壢長慎醫院，並聲稱竊得大量病歷資料，由於長慎醫院是老年專科醫院，專門照顧洗腎、糖尿病等慢性病患者，一旦資料外流，不光是病人隱私曝光，還有可能影響連續就醫的記錄，干擾醫生的診斷。</p> <p><a href="https://www.ithome.com.tw/news/168567"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月23日】殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊</span></strong></a></p> <p>最近3至4年，資安界疾呼開發人員軟體開發安全議題，其中一項做法應透過記憶體安全程式語言進行開發，Rust是最受到推薦的程式語言之一，但現在駭客也將其用來開發惡意軟體。</p> <p>本週資安業者Fortinet揭露的殭屍網路RustoBot，就是典型的例子。值得留意的是，此殭屍網路的攻擊範圍，涵蓋臺灣在內的4個國家，且鎖定市面上常見的兩家路由器下手，後續態勢相當值得我們留意。</p> <h3><a href="https://www.ithome.com.tw/news/168589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月24日】CISA傳出將停止使用Censys及VirusTotal</span></strong></a></h3> <p>美國政府大幅縮減行政預算的情況，其中網路安全暨基礎設施安全局（CISA）也受到影響，先是一度傳出廣泛受到全球資安界運用的「常見漏洞披露（CVE）」資料庫，他們將暫停委託MITRE維護，如今又有新的消息傳出。</p> <p>本週傳出CISA將停止採用部分資安工具，當中包含Censys威脅情報服務，以及惡意軟體分析平臺VirusTotal，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/168608"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月25日】導致藍色當機畫面的RDP漏洞BlueKeep，再次出現利用活動</span></strong></a></h3> <p>北韓駭客<a href="https://www.ithome.com.tw/tags/kimsuky">Kimsuky</a>今年動作頻頻，這些駭客不僅<a href="https://www.ithome.com.tw/news/167944">利用LNK捷徑檔對零時差漏洞下手</a>，也透過<a href="https://www.ithome.com.tw/news/167387">PowerShell指令碼於韓國散布惡意軟體</a>，近期又有新的事故傳出。</p> <p>本週資安業者AhnLab揭露該組織最新一波攻擊行動Larva-24005，值得留意的是，駭客利用的漏洞已公布6年之久，但他們仍能成功用於實際攻擊，突顯受害組織可能尚未完全修補這項弱點。</p> <p> </p> </div></div></div>
2025/4/28 10:10作者羅正漢https://www.ithome.com.tw/news/168630
【資安日報】4月25日，導致藍色當機畫面的RDP漏洞BlueKeep，再次出現利用活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客<a href="https://www.ithome.com.tw/tags/kimsuky">Kimsuky</a>今年動作頻頻，這些駭客不僅<a href="https://www.ithome.com.tw/news/167944">利用LNK捷徑檔對零時差漏洞下手</a>，也透過<a href="https://www.ithome.com.tw/news/167387">PowerShell指令碼於韓國散布惡意軟體</a>，近期又有新的事故傳出。</p> <p>本週資安業者AhnLab揭露該組織最新一波攻擊行動Larva-24005，值得留意的是，駭客利用的漏洞已公布6年之久，但他們仍能成功用於實際攻擊，突顯受害組織可能尚未完全修補這項弱點。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168556"><strong style="font-size: 22px;">導致藍色當機畫面的RDP漏洞再次出現利用活動，Kimsuky用於攻擊韓國軟體、能源、金融產業</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OYcN6tfHmCc3ae42ZydGDmNmbRuQU6qS6Rmhp47r.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OYcN6tfHmCc3ae42ZydGDmNmbRuQU6qS6Rmhp47r.png" style="width: 300px; float: right;" /></a></p> <p>曾在6年前引發大規模攻擊的漏洞BlueKeep（CVE-2019-0708，CVSS風險為9.8分），當時駭客引發全球各地藍色當機畫面（BSOD）災情，如今傳出一年半前又有人使用這項漏洞從事攻擊行動，直到最近才被公開。</p> <p>資安業者AhnLab揭露北韓駭客發起的攻擊行動Larva-24005，被稱做Kimsuky、APT43、Emerald Sleet、TA427、Velvet Chollima的駭客組織，透過遠端桌面連線（RDP）軟體的資安弱點BlueKeep滲透受害組織，得逞後部署惡意軟體MySpy、RDPWrap，建立能夠持續存取的管道。這些駭客也側錄受害者鍵盤輸入的內容，來進行後續的監控。</p> <p>這波攻擊主要針對韓國的軟體、能源、金融產業而來，駭客自2023年10月開始，對韓國及日本寄送釣魚信來接觸受害者。AhnLab根據駭客的基礎設施進行分析，攻擊行動很可能從2023年9月就已經進行，而且，駭客攻擊的範圍相當廣，不光是韓國及日本，還包括了美國、中國、德國、新加坡、南非、荷蘭、墨西哥、越南、比利時、英國、加拿大、泰國、波蘭。</p> <p><a href="https://www.ithome.com.tw/news/168546"><strong style="font-size: 22px;">惡意NPM套件偽裝Telegram函式庫，植入SSH後門攻擊Linux開發者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/8411beaa9b3ae4fe3360bf4c34b934b3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/8411beaa9b3ae4fe3360bf4c34b934b3.jpg" style="width: 300px; float: right;" /></a></p> <p>資安公司Socket揭露針對Telegram機器人開發者的供應鏈攻擊事件，攻擊者透過在NPM平臺發布與熱門函式庫名稱相近的惡意套件，誘導開發者誤用，進而在Linux系統中植入具持久性存取能力的SSH後門，並將系統資訊回傳至攻擊者伺服器。</p> <p>攻擊者鎖定使用node-telegram-bot-api函式庫進行開發的社群，推出三個偽冒套件，名稱分別為 node-telegram-utils、node-telegram-bots-api與node-telegram-util。這些惡意套件複製原函式庫的說明文件與GitHub頁面連結，甚至以Starjacking手法借用原專案超過19,000星數背書，在NPM頁面側欄混淆視聽，讓開發者在瀏覽與安裝時難以察覺異常。</p> <p>根據研究人員的分析，該後門程式碼共約40行，嵌入於正常函式庫的架構，具高度隱蔽性。開發者在匯入套件時，如果沒有進行程式碼審查或相依性檢測，就可能忽略隱藏的惡意邏輯。更嚴重的是，單純移除套件並不會清除被植入的SSH金鑰，系統仍存在風險。</p> <p><a href="https://www.ithome.com.tw/news/168580"><strong style="font-size: 22px;">研究人員揭露以惡意瀏覽器擴充程式，繞過雲端平臺MFA驗證的Cookie-Bite手法</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog_VTL-CookieBite_Diagram2_202.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog_VTL-CookieBite_Diagram2_202.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Varonis揭露新攻擊手法，透過竊取cookies繞過多因素驗證（MFA）而能駭入企業Microsoft 365存取檔案、信件。Varonis威脅實驗室研究人員設計出名為Cookie-Bite的手法，利用自製Chrome瀏覽器擴充程式及自動化指令竊取用戶Cookies，且能重複使用來冒充合法使用者，無需密碼，還能多次存取雲端服務。</p> <p>研究人員表示，除了Azure外，只要知道該用什麼憑證，同樣的手法也可用來攻擊Google Cloud、AWS、GitHub、Okta等雲端平臺。</p> <p>要防止Cookie-Bite攻擊，企業管理員應監控任何異常登入，最好能設定條件式存取政策（conditional access policies，CAP）以限制特定IP和裝置登入雲端。此外，應限制PowerShell script，改用Python或VBScript。