iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 14篇
近 24 小時: 19篇
近 7 天: 120篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 120 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Google將Gemini整合到美國版Chrome中將加入代理人等能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/new-ai-features-for-chrome/" target="_blank">Google昨（18）日宣布</a>Gemini整合Chrome的多項計畫，包括從美國開始將Gemini整合到Chrome桌機、Android和iOS手機版，Google並將陸續為Gemini in Chrome加入代理人、推理和多模態能力，還能一鍵變更密碼。</p> <p>今天整合Gemini的Chrome Mac及Windows桌機版、Android版就能部署到美國用戶，只要其瀏覽器語言設定為英文。用戶上網時Gemini可回答關於網頁內容的問題。Android手機用戶在使用Chrome或其他App時長按電源鍵可啟動Gemini。iPhone上，Gemini會直接內建到iOS版Chrome中。</p> <p>Google並預告，未來幾個禮拜內，Gemini in Chrome將再加入代理人功能，使Gemini in Chrome功能更強大。對企業用戶而言，幾個星期內Gemini也會部署到Google Workspace，並提供企業等級的資料防護和控制。</p> <p>Gemini in Chrome可使上網蒐集資訊或規劃更輕鬆。例如它支援跨多分頁執行，方便用戶比價、摘要或整合多個網站內容，可減輕像是旅行規劃的麻煩。Gemini in Chrome也藉由和Google原生應用如Calendar、YouTube或Google Maps的深度整合，因此用戶可以教Gemini in Chrome直接搜尋YouTube影片，它會提供連結導引用戶過去。</p> <p>本月底Gemini in Chrome將加入AI Mode，後者是加入推理和多模態能力的Google搜尋。美國版英文用戶本月底使用Chrome的搜尋列（或稱omnibox）就能使用到這強大的搜尋功能。此外，美國版Gemini in Chrome現在已獲得情境建議（contextual suggestion）功能，用戶上網時叫出Gemini問問題時，Gemini可在Chrome側邊欄頂端顯示AI Overview（AI摘要），並提供情境建議，讓用戶無需離開網頁。本項功能幾個禮拜內會新增其他語言支援並推向其他國家。</p> <p>在安全性方面，Chrome的安全上網（Safe Browsing）的進階防護（Enhanced Protection）模式，繼現在使用Gemini Nano來辨識釣魚網站，之後將用它來封鎖下載病毒或詐騙軟體的網站。</p> <p>其次，Gemini in Chrome能學習用戶使用偏好並藉此封鎖網站的垃圾通知，例如當它認為使用者不允許特定網站存取相機、地點等資訊的要求時，會先自動封鎖，並顯示核准對話框讓用戶最終決定。最後，Chrome現在已能autofill網站密碼，但之後Gemini in Chrome將進一步加入密碼代理人能力，讓用戶一鍵完成特定網站的密碼的變更及儲存。支援的網站包括Coursera、Spotify、Duolingo、H&M等。</p> </div></div></div>
2025/9/19 12:14作者林妍溱https://www.ithome.com.tw/news/171287
Google發布Chrome 140更新，修補今年第6個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前Google發布<a href="https://www.ithome.com.tw/news/171194">電腦版、安卓版Chrome 140更新</a>，修補重大層級的Serviceworker元件資安漏洞CVE-2025-10200，本週該公司再度發布緊急更新，緩解已被利用的資安漏洞CVE-2025-10585，這是今年揭露的第6個零時差漏洞。除了Chrome之外，其他採用Chromium為基礎的瀏覽器應該很快就會跟進修補，用戶應留意近期的更新資訊。</p> <p>這項漏洞由Google感脅分析團隊（TAG）在9月16日發現，為JavaScript引擎V8的類型混淆漏洞，Google指出該漏洞為高風險層級，並發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_17.html">電腦版140.0.7339.185、140.0.7339.186</a>，以及<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_17.html">安卓版140.0.7339.155</a>修補，此外，他們也針對ChromeOS、ChromeOS Flex用戶<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-chromeos_18.html">發布16371.49.0版更新</a>，修補這項瀏覽器元件漏洞。</p> <p>對於這項漏洞的細節，Google並未進一步說明，根據資安業者Tenable的評估，<a href="https://www.tenable.com/cve/CVE-2025-10585">此漏洞的CVSS風險值達到8.8</a>（滿分10分）。至於這項漏洞的影響範圍，以及駭客如何利用，有待後續其他資安業者或研究人員揭露。</p> <p>在上述的零時差漏洞之外，本次Google也修補了另外3個高風險漏洞，分別是：Dawn元件記憶體釋放後再存取利用（Use after free）漏洞CVE-2025-10500、WebRTC元件記憶體釋放後再存取利用漏洞CVE-2025-10501，以及Angle元件記憶體堆疊溢位漏洞CVE-2025-10502。</p> </div></div></div>