Chrome擴充程式管理方面，管理員最好也能執行Chrome ADMX政策，只允許事前許可的擴充程式執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/lazarus-hackers-breach-six-companies-in-watering-hole-attacks/">北韓駭客Lazarus針對6家韓國公司發動水坑式攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/russian-ip-networks-fuel-north-koreas-global-cybercrime-and-espionage-campaigns/">北韓駭客利用俄羅斯基礎設施隱匿行蹤，藉此在歐美國家應徵遠距工作犯案</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/backdoor-found-in-official-xrp-ledger-npm-package/">NPM套件XRP Ledger遭遇供應鏈攻擊，被植入後門程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-abuse-oauth-20-workflows-to-hijack-microsoft-365-accounts/">OAuth身分驗證流程遭到濫用，俄羅斯駭客用於挾持M365帳號</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168584"><strong style="font-size: 22px;">群暉公布影響NAS機密性的資安漏洞細節</strong></a></p> <p>本週群暉針對今年2月發布資安公告Synology-SA-25:03 DSM說明進一步細節，這則公告的內容主要是針對NAS作業系統DiskStation Manager（DSM）揭露資安漏洞CVE-2025-1021，此漏洞由資安業者戴夫寇爾（Devcore）通報，影響7.2.2、7.2.1、7.1版DSM，他們發布7.2.2-72806-3、7.2.1-69057-7、7.1.1-42962-8版DSM予以修補。</p> <p>群暉指出這項漏洞存在於名為synocopy的元件，起因是缺乏授權，一旦攻擊者成功利用，就有機會透過可寫入（Writable）的網路檔案系統（Network File System，NFS）服務，讀取任意檔案，CVSS風險為7.5分。由於群暉強調，這項漏洞能讓攻擊者以不特定的方法，遠端存取NAS的任何檔案，這代表攻擊者很有可能藉此竊取使用者的資料，或是NAS存放的企業內部檔案，甚至是帳密資料與NAS的系統配置，這項弱點帶來的影響，有可能相當深遠。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/max-severity-commvault-bug-researchers">資料備份與管理平臺Commvault存在滿分重大漏洞，可被用於發動RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168554"><strong style="font-size: 22px;">Google宣布將保留Chrome中的第三方Cookie</strong></a></p> <p>自於去年7月宣布要放棄於Chrome中封鎖第三方Cookie的計畫之後，Google於4月22日再度向外界確認，Chrome將維持目前處理Cookie的方式，也不會在使用者遭遇第三方Cookie時跳出提示。</p> <p>儘管Cookie有違使用者隱私，但仰賴廣告收入的Chrome並不想貿然停用Cookie，於是在2019年提出了隱私沙箱（Privacy Sandbox），以更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告，並計畫以隱私沙箱全面取代Cookie。但此舉惹來許多監管機構、開發人員及隱私團體的質疑。</p> <p>於是，Google決定將保護用戶隱私的力氣，花在Chrome的無痕模式（Incognito Mode），該模式原本的預設值就封鎖了Cookie，且Google更計畫在今年第三季針對該模式推出IP保護機制。</p> <p><a href="https://www.ithome.com.tw/news/168555"><strong style="font-size: 22px;">【臺灣資安大會直擊】備份廠商群起聚焦「備份乾淨度」，固守勒索軟體防護的最後屏障</strong></a></p> <p>備份平臺的勒索軟體防護能力發展，正邁向新的階段，從前幾年強調的隔離與備份複本不被惡意刪改，進化到確保備份內容不受惡意軟體感染。</p> <p>我們在3、4年前的臺灣資安大會中，便見到Dell介紹其CyberRecovery資料避風港解決方案中，為備份複本提供的自動威脅偵測與分析功能，藉此確保備份複本內容的乾淨，從而可用於還原。</p> <p>到了今年的臺灣資安大會，我們見到其他參展的備份解決方案廠商，如Druva與Nakivo，也各自在其產品中結合了惡意軟體掃描功能，以保證備份複本的可用性，這樣的發展趨勢，也讓針對備份複本的偵測與掃描，儼然成為當前備份平臺的必備能力。而作為這個領域領跑者的Dell，今年則提出「備份乾淨度」的概念，並介紹他們在備份複本偵測技術方面的新發展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168589"><strong>【4月24日】CISA傳出將停止使用Censys及VirusTotal</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168567"><strong>【4月23日】殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168545"><strong>【4月22日】中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊</strong></a></p> </div></div></div>
2025/4/25 12:26作者周峻佑https://www.ithome.com.tw/news/168608
DevOps快報第3期：連設計工具Canva都推出AI開發，Docker將推MCP目錄服務，要打造安全易用的MCP生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/3/27～4/25 精選DevOps與開發新聞：</strong></p> <p><strong><span style="color:#0000FF;">#AI開發 #免程式碼工具</span><br /> 知名線上設計工具Canva也推AI開發工具，設計超好看的網頁不用寫程式碼</strong></p> <p>最近知名設計工具服務Canva發表了一款AI輔助程式開發工具Canva Code，可以依據使用文字提示指令或語音與AI對話，自動生成美觀畫面的程式碼，也提供了預覽面板功能，讓開發者可以進一步下達提示指令，一邊預覽一邊修改畫面，讓程式開發就像是設計互動式簡報內容般的簡單。目前Canva Code生成內容，無法直接編輯程式碼，只能下指令要求AI調整，但在設計完成發布後，就可以進一步手動修改、加入自己的程式碼。生成的網頁設計和程式碼可用於個人或商業使用。Canva免費和付費用戶都可使用。<br /> Canva Code就像是一款NoCode開發工具，開發者不用撰寫任何一行程式碼，就能設計初美觀好看的網頁。這款程式碼生成工具也會整合到原本的設計工具中，用AI生成程式碼的每一個元件，都可以整合到原本的Canva設計，可用於簡報、文件或是社群平臺發表格式或網頁，也能支援響應式網頁，支援桌面、行動和平臺環境的瀏覽環境。在Canva Code中也提供了多層保護機制，來確保AI生成的內容合宜和安全。</p> <p><strong><span style="color:#0000FF;">#Docker #地端模型開發</span><br /> 瞄準GAI地端開發測試需求，Docker桌面版新增AI模型執行工具</strong></p> <p>Docker桌面版在4月初釋出了4.40新版，最大特色是新增加了可以在本地端執行AI模型的Docker Model Runner外掛Beta版，目前先支援MacOS環境，未來將支援Windows環境。開發者可以在命令列執行一個AI模型，也能用來管理本地端的AI模型，還提供了互動式模式，可對所執行的AI模型下提示指令來互動。</p> <p>Docker希望提供更快更簡單的方式，讓開發者在本地端執行和測試AI模型。這個新外掛用llama.cpp提供了一個內建的推論引擎，可以用類似OpenAI API的方式來呼叫。開發者也可以呼叫蘋果晶片上的GPU加速器來執行推論引擎。Docker Model Runner會將模型打包成開放標準OCI Artifacts模型封裝格式，讓開發者透過原本管理容器的註冊表和工作流程，來派送或管控模型的版本。未來將可以整合到開發者自己的CI/CD流程，推送自製模型。</p> <p>Docker也和Google和HuggingFace平臺合作，讓開發者透過標準Docker命令列來存取這兩大平臺提供的本地部署模型。另外也和Dagger、Continue、Spring AI 和 VMware Tanzu等應用工具商合作，來確保用Model Runner打造的應用可以整合到既有開發流程和工具中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DockerRunModel.png" /></p> <p><strong><span style="color:#0000FF;">#MCP #目錄服務 #工具包</span><br /> 要讓MCP像容器一樣安全易用，Docker預告5月推出MCP目錄和工具包</strong></p> <p>最近Docker公司新任營運長Mark Cavage近日宣布，5月將推出MCP目錄和MCP工具包。他指出，MCP協定實際已成為AI代理串接各種工具的標準，可提供一套標準，來簡化複雜分散的代理運作方式，但是，他觀察，MCP還有四個不足，還沒達到正式生產環境可用的程度。</p> <p>第一個不足是，開發者需要一個值得信賴的集中式中心來發現工具，提供主要派送管道來源，第二項是應該預設容器化，降低相依性管理和複製封裝的阻力，第三是需要一套憑證管理機制，才能整合到現代化的開發流程，最後一點是要有一套資安基礎才能信任，像是建立沙盒，可稽核，可控管權限等。</p> <p>針對這四個不足，Docker預告將在五月推出Docker MCP目錄服務，可以提供一個可信的MCP工具發現來源，也能整合到Docker Hub。Docker和多家企業合作，像是支付業者Stripe、搜尋引擎Elastic、IoC平臺工具商Heroku和Pulumi、可觀測平臺Grafana Labs、API管理工具Kong、視覺化工具商Neo4j、可觀察性服務商New Relic、AI開發助手Continue.dev聯合，來打造一個安全且開放的MCP生態平臺，提供一套經過來源驗證的MCP工具包，將提供超過1百款工具，都會具有發布者驗證和版本發布管理功能。這些MCP工具將透過Docker目前所用的容器拉取下載架構來發布，也就是說，開發者可以用原本拉取Docker映像檔的方式，來取得經過官方驗證的MCP工具。 </p> <p><strong><span style="color:#0000FF;">#MCP #代理型AI開發</span><br /> OpenAI宣布支持MCP，掀起代理型AI應用整合新浪潮</strong></p> <p>隨著3月底，隨著OpenAI執行長Sam Altman宣布將支援Anthropic的代理AI溝通框架MCP後，讓MCP框架成了跨主流模型支援的AI開發框架。這也帶動了新一波代理型AI應用的開發浪潮。OpenAI的Agents SDK，可以使用各種MCP伺服器程式，提供工具給LLM模型呼叫之用。Agents SDK也支援快取功能，可以自動將MCP伺服器提供的一系列工具建立快取，來縮短下一次使用的延遲時間。另外，Agents SDK還內建追蹤機制，可以自動記錄MCP伺服器的每一個操作，包括了每一次呼叫MCP伺服器的呼叫行為，或是與MCP相關的函式呼叫資訊，都會來下紀錄，以供後續的稽核之用。</p> <p><strong><span style="color:#0000FF;">#蘋果 #Swift版本管理</span><br /> 蘋果正式推出Swift版本管理工具Swiftly 1.0，不用XCode也能建立開發環境</strong></p> <p>Swiftly 1.0是第一個由蘋果官方支援的Swift版本管理工具，可支援macOS與多種Linux發行版，可以讓開發者能以簡單的命令在本機安裝多版本Swift，並以.swift-version設定檔統一團隊開發使用的版本，減少版本不一致產生的錯誤與部署問題。可透過指令自動更新，並支援切換不同版本的工具鏈，包括穩定版本、歷史版本與Nightly Snapshot版本，開發者無需依賴Xcode即可取得最新Swift版本，特別適用於獨立開發與測試應用場景。Swift團隊指出，Swiftly未來將成為非Xcode環境安裝Swift的標準方式，目前支援的Linux發行版包括Ubuntu、Debian、Fedora、RHEL與Amazon Linux。</p> <p><strong><span style="color:#0000FF;">#安全左移 #行動開發</span><br /> Android Studio加強安全左移措施，撰寫程式碼同時自動合規檢查</strong></p> <p>Google針對Android與Google Play生態系統推出多項強化措施，涵蓋開發工具、API更新與政策支援，藉由更新平臺安全機制，逐步推進安全設計前移，並簡化政策法遵的落實流程。Android Studio也開始導入與政策法遵相關的即時通知機制，當開發者在編寫程式碼階段違反特定規定時，系統將即時提醒，讓修正作業能前移至更早期的開發階段。而Play Console中擴充預先檢查功能，新增對隱私權政策連結與登入憑證要求的檢查項目，接下來一年將持續擴大適用範圍，要讓開發者在提交應用程式之前就先發現潛在問題。另外，開發者用Play Integrity API每日進行超過5億次風險檢查，減少了8成的未授權使用，未來將增強隱私保護設計。</p> <p><strong><span style="color:#0000FF;">#AI除錯 #AI代理開發</span><br /> 開發除錯有新幫手，微軟公布抓蟲AI工具</strong></p> <p>微軟近日公布一款可以幫開發人員除錯（debug）的AI工具Debug-gym，這是一個輕量代理人開發環境，可以讓企業開發除錯LLM代理人，這樣的代理AI可以用互動式除錯工具，如預設的python debugger（pdb），以積極尋找進一步除錯資訊。透過工具獲得的回饋，Debug-gym擴展代理人的行為和觀察面，使之設定斷點、導覽程式碼、列印變項值，或建立測試函式，甚至改寫程式碼。程式代理人研究、生成新的除錯建議，最後交由人類判斷及核准。在交付之前，這些除錯方法可在相關codebase、程式執行和文件脈絡下進行grounding，而不只是依據訓練資料憑空設想的方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%99%A4%E9%8C%AF-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" /></p> <p><strong><span style="color:#0000FF;">#AI代理開發 #MCP #A2A</span><br /> 微軟AI代理開發框架Semantic Kernel兩頭押寶，雙雙支援MCP和A2A協定</strong></p> <p>微軟開源人工智慧代理開發框架Semantic Kernel，現已支援來自Anthropic與Google的兩項開放協定，分別是MCP（Model Context Protocol）與A2A（Agent‑to‑Agent），進一步強化跨代理上下文共用、工具協作與跨雲環境的互通能力。透過這兩項協定的整合，開發者不僅能在本地與遠端串接多個語言模型、工具與代理，也能實現跨平臺、跨生態的模組化任務委派與功能組合，進一步簡化多代理系統的建構流程。</p> <p>Semantic Kernel對MCP支援相對完整，涵蓋客戶端與伺服器角色的能力，但對Google剛發表的A2A協定，則只完成了初步整合，微軟提供的整合範例中，建置了一個旅遊代理，能根據任務類型動態路由至匯率查詢代理，或行程規畫代理，並透過A2A的Agent Card機制進行自動探索與任務派送。微軟也預告將持續擴充整合腳本，包含Azure AI Foundry與Semantic Kernel的整合範例，供開發者參考建構彈性多雲環境人工智慧代理應用。</p> <p><strong><span style="color:#0000FF;">#MCP #GitHub #VSCode</span><br /> GitHub也加入MCP生態圈，開發套件支援MCP還釋出自家MCP伺服器</strong></p> <p>最近GitHub Copilot正式推出AI代理模式（Agent Mode），可以自動迭代修改程式碼與修正錯誤，也開始能支援MCP，使AI能在存取外部系統及工具時，具備更多開發專案的情境知識。不只如此，GitHub還開源釋出了MCP伺服器程式碼，開發者能將MCP伺服器部署於自家環境，來存取GitHub上資源，打造AI代理工作流程。他們還宣布正式推出Copilot code review AI代理，以及讓開發者可以不斷按Tab來自動完成程式碼的Next edit suggestions功能。</p> <p><strong><span style="color:#0000FF;">#C++開發 #AI開發輔助 #地端LLM</span><br /> 老牌C++框架Qt升級AI開發助理，開始能支援本地LLM模型</strong></p> <p>知名C++開發框架維護公司Qt釋出Qt人工智慧助理0.9版本，正式支援本地部署大型語言模型，支援本地執行的兩款開源大型語言模型，分別是CodeLlama‑7B‑QML與DeepSeekCoder v2 Lite，開發者可透過Ollama架構在個人電腦上執行推論，無須仰賴雲端API，即可在本地進行程式碼完成（Code Completion）。另外也推出多項針對QML與C-->開發者的功能強化，包括即時文字串流顯示、Google Test測試碼自動產生與程式碼行內註解，進一步提升互動體驗與程式碼可維護性。新版助理需搭配Qt Creator 16.0.1使用，現已開放下載與更新。</p> <p><strong><span style="color:#0000FF;">#架站工具 #AI輔助開發</span><br /> WordPress.com發表AI工具，聊天機器人幾分鐘就能幫你架好網站</strong></p> <p>瞄準中小企業和自由創作者需求，網站代管平臺WordPress.com推出AI架站工具AI Website Builder，使用者在幾分鐘內就能建置一個新網站，完全不需要樣版，不需要撰寫程式碼，只要對聊天機器人聊，盡可能地詳述所需的網站，例如需要的是作品集網站、部落格或是商業網站，也能加進網站名稱，或是描述想要的風格，例如有趣、友善、簡約、優雅或任何的形容，並描述準備於網站發布的內容類型。<br /> AI會反問更多細節才開始建置，過程中會提供版面、顏色與字體的選擇，完成網站雛型，後續還能要求AI客製此網站的樣貌。目前購買WordPress.com代管服務的使用者，可輸入無限量的提示來客製化網站。</p> <p><strong><span style="color:#0000FF;">#程式碼開發代理 #OpenAI #本地開發</span><br /> OpenAI釋出命令列的程式碼代理工具Codex CLI，可存取本地端檔案來推理</strong></p> <p>隨著OpenAI o3與o4-mini推理模型的發表，OpenAI也開源了程式碼代理工具Codex CLI，這是個可安裝在開發人員電腦上的命令列介面（Command-line Interface，CLI），未來也可支援GPT‑4.1⁠等其它模型。開發人員能夠在自己的電腦上以自然語言與AI模型互動，以修改、執行或生成程式碼，所有的檔案讀寫及命令執行都在本地完成，僅將提示、脈絡與選用的差異摘要發送至模型進行生成，採用Apache-2.0開源授權。不過，因為它連結的是付費的OpenAI模型，因此設定時需要具備一個付費的OpenAI API帳戶。</p> <p><strong><span style="color:#0000FF;">#Ruby開發 #Java</span><br /> JRuby十年大改版，第10版跳版支援到最新的Ruby 3.4</strong></p> <p>JRuby是一個以Java實作的Ruby執行環境，讓Ruby應用能進入企業級部署場景。第10版最重要的升級是將Ruby相容性從3.1版直接跨越到3.4版，不僅完整導入了Ruby 3.2、3.3與3.4的語言特性，也通過Ruby官方測試套件的完整檢驗，超過5,000項Ruby官方核心類別測試，共190萬項斷言（Assertion），未出現任何錯誤與失敗，是JRuby歷來新版本發表中最完整的一次相容性更新。</p> <p>另一個重要升級是，JRuby 10結束長達十年的Java 8相容期，將最低需求調升至Java 21，來整合JVM近年新增的多項關鍵技術，包含Project Loom輕量執行緒、Project Panama的原生函式呼叫支援、AppCDS的類別快取技術等。新版JRuby的啟動延遲時間大幅縮短，也大幅改善長時間執行時的JIT最佳化行為。</p> <p><strong><span style="color:#0000FF;">#雲端開發工具 #AI輔助開發</span><br /> Firebase Studio開放預覽，結合AI助理與雲端IDE加速全端應用開發流程</strong></p> <p>Google推出全新雲端開發環境Firebase Studio，並開放預覽試用。