2025/9/19 10:12作者周峻佑https://www.ithome.com.tw/news/171282
Google修補Chrome 140重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於9月9日發布<a href="https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_9.html">電腦版</a>、<a href="https://chromereleases.googleblog.com/2025/09/chrome-for-android-update_9.html">安卓版</a>Chrome 140更新，修補兩項資安漏洞CVE-2025-10200、CVE-2025-10201，值得留意的是，CVE-2025-10200被評為重大漏洞，相當危險，用戶應儘速套用更新。</p> <p>這項重大層級漏洞出現在Serviceworker元件，為記憶體使用之後釋放再度利用（Use After Free）的弱點，由資安研究員Looben Yang於8月22日通報，美國網路安全暨基礎設施安全局（CISA）評估其<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10200">CVSS風險值為8.8</a>（滿分10分），Google頒發4.3萬美元獎勵給Looben Yang。</p> <p>而對於這項漏洞帶來的影響，攻擊者只要藉由特製的HTML網頁，就有機會從遠端導致Chrome出現記憶體中斷的現象，Google發布Windows版140.0.7339.127、140.0.7339.128，Linux版140.0.7339.127、macOS版140.0.7339.132、140.0.7339.133，以及安卓版140.0.7339.123，來修補這項漏洞。</p> <p>本次Google也修補另一項高風險漏洞CVE-2025-10201，起因是Mojo元件不當實作產生，影響Linux、ChromeOS，以及安卓版的用戶。攻擊者同樣能藉由特製的HTML網頁觸發，從而繞過網站隔離機制。值得留意的是，雖然Google評估該漏洞為高風險層級，但CISA評估其風險值與重大漏洞CVE-2025-10200相同，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-10201">為8.8分</a>。</p> <p>在Google修補上述漏洞後，多家採用Chromium為基礎的瀏覽器也跟進。其中，最早處理漏洞的是<a href="https://brave.com/latest/">Brave</a>，他們在9月10日發布1.82.166版因應；9月12日，微軟發布140.0.3485.66版Edge更新，修補<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10200">CVE-2025-10200</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-10201">CVE-2025-10201</a>；同日Vivaldi發布<a href="https://vivaldi.com/blog/desktop/minor-update-ten-7-5/">電腦版</a>、<a href="https://vivaldi.com/blog/android/minor-update7-android-7-5/">安卓版</a>更新，修補CVE-2025-10200。</p> <p><a href="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/yepmP3FXns.jpg" style="width: 580px;" /></a></p> </div></div></div>
2025/9/15 15:34作者周峻佑https://www.ithome.com.tw/news/171194
Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2025/09/pixel-android-trusted-images-c2pa-content-credentials.html">Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，</a>而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p>隱私設計採可驗證、不涉個資的原則，憑證核發在伺服端以硬體支援的匿名證明完成，不需綁定使用者帳號，並避免留下可回推身分的伺服端紀錄。另一個重點則是一次性憑證策略，每張影像使用獨立金鑰與憑證，不重複使用，從密碼學方法阻斷透過金鑰將多張照片彼此關聯的可能性。</p> <p>由於要在離線情境也能維持可驗證性，Pixel 10在裝置側提供可信時間戳功能。受保護的安全時鐘在上線時定期與可信來源同步，離線時仍可維持，按下快門當下便能標註時間戳，即使日後簽章憑證到期，影像的拍攝事實仍可被驗證。</p> <p>Pixel相機應用拍攝時，會對每張JPEG自動寫入內容憑證，當使用者在Google相簿開啟含憑證的影像，系統會在資訊面板顯示來源與編輯摘要，並在使用人工智慧或非人工智慧工具進行編輯時，將新的處理步驟寫入憑證鏈。</p> <p>C2PA內容憑證正成為數位媒體可信度的共同標準，從相機、影像編輯軟體到生成式人工智慧服務都有導入。行動裝置方面，除Pixel 10外，有<a href="https://www.androidauthority.com/galaxy-s25-content-credentials-3523256">外媒報導</a>三星Galaxy S25系列在使用Galaxy AI編輯影像時，會自動加註C2PA內容憑證後設資料，以提升影像來源與編輯可追溯性。</p> </div></div></div>