在技術架構上，繼承了Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，具備完整的程式碼輔助、除錯工具與終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設應用架構是Next.js，也支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者能快速在Web應用中加入生成式人工智慧能力。另外，新開發工具特別針對人工智慧應用開發，加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Firebase%E7%95%AB%E9%9D%A2.png" /></p> <p><strong><span style="color:#0000FF;">#AI開發輔助 #法遵檢查</span><br /> GitLab 17.11擴充AI功能並強化法遵框架與控制項支援</strong></p> <p>GitLab釋出17.11版本，正式推出自訂法規遵循框架與全新法規要求設定機制，讓開發與資安團隊可依據組織所需遵守的標準與法規，精細定義稽核項目與對應控制項，強化內部法遵治理與審查透明度。法遵控制數量，從原本5項提升至超過50項，可自動檢查專案設定、合併請求規則與安全機制，支援SOC2、NIST、ISO 27001與GitLab CIS Benchmark等常見標準，並可於標準遵循報告中呈現與要求間的對應關係。此外，也可對應組織內部或GitLab平臺外部的控制項，統一於GitLab法遵中心呈現，用作法遵證據與稽核依據。</p> <p><strong>更多新聞</strong></p> <ul> <li>Fedora Linux 42正式釋出，採用最新發布的Linux 6.14核心</li> <li>Mozilla發布Rust 1.86新版，終於支援Trait物件向上轉型能力</li> </ul> <p>責任編輯：王宏仁<br /> 圖片來源：微軟，Google，Canva，Docker</p> </div></div></div>
2025/4/25 10:26作者王宏仁https://www.ithome.com.tw/news/168602
Nari Labs開源具備16億參數的文字轉語音模型Dia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由兩名南韓青年創立的Nari Labs本周二（4/22）<a href="https://github.com/nari-labs/dia" target="_blank">透過GitHub</a>及Hugging Face，開源了具備16億參數的<a href="https://huggingface.co/nari-labs/Dia-1.6B" target="_blank">文字轉語音模型Dia</a>，宣稱它不僅與Google NotebookLM播客的品質相當，甚至超越了ElevenLabs Studio與Sesame的開源模型。Dia發布48小時便在GitHub上獲得超過7,800顆星星，<a href="https://huggingface.co/models" target="_blank">並成為Hugging Face上最受歡迎的模型</a>。</p> <p>Nari Labs創辦者之一的Toby Kim於X上<a href="https://x.com/_doyeob_/status/1914464970764628033" target="_blank">分享了他們的心路歷程</a>，這是一個只有1.5人的團隊，因為另一人還在當兵，而且完全沒有資金，也不是AI專家，是因為受到<a href="https://www.ithome.com.tw/news/164978" target="_blank">Google NotebookLM去年9月所發布的播客（Podcast）功能</a>的啟發。</p> <p>Kim說，他們愛上了NotebookLM的播客功能，但想要有更多的聲音控制，更自由的劇本，試過了市場上所有的文字轉語音（Text-to-Speech，TTS）API，但它們聽起來都不像是真正的人類對話，正巧遇見Google的Research Cloud免費供應TPU予研究人員，於是他們開始學習JAX、Flax、平行運算、叢集編排及Pallas核心等技術，並在3個月後得到一個經過充份訓練的1.6B模型，比預期的還難，卻非常值得。</p> <p>由Nari Labs所建置的Dia模型可直接以文字生成高度逼真的對話，允許使用整調整音訊的輸出，控制情感與音調，而且還能產生各種非語言交流，像是大笑、咳嗽，或是清清嗓子。</p> <p><a href="https://yummy-fir-7a4.notion.site/dia" target="_blank">該實驗室比較了</a>專門發展自然語音的ElevenLabs Studio模型、Sesame的對話語音模型CSM-1B，以及Dia的表現，顯示Dia的確擁有更自然的聲調，更栩栩如生的聲音表情，也有傑出的聲音節奏感。</p> <p>目前Dia只支援英文，安裝該模型的最低系統需求為Windows或Linux作業系統，Python 3.8或以上版本，以及一個Nvidia RTX 3080或以上的GPU，或是直接<a href="https://huggingface.co/spaces/nari-labs/Dia-1.6B" target="_blank">透過Hugging Face Space試用</a>，該實驗室亦正在開發可直接供消費者使用的服務。</p> </div></div></div>
2025/4/24 12:44作者陳曉莉https://www.ithome.com.tw/news/168583
惡意NPM套件偽裝Telegram函式庫，植入SSH後門攻擊Linux開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Socket<a href="https://socket.dev/blog/npm-malware-targets-telegram-bot-developers">揭露</a>一項針對Telegram機器人開發者的供應鏈攻擊事件，攻擊者透過在NPM平臺發布與熱門函式庫名稱相近的惡意套件，誘導開發者誤用，進而在Linux系統中植入具持久性存取能力的SSH後門，並將系統資訊回傳至攻擊者伺服器。</p> <p>攻擊者鎖定使用node-telegram-bot-api函式庫進行開發的社群，推出三個偽冒套件，名稱分別為 node-telegram-utils、node-telegram-bots-api與node-telegram-util。這些惡意套件複製原函式庫的說明文件與GitHub頁面連結，甚至以Starjacking手法借用原專案超過19,000星數背書，在NPM頁面側欄混淆視聽，讓開發者在瀏覽與安裝時難以察覺異常。</p> <p>一旦安裝這些惡意套件，系統便會自動執行一段隱藏在函式庫初始化過程中的addBotId()非同步函式。該函式會在偵測到執行平臺為Linux時進行多項操作，包括寫入兩組預設的攻擊者SSH公鑰至~/.ssh/authorized_keys，形成無需密碼的遠端登入後門，即使其中一組金鑰遭到移除，攻擊者仍可透過備援金鑰重新取得存取權限。此外，惡意程式也會回傳系統使用者帳號名稱與外部IP至遠端伺服器，作為確認感染成功的指標。</p> <p>根據研究人員的分析，該後門程式碼共約40行，嵌入於正常函式庫的架構，具高度隱蔽性。開發者在匯入套件時，如果沒有進行程式碼審查或相依性檢測，就可能忽略隱藏的惡意邏輯。更嚴重的是，單純移除套件並不會清除被植入的SSH金鑰，系統仍存在風險。</p> <p>目前三個惡意套件的總下載量僅約300次，但由於其鎖定對象為開發者本機與伺服器環境，當遭滲透就可能成為進一步攻擊其他內部系統的跳板，風險大於一般用戶端感染事件。研究人員建議開發團隊落實相依套件來源的稽核流程，善用掃描工具等多層防護措施，在專案建置與套件匯入階段攔截可疑元件，將安全性檢查前移至開發初期階段，可以更好地確保軟體供應鏈完整性。</p> </div></div></div>
2025/4/23 08:34作者李建興https://www.ithome.com.tw/news/168546
【資安日報】4月21日，微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟每個月例行更新（Patch Tuesday）修補的資安漏洞，少則40、50個，多的時候往往會超過100個，也因此大家通常會優先注意已遭到利用的零時差漏洞，以及危險程度較高的弱點，但被認定較不可能被利用的漏洞，若不處理，有可能成為駭客攻擊的目標。</p> <p>最近資安業者Check Point公布針對NTLM雜湊值洩露漏洞CVE-2025-24054的攻擊行動，就是這種例子，他們在一週內看到超過10起攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168503"><strong style="font-size: 22px;">微軟3月修補的NTLM漏洞危機升溫，至少出現10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" style="width: 300px; float: right;" /></a></p> <p>今年3月微軟在例行更新（Patch Tuesday）總共修補57個漏洞，其中有7個零時差漏洞最受到關注，且有6個已有實際攻擊行動而成為焦點，但也有當時公布的資安漏洞，微軟評估利用的可能性不高，觸發漏洞存在必要條件，認為其風險不高，後續被駭客盯上並相繼用於攻擊。例如，當時修補的NTLM雜湊值洩露漏洞CVE-2025-24054（CVSS風險6.5分），近期有資安業者提出警告，在微軟公告一週後，他們察覺有人將其用於實際攻擊行動。</p> <p>資安業者Check Point指出，他們約從3月19日發現相關攻擊，駭客試圖用於洩露NTLM雜湊值或是使用者密碼，並用來入侵受害電腦。到了20至21日，研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業，利用垃圾郵件接觸受害者，藉此散布Dropbox連結。一旦使用者依照指示開啟，就會觸發與NTLM有關的已知漏洞，從而讓攻擊者能挖掘NTLMv2-SSP雜湊值，而其中一個遭到攻擊者利用的漏洞，就是CVE-2025-24054。值得留意的是，針對這波試圖利用CVE-2025-24054的情況，Check Point自3月19日至25日總共發現超過10起攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168506"><strong style="font-size: 22px;">網路上有超過1.6萬臺Fortinet裝置含有符號連結後門</strong></a></p> <p>專門開發各種軟、硬體安全解決方案的美國資安業者Fortinet在今年4月中旬揭露了一個與符號連結（Symbolic Link）有關的後門問題，這是駭客藉由攻陷已知漏洞，建立了一個可連結用戶檔案系統及根檔案系統的符號連結，就算用戶修補了遭到攻擊的安全漏洞，此一符號連結依然存在，因而允許駭客持續存取根檔案系統中的機密配置。Shadowserver基金會的掃描發現，在Fortinet揭露此事後，網路上含有符號連結後門的Fortinet裝置顯著增加，從1.2萬臺增加到近1.7萬臺。</p> <p>當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997，以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件，駭客針對網路上未修補的已知漏洞展開攻擊並非新聞，特別的是Fortinet發現駭客採用了新技術，透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力，就算只能唯讀，卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=203520&SPOKE_DATE=20250418&COMPANY_ID=2615"><strong style="font-size: 22px;">萬海海運網站遭遇攻擊</strong></a></p> <p>4月18日晚間海運業者萬海於股市公開觀測站發布資安重訊，指出該公司資訊網站當天下午遭到攻擊，他們發現此事後即刻啟動資安防護措施因應，將網站進行隔離。此網站暫時停止提供服務。</p> <p>而對於這起事故可能造成的影響，萬海表示根據他們的初步評估，對公司營運、資訊安全、個資無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html">殭屍網路XorDDoS透過暴力破解入侵Linux設備，在全球廣泛發動攻擊</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/proton66-part-1-mass-scanning-and-exploit-campaigns/">惡意軟體攻擊行動Proton66鎖定重大漏洞而來，散布勒索軟體SuperBlack</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/nodejs-malware-campaign-targets-crypto.html">Node.js惡意軟體攻擊行動鎖定加密貨幣用戶而來，假借提供加密貨幣工具散布惡意酬載</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168502"><strong style="font-size: 22px;">Windows工作排程工具遭揭多項弱點，恐被濫用於提升SYSTEM權限</strong></a></p> <p>資安公司Cymulate研究人員揭露Windows作業系統中的工作排程工具schtasks.exe，存在多項可被濫用的安全弱點，攻擊者可透過合法命令列參數及任務排程XML檔案，在特定條件下繞過使用者帳戶控制（UAC）提示，並以SYSTEM權限執行任意程式。研究人員指出，這些行為雖未被微軟視為漏洞，但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。</p> <p>針對Cymulate研究人員提出的安全質疑，微軟安全回應中心（MSRC）回覆表示，Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計，並非安全用途，因此不構成漏洞。不過，研究人員認為，使用者與資安人員仍應注意被惡意濫用的系統設計，特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-routers-using-aicloud/">啟用AiCloud功能的華碩路由器存在重大漏洞，恐被用於繞過身分驗證流程</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/researchers-cvss-severity-rce-vulnerability-erlang-otp-ssh/">SSH程式庫Erlang/OTP存在風險滿分漏洞，攻擊者有機會未經授權執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168489"><strong style="font-size: 22px;">資策會導讀臺灣最新出爐的PQC遷移指引，預告兩週後將推出自動化加密盤點工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）臺灣後量子遷移指引正式出爐_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E5%BE%8C%E9%87%8F%E5%AD%90%E9%81%B7%E7%A7%BB%E6%8C%87%E5%BC%95%E6%AD%A3%E5%BC%8F%E5%87%BA%E7%88%90_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著全球主要國家陸續發表後量子密碼遷移指引，為因應量子破解威脅做好準備，臺灣也需積極布局，上個月後量子資安產業聯盟（PQC-CIA）召集人李維斌曾透露，資策會正在負責我國「後量子密碼遷移指引」的制定，如今數位發展部數位產業署於2025臺灣資安大會上正式發表這項指引，目的是協助產業及早因應量子破密威脅的挑戰，讓後PQC遷移能順利過渡。</p> <p>在這場活動中，負責此項指引開發的資策會資安科技研究所主任蕭榮興，有更具體說明。基本上，關於遷移指引對臺灣產業的重要性，這不僅是對齊國際趨勢，最大重點是促使企業瞭解量子破密威脅，重視後量子加密的必要性並加速遷移，並提供企業組織一套清晰的遷移路徑與實施步驟，確保遷移過程安全並且可以實行。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> </div></div></div>
2025/4/21 17:09作者周峻佑https://www.ithome.com.tw/news/168530
【資安日報】4月16日，MITRE停止維護CVE等多項專案，傳出與川普大砍行政預算有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初臺灣因立法院大幅刪減政府各式預算，連帶影響政府的資安防禦工作，<a href="https://www.ithome.com.tw/news/167141">以數發部為例</a>，預算刪減4成、凍結2成，將影響我國通訊韌性基礎建設、打詐，並<a href="https://ithome.com.tw/news/168271">衝擊資安產業</a>，如今美國也出現類似情況，影響層面恐更加廣泛。</p> <p>有人取得MITRE主任Yosry Barsoum寫給CVE委員會的信件，提及MITRE維護CVE、CWE等專案的合約到期一事，由於這些專案維護都是仰賴美國國土安全部的預算，外界普遍認為此事就是川普大砍行政預算造成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168431"><strong style="font-size: 22px;">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" style="width: 300px; float: right;" /></a></p> <p>4月15日資安業者趨勢科技提出警告，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/168434"><strong style="font-size: 22px;">MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" style="width: 300px; float: right;" /></a></p> <p>去年12月資安業者Huntress揭露鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，隨後勒索軟體駭客Clop聲稱是他們所為，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據Bleeping Computer、Dark Reading、SecurityAffairs、SecurityWeek等多家資安新聞網站報導，大型租車業者Hertz證實，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p><a href="https://www.ithome.com.tw/news/168433"><strong style="font-size: 22px;">【臺灣資安大會直擊】AI同事雙面刃，網路犯罪即代理危機浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技Robert McArdle.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Robert%20McArdle.jpg" style="width: 300px; float: right;" /></a>兩年前生成式AI應用爆發，一年半後代理型AI（Agentic AI）發展備受關注，已成為2025年當紅科技焦點，然而，在企業導入AI相關工具以提升營運效率的同時，網路犯罪組織也正同樣這麼做。</p> <p>2025臺灣資安大會的第一天，負責「前瞻威脅研究」(FTR) 與「敵情監控」(AIM) 團隊的趨勢科技專家，介紹了他們對網路犯罪的最新觀察，同時向所有國內與會者示警，呼籲大家在期待AI Agent應用到來之際，同時也要注意網路犯罪領域可能的重大變革，將出現以AI代理為基礎的新模式──Cybercrime as a Servant。</p> <p>如今AI技術崛起，網路犯罪局勢更加複雜。Robert McArdle指出，網路犯罪市場也會有所轉型，從現在的Cybercrime as a Service，也就是網路犯罪即服務，轉變為AI代理為基礎的Cybercrime as a Servant。