2025/9/12 18:09作者李建興https://www.ithome.com.tw/news/171173
微軟免除開發人員在Microsoft Store發布App的費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2025/09/10/free-developer-registration-for-individual-developers-on-microsoft-store/" target="_blank">微軟本周宣布</a>取消個人開發商在其軟體市集Microsoft Store上架App的費用。微軟還強調可享有微軟代為發布的好處，例如由微軟簽發App。</p> <p>Microsoft Store是在2021年推出，微軟說現在Microsoft Store每月經常用戶有2.5億。原本開發人員需支付19美元才能登錄帳號並發布應用程式。微軟先是於今年6月宣布在特定國家取消這款費用，現在則擴及全球近200個市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-windows%20store%20developer-2-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>現在個人開發人員加入Microsoft Store無需支付費用，只要以個人Microsoft帳號登入按照指引訊息，包括掃一下有效的政府身份證件及個人自拍照來驗證身份。完成驗證後，開發人員資料就會自動帶入「合作夥伴中心」（Partner Center）。所有第三方應用程式或更新都是先打包成MSIX檔再上傳「合作夥伴中心」發布。</p> <p>微軟說，取消這筆一次性費用，將可建立更包容性及更平易近人的平臺，讓更多開發人員得以創新並繁榮Windows生態體系。相較之下，<a href="https://support.google.com/googleplay/android-developer/answer/6112435?hl=en" target="_blank">Google Play Store</a>收費為25美元，<a href="https://developer.apple.com/support/compare-memberships/" target="_blank">蘋果App Store</a>則要99美元。</p> <p>Microsoft Store支援各種型態的應用程式發布，包括Win32（如.NET WPF和WinForms）、UWP、PWA、.NET MAUI或Electron。企業導向的應用程式可以讓企業用戶經由Windows Search發現，並以Intune安裝。</p> <p>此外，Microsoft Store提供了發布平臺。應用程式可打包成MSIX檔由微軟代管並支付傳送費用，開發人員不需自己設定CDN，微軟還會簽發App，確保App的信賴及安全性，而且Windows/Microsoft Store還會自動將開發人員App更新推送給使用者。</p> <p>微軟還強調該平臺低分潤率，非遊戲類應用程式無需分潤，一般應用程式分潤率為15%，遊戲類則為12%。Google和蘋果的平臺在經過數年前法院介入後，對小型開發商分潤比例降為15%，但對App年營收超過100萬美元的開發商，分潤比則維持30%。</p> </div></div></div>
2025/9/12 13:13作者林妍溱https://www.ithome.com.tw/news/171151
Amazon Zoox在拉斯維加斯推出無人計程車免費試乘服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在2020年以12億美元買下的自駕車新創業者<a href="https://zoox.com/journal/las-vegas" target="_blank">Zoox周三（9/10）宣布</a>，已於拉斯維加斯大道（Las Vegas Strip）及周邊啟動無人計程車服務，Android及iOS用戶下載Zoox程式後，就能叫車，而且在取得必要的監管許可之後，才會開始收費，意謂著現在是免費的試乘期間。</p> <p>Zoox無人駕駛計程車的外觀有點像麵包車，它的車身長度為3.63米，內部的設計是4個面對面的座椅，標榜是替乘客而非駕駛所設計的汽車，它具備四輪傳動與雙向駕駛功能，於是能在狹小的空間中改變行駛方向，而不必倒車，最快時速可達120公里（75英里）。</p> <p>目前在拉斯維加斯的試乘採用定點服務，僅行駛於Resorts World Las Vegas、AREA15、Topgolf、New York-New York及Luxor等飯店或娛樂景點之間，Zoox並未公布上路的車隊規模，僅說未來會陸續擴充行駛據點。</p> <p>為了協助乘客辨識所要搭乘的Zoox計程車，將會在行動程式中顯示車牌號碼，也會提供預計的接送時間、到達時間，並鼓勵乘客輸入意見，或是在搭乘期間按下計程車上的Help按鍵以與客服團隊交流。</p> <p>Zoox下一個試乘地點將會是舊金山，預計會在幾個月內部署，已開放用戶加入等候名單。</p> <p>迄今美國已展開測試的無人駕駛計程車服務還有Waymo與特斯拉（Tesla），<a href="https://www.ithome.com.tw/news/164599" target="_blank">前者規模最大，已在鳳凰城及舊金山等地載客收費</a>，<a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉的Robotaxi</a>則是在德州奧斯汀（Austin）測試中。</p> </div></div></div>