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html">中國駭客UNC5174鎖定Linux而來，散布SnowLight、VShell犯案</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/">俄羅斯駭客APT29鎖定歐洲外交單位下手，散布WineLoader後門</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/176530/security/malicious-npm-packages-to-steal-paypal-credentials.html">惡意NPM套件鎖定PayPal用戶而來，企圖挾持加密貨幣交易</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cisa-and-fbi-warn-fast-flux-is-powering.html">駭客運用Fast Flux手法建置基礎設施，意圖隱匿行蹤</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/max-severity-bug-apache-roller-persistent-access">Apache基金會修補部落格平臺Roller風險滿分的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168432"><strong style="font-size: 22px;">川普大砍行政預算，CVE與CWE專案的合約本周到期</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" style="width: 300px; float: right;" /></a>負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的美國非營利組織MITRE近日傳出，包括這兩項專案的許多專案合約都將在今天到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p>這項消息的曝光，源自於在社交媒體上流傳的信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會，內容提及包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p>資安專家Brian Martin指出，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p><a href="https://www.ithome.com.tw/news/168429"><strong style="font-size: 22px;">【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險</strong></a></p> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> </div></div></div>
2025/4/16 14:56作者周峻佑https://www.ithome.com.tw/news/168438
【資安日報】4月15日，總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168408"><strong style="font-size: 22px;">駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" style="width: 300px; float: right;" /></a>本週資安業者Fortinet發布資安公告，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據Dark Reading、SecurityWeek等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> <p><a href="https://www.ithome.com.tw/news/168421"><strong style="font-size: 22px;">AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" style="width: 300px; float: right;" /></a>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-resolverrat-malware-targets-pharma-and-healthcare-orgs-worldwide/">惡意軟體ResolverRAT鎖定藥廠及醫療保健產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/phishing-campaigns-use-real-time-checks.html">網釣攻擊出現新手法，駭客在竊取帳密之前驗證電子郵件信箱</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/paper-werewolf-targets-flash-drives-new-malware">俄羅斯遭到駭客組織Paper Werewolf鎖定，透過USB裝置散布蠕蟲</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/pakistan-linked-hackers-expand-targets.html">巴基斯坦駭客SideCopy鎖定印度，散布Spark RAT、CurlBack RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168410"><strong style="font-size: 22px;">Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" style="width: 300px; float: right;" /></a>GPU大廠Nvidia去年9月發布1.16.2版Container Toolkit，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，他們去年10月分析Nvidia發布的修補程式，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，CVSS風險達到9.0（Nvidia評為8.3分），Nvidia於今年2月發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168420"><strong style="font-size: 22px;">賴清德總統四度親臨臺灣資安大會，從國家戰略到產業政策彰顯資安重要性</strong></a></p> <p>亞洲規模最大資安盛會「臺灣資安大會CYBERSEC 2025」於4月15日至4月17日假南港展覽館二館舉行，今年舉辦第十一屆，也是總統賴清德連續第四年應邀蒞臨「臺灣資安大會」。</p> <p>今年賴清德總統蒞臨大會致詞時表示，政府將持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險。這項宣示也與近年來政府對「資安即國安」的國家資安戰略，以及政府對於資安新創領域高度扶植政策相呼應，更是臺灣在面對持續不斷的網路威脅的態勢下，如何做到保持高度警覺與應變能量，成為真正「資安堅韌之島」的過程。</p> <p>美國在臺協會處長谷立言（Raymond F. Greene）致詞時表示，資安不僅只是IT技術的課題，更是國家安全與經濟安全的重要環節。這也點出臺美之間，在資安領域已經成為緊密的合作夥伴關係，同時也呼應了美國政府重視亞洲區域，尤其是臺灣在全球供應鏈與網路安全中所扮演的重要角色。</p> <p><a href="https://www.ithome.com.tw/news/168409"><strong style="font-size: 22px;">SSL、TLS憑證最長效期逐年縮短，2029年將減成47天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0415- Sectigo-47-day SSL_TLS certificates-圖表.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" style="width: 300px; float: right;" /></a>憑證產業論壇CA/B論壇（Certification Authority Browser Forum）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，通過蘋果提案的Ballot SC-081v3。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發業者（Issuer）24票贊成、5票棄權，無人反對。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> </div></div></div>
2025/4/15 12:57作者周峻佑https://www.ithome.com.tw/news/168418
Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU大廠Nvidia去年9月<a href="https://www.ithome.com.tw/news/165250">發布1.16.2版Container Toolkit</a>，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/d/incomplete-nvidia-patch.html">他們去年10月分析Nvidia發布的修補程式</a>，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-087/">CVSS風險達到9.0</a>（Nvidia評為8.3分），Nvidia<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5616">於今年2月</a>發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p>針對這項漏洞發生的原因，趨勢科技表示在名為mount_files的功能當中，對於物件操作的過程裡缺乏適當鎖定造成，攻擊者有機會用來提升權限，並於主機執行任意程式碼。不過，利用這項漏洞存在必要條件，那就是攻擊者能在容器執行任意程式碼，才能觸發漏洞。</p> <p>研究人員進一步說明攻擊者可能利用漏洞的手法。首先，攻擊者準備兩個惡意容器映像檔，這些映像檔透過磁碟區符號連結（Volume Symlink）進行連結。接著，攻擊者藉由供應鏈攻擊或社交工程手法，於受害組織的環境執行映像檔，這麼做使得他們能藉由競爭條件存取主機的檔案系統。一旦得逞，攻擊者就有機會存取執行容器的底層軟體Container Runtime Unix，從而以root權限執行任意命令，並遠端完全控制受害系統。</p> <p>除了部署新版Container Toolkit，趨勢科技也呼籲用戶應遵循最佳實作來緩解CVE-2024-0132、CVE-2025-23359與其他與Docker檔案系統綑綁的弱點，這些措施包括：限制Docker API的存取及權限、監控Linux掛載列表、定期稽核容器與主機之間的互動。</p> </div></div></div>
2025/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/168410
【資安週報】0407~0411，國家資通安全戰略2025正式公布，建立國家資安戰情協同應變中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年4月第二星期的資安新聞，國內最重要的消息，就是我們在上個月報導即將公布的《國家資通安全戰略 2025》，由國家安全會議出版，4月8日正式於總統府網站發布，揭露了我國接下來的新資安戰略，將聚焦從4大支柱出發，包括：全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p>特別的是，報告中提到「國家資安戰情協同應變中心」的建立，以及「國家資安風險地圖」的規畫，我們認為將是一大重點，可讓綜觀全局的聯防體系更為具體，突顯國內資安聯防對此方面的重視。</p> <p>在資安事故方面，國內2家上市櫃公司發布資安事件重訊，一是旅行箱製造商萬國通路，另一是LCD偏光板廠力特光電。後續我們還發現暗網情資顯示，勒索軟體組織Qilin與Devman同時宣稱力特光電為其受害者。</p> <p>還有一項消息值得國內重視，英國國家網路安全中心（NCSC）示警，發現中國駭客正鎖定臺灣、圖博、維吾爾族的團體與個人，散布間諜軟體BadBazaar和Moonshine，其手法包括假冒知名品牌App引誘安裝並要求手機各式權限。</p> <p>在資安威脅方面，針對開發人員散布惡意套件，以及VPN安全隱憂的消息是主要焦點，有多起消息揭露顯現出這些狀況需要被重視。</p> <p>●供應鏈資安業者發現本月4日有10個惡意VSCode擴充套件上架，目的是植入挖礦程式XMRig，但其顯示下載超過百萬次，可能駭客製造套件受歡迎的假象。<br /> ●北韓駭客Lazarus散布惡意NPM套件近期消息不斷，再有資安業者揭露其行動利用11個惡意NPM套件來散布木馬，並指出套件下架前已有5千多次下載。<br /> ●威脅情報業者警告，有駭客在3月底利用近2.4萬個IP位置，大量掃描Palo Alto Networks的GlobalProtect入口網站。<br /> ●非營利組織Tech Transparency Project（TTP）揭露蘋果App Store前百大免費VPN，多數開發廠商身分不透明，調查發現有2成的服務擁有者是中國公司。</p> <p>在漏洞消息方面，本週有微軟、Adobe、SAP等多家廠商發布4月例行更新，需要大家儘快修補與因應，還有4個新遭利用漏洞的消息需密切關住，已被美國CISA列入已知漏洞利用清單（KEV）。</p> <p>其中2起漏洞利用有更多消息揭露，微軟的漏洞CVE-2025-29824是被駭客組織Storm-2460利用於勒索軟體攻擊，CrushFTP的漏洞CVE-2025-31161攻擊也疑似為勒索軟體組織所為，另還出現CVE爭奪情形，因為此漏洞為Outpost24向CrushFTP通報，而VulnCheck另先將此漏洞指派CVE（CVE-2025-2825），導致重複與讓外界誤解狀況，MITRE已刪除後者並保留紀錄</p> <p>●微軟修補Windows CLFS零時差漏洞CVE-2025-29824<br /> ●Gladinet修補安全文件共享平臺CentreStack零時差漏洞CVE-2025-30406<br /> ●檔案伺服器軟體CrushFTP於3月修補的漏洞CVE-2025-31161<br /> ●Linux Kernel去年12月修補的漏洞CVE-2024-53197、CVE-2024-53150</p> <p>還有一個尚未列入KEV的漏洞利用消息，是資安業者ESET最近公開1月修補的漏洞CVE-2024-11859，通報的卡巴斯基亦揭露此漏洞遭利用的情況，指出是調查中國駭客ToddyCat攻擊行動所發現。</p> <p>在資安產業動向上，國內有一件重大策略結盟消息，奧義智慧科技母公司賽博創新科技（CyCraft-KY）揭露新的增資案，獲得上櫃公司中華資安國際注資6,500萬。目前CyCraft-KY（7823）正推動首次公開募股（IPO）計畫，中華資安（7765）也正申請轉上市。</p> <p>關於其他資安防禦重要新聞，Gmail推出E2EE全程加密功能，用戶在撰寫郵件時，點選收件者欄位右邊的鎖頭圖示就能啟用。</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168273"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</span></strong></a></h3> <p>中國軟體業者透過多層轉投資的空殼公司，意圖隱匿中國身分，於蘋果App Store、Google Play store市集上架免費的VPN應用程式，這樣的情況相當值得留意，因為一般使用者難以追溯源頭，而有可能成為中國政府跟蹤上網流量的對象。</p> <p>揭露此事的非營利組織Tech Transparency Project（TTP）指出，他們在美國蘋果App Store前100名的免費VPN應用程式裡，發現有五分之一App來自中國，這樣的情況意味著使用者很容易下載到中國業者打造的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/168302"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</span></strong></a></h3> <p>駭客盯上微軟Visual Studio Code（VSCode）用戶的情況，近期有越來越頻繁的現象，最近資安業者Koi Security揭露的攻擊行動引起關注，因為駭客上傳的惡意延伸套件，短短不到4天之內，總共就被下載超過100萬次。</p> <p>但真的有這麼多人上當受騙嗎？研究人員認為，這些下載次數很有可能是人工灌水產生，目的是製造套件受到大量採用的假象，來降低開發人員的戒心。</p> <p><a href="https://www.ithome.com.tw/news/168331"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</span></strong></a></p> <p>這個星期二（4月8日）是許多廠商發布4月例行更新的日子，微軟、Adobe、SAP，以及多家廠商在這天為旗下產品進行修補，其中，微軟在這次修補126個漏洞相當引起關注，因為數量是上個月的兩倍多。</p> <p>值得留意的是，其中已有被用於實際攻擊行動的零時差漏洞CVE-2025-29824，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）指出，駭客組織Storm-2460鎖定有限數量的目標發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/168348"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</span></strong></a></h3> <p>本週臺灣資安產業迎來重大策略結盟，那就是資安服務業者中華資安國際宣布投資奧義智慧科技的消息，兩家公司在資本進行合作後，也將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」。</p> <p>雙方預計將結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，聯手拓展臺灣市場及提升國際能見度。</p> <h3><a href="https://www.ithome.com.tw/news/168382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】國家資通安全戰略2025本週正式公布</span></strong></a></h3> <p>延續蔡英文前總統的「資安即國安」的戰略核心基礎，賴清德團隊本週正式公布《國家資通安全戰略 2025——資安即國安》，當中提及現今臺灣的資安態勢相當嚴峻，光是是漸進式的做法，恐難以應付相關威脅。</p> <p>這個新戰略的頒布，意義重大，因為不光是為臺灣確立國家安全的願景，更強調要提升全社會的防衛韌性。</p> <p> </p> </div></div></div>
2025/4/14 10:13作者羅正漢https://www.ithome.com.tw/news/168383