2025/9/11 13:53作者陳曉莉https://www.ithome.com.tw/news/171129
AGP 8.12引入最佳化資源縮減，更精確移除未使用資源與程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android Gradle Plugin（AGP）8.12中新增<a href="https://android-developers.googleblog.com/2025/09/improve-app-performance-with-optimized-resource-shrinking.html">最佳化資源縮減（Optimized Resource Shrinking）</a>工作管線，讓資源縮減能與R8程式碼最佳化同時進行。對於已在專案中啟用R8工具與資源縮減的開發者，只要在gradle.properties開啟相關旗標，即可利用這項功能，進一步降低安裝檔大小，並改善啟動速度、算繪表現與應用程式無回應（Application Not Responding，ANR）的情況。</p> <p>R8是Android建置過程中，用於程式碼縮減、最佳化和混淆的工具，能移除未使用的程式碼、縮小應用程式大小，並提升執行效能。</p> <p>傳統流程中，AAPT2（Android Asset Packaging Tool 2）會替資源參照產生無條件保留規則（Unconditional Keep Rules），使得被資源參照的類別在後續R8縮減時一律保留，而R8完成程式碼縮減後，再掃描剩餘程式碼建構資源參照圖。由於這些規則偏保守，常連帶保留本可移除的程式碼與其參照的資源，降低縮減效果。</p> <p>新的整合流程由R8同步最佳化程式碼格式與資源參照，能精確找出僅由未使用程式碼參照的資源，並加以移除，不再依賴AAPT2產生的無條件保留規則，此作法同時為程式碼與資源提供更細緻的可刪除性資訊，提升刪除效率並降低錯誤保留的情況。Google建議在正式版（Release）建置使用，以避免影響除錯與測試。</p> <p>最佳化的實際效益會因專案規模與結構而不同，對於跨裝置共用大量資源的應用程式，新的整合流程可能帶來明顯的大小縮減，小型應用雖然空間節省有限，但仍能受惠於更一致的縮減結果。Google提供的資料顯示，部分專案的安裝包大小甚至可降低超過50％。</p> <p>AGP 8.12僅提供此功能作為選項，開發者需手動開啟，不過，從AGP 9.0開始，最佳化資源縮減就會成為預設行為，只要專案啟用了資源縮減，便自動使用新的整合流程。</p> </div></div></div>
2025/9/11 08:17作者李建興https://www.ithome.com.tw/news/171116
SpaceX以170億美元買下EchoStar的頻譜授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國老牌衛星通訊及網路服務供應商<a href="https://ir.echostar.com/news-releases/news-release-details/echostar-announces-spectrum-sale-and-commercial-agreement-spacex" target="_blank">EchoStar周一（9/8）宣布</a>，將以170億美元的價格將AWS-4及H-block頻譜出售給SpaceX。<a href="https://www.spacex.com/updates#dtc-gen2-spectrum" target="_blank">SpaceX則說</a>，此一交易將使得該公司得以開發及部署下一代的Starlink Direct to Cell衛星星座，提供全球的手機衛星通話服務。</p> <p>EchoStar成立於1980年，業務範圍涵蓋衛星電視服務、串流電視服務，以及衛星網路服務等，但近年來財務狀況不佳，今年第二季的營收為37.2億美元，比去年同期減少5.8%，並虧損了3億美元。</p> <p>此次雙方交易的AWS-4是位於2GHz左右的S頻段，可用於行動衛星服務（Mobile Satellite Service，MSS），覆蓋範圍廣且穿透力佳；H-block亦是接近2GHz的行動通訊頻譜，可搭配AWS-4以提升頻寬與容量，並同時相容於地面網路及衛星通訊。EchoStar所持有的這兩個頻譜授權缺乏大規模的商業應用，被視為EchoStar的沈睡資產。</p> <p>此外，美國聯邦通訊委員會（FCC）近年多次詢問EchoStar有否充分利用所持有的AWS-4與H-block頻譜，質疑該公司囤積頻譜。該交易將可同時替EchoStar的財務與監管困境解套。</p> <p>另一方面，SpaceX將藉由支付85億美元的現金，以及相當於85億美元的SpaceX股票，來買下EchoStar在美國所持有的AWS-4與H-block頻譜，以及其全球MSS頻譜授權，並將這些頻譜當作