【資安日報】4月8日，駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上微軟Visual Studio Code（VSCode）用戶的情況，近期有越來越頻繁的現象，最近資安業者Koi Security揭露的攻擊行動引起關注，因為駭客上傳的惡意延伸套件，短短不到4天之內，總共就被下載超過100萬次。</p> <p>但真的有這麼多人上當受騙嗎？研究人員認為，這些下載次數很有可能是人工灌水產生，目的是製造套件受到大量採用的假象，來降低開發人員的戒心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168294"><strong style="font-size: 22px;">散布挖礦軟體的惡意VSCode延伸套件下載百萬次，有灌水騙取信任之嫌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1KwlCFbVDd6BVMP10R4w54Q.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1KwlCFbVDd6BVMP10R4w54Q.png" style="width: 300px; float: right;" /></a></p> <p>駭客上傳NPM、PyPI惡意套件攻擊開發人員的情況日益頻繁，但也有針對使用微軟Visual Studio Code（VSCode）的開發者而來的情況，最近有資安業者發現，攻擊者在市集提供惡意擴充套件，企圖利用受害電腦挖礦。</p> <p>供應鏈資安業者Koi Security指出，他們透過威脅情報平臺ExtensionTotal找到10個惡意VSCode擴充套件，這些套件總共已被下載超過100萬次，一旦開發人員不慎安裝，電腦就有可能被植入挖礦程式XMRig，為駭客挖取門羅幣（Monero）。</p> <p>研究人員指出，這些套件在4月4日於微軟的VSCode市集上架，其中最多人下載的是Prettier — Code for VSCode、Discord Rich Presence for VS Code、Rojo — Roblox Studio Sync，分別有95.5萬、18.9萬、11.7萬次下載。針對這些套件在不到一週就出現大量下載的情況，Koi Security認為並不尋常，很有可能是攻擊者人工產生的數字，目的是製造擴充套件廣泛受到信任及採用的假象，以減少開發人員的懷疑。</p> <p><a href="https://www.ithome.com.tw/news/168291"><strong style="font-size: 22px;">北韓駭客Lazarus透過NPM套件散布惡意軟體BeaverTail，意圖竊取帳密資料及數位資產</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bbd2fb8c601145b1b63b9b188f97f6dd5bda1f86-2042x1040.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bbd2fb8c601145b1b63b9b188f97f6dd5bda1f86-2042x1040.png" style="width: 300px; float: right;" /></a></p> <p>北韓駭客針對開發人員而來的惡意套件攻擊行動不斷傳出，但如今駭客採取更為隱密的手法，使得開發人員更容易上當。</p> <p>資安業者Socket指出，他們看到北韓駭客Lazarus新一波的Contagious Interview攻擊行動，駭客意圖透過11個惡意NPM套件，散布具備遠端存取木馬（RAT）功能的惡意程式BeaverTail，這些套件偽裝成陣列處理、事件記錄、除錯、事件處理，以及API處理的工具，意圖針對開發人員下手，竊取敏感的帳密資料及金融資產。</p> <p>Socket研究人員向NPM通報此事，惡意套件全數遭到下架，在此之前這些套件總共被下載超過5,600次。值得留意的是，這些駭客的攻擊步調並未趨緩，他們持續建置新的NPM帳號，並在NPM、GitHub、Bitbucket部署惡意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/168288"><strong style="font-size: 22px;">駭客利用近2.4萬個IP位址掃描Palo Alto Networks GlobalProtect登入網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67eae72d908becaefe75cc73_AD_4nXcMg4Wql1PaSc8K1AfL0HIrceDQrQbd3wf3aNelONCp8J94UIV-dY8ps2cNJBF8EJujXbYuArj1hnss1gdG5E_uwPB0miIxZubf9fJ5I062xg29Kzt69A40dgrZCtUBdwrCqxjI.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67eae72d908becaefe75cc73_AD_4nXcMg4Wql1PaSc8K1AfL0HIrceDQrQbd3wf3aNelONCp8J94UIV-dY8ps2cNJBF8EJujXbYuArj1hnss1gdG5E_uwPB0miIxZubf9fJ5I062xg29Kzt69A40dgrZCtUBdwrCqxjI.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定企業的SSL VPN系統下手，企圖藉此取得初期入侵的管道，這樣的現象不時傳出，如今有研究人員發現針對特定廠牌系統的大規模攻擊活動，呼籲用戶要採取相關措施因應。</p> <p>3月底威脅情報業者GreyNoise提出警告，他們觀察到針對Palo Alto Networks的GlobalProtect入口網站新一波的掃描登入活動，最近1個月有近2.4萬（23,958）個來源IP位址嘗試存取這些SSL VPN系統。針對這樣的情況，Palo Alto Networks表示他們已掌握GreyNoise部落格揭露的內容，將積極監控相關情勢、確認可能會造成的影響，並評估是否需要採取緩解措施。</p> <p>這波攻擊從3月17日出現，持續至26日，大部分的攻擊來自美國及加拿大，分別有16,249及5,823個IP位址，但也有來自芬蘭、荷蘭、俄羅斯的攻擊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=153258&SPOKE_DATE=20250407&COMPANY_ID=3051"><strong style="font-size: 22px;">力特光電資訊系統遭受網路攻擊</strong></a></p> <p>4月7日下午偏光板製造商力特光電科技於股市公開觀測站發布資安重訊，指出該公司資訊系統遭到駭客攻擊的情況，事發當下他們啟動相關防禦機制，初步評估這起事故對公司營運無重大影響，也沒有個資或內部文件外流的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/toddycat-apt-eset-bug-silent-malware">中國駭客ToddyCat鎖定ESET防毒已知漏洞而來，以此暗中載入惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/carding-tool-abusing-woocommerce-api-downloaded-34k-times-on-pypi/">惡意PyPI套件鎖定WooCommerce電子商務網站而來，已被下載3.4萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/poisonseed-phishing-campaign-behind-emails-with-wallet-seed-phrases/">網釣攻擊PoisonSeed鎖定CRM及行銷郵件管理系統而來，目標是進行供應鏈詐騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/toll-payment-text-scam-returns-in-massive-phishing-wave/">駭客假冒通行費收款機構E-ZPass發送iMessege與簡訊，意圖騙取民眾個資及信用卡資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168301"><strong style="font-size: 22px;">Google發布4月份安卓例行更新，修補已遭利用的零時差漏洞</strong></a></p> <p>4月7日Google發布本月安卓例行更新，總共修補62個資安漏洞，值得留意的是，他們提及有兩個漏洞CVE-2024-53150、CVE-2024-53197，出現局部、針對特定目標進行濫用的跡象。</p> <p>上述兩項漏洞最早是去年12月揭露，存在於Linux核心，CVSS風險評分都達到7.8分，屬高風險層級漏洞。</p> <p>其中，權限提升漏洞CVE-2024-53197特別引起注意，因為這正是傳出去年12月被塞爾維亞警方濫用的其中一項漏洞，揭露此事的國際特赦組織（Amnesty International）指出，當時塞爾維亞警方利用數位鑑識業者Cellebrite的工具，觸發3項零時差漏洞，企圖解鎖社運人士的手機。附帶一提的是，另外兩項被串連的資安漏洞CVE-2024-53104、CVE-2024-50302，Google先後於2月、3月完成修補。</p> <p><a href="https://www.ithome.com.tw/news/168295"><strong style="font-size: 22px;">OpenVPN存在資安弱點，若不處理恐被用於癱瘓伺服器運作</strong></a></p> <p>4月2日開源VPN軟體OpenVPN發布2.6.14版，主要是修補阻斷服務（DoS）漏洞CVE-2025-2704，這項弱點影響2.6.1至2.6.13版，以伺服器模式執行，並且採用TLS Crypt v2（--tls-crypt-v2）組態的OpenVPN，CVSS風險評為7.5分。</p> <p>一旦攻擊者在初期交握的過程裡，藉由中斷或重放網路封包，就有可能觸發這項漏洞，造成OpenVPN中斷服務的現象。值得留意的是，攻擊者可遠端利用這項弱點。</p> <p>對於漏洞的影響範圍，OpenVPN強調，用戶端不受這項漏洞影響，未使用TLS Crypt v2的伺服器端不受影響，2.4及2.5版OpenVPN也不受影響。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/six-arrested-for-ai-powered-investment-scams-that-stole-20-million/">西班牙逮捕6名從事加密貨幣投資詐騙的嫌犯，不法所得近2千萬歐元</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168247"><strong>【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168231"><strong>【4月3日】刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分</strong></a></p> </div></div></div>
2025/4/8 17:40作者周峻佑https://www.ithome.com.tw/news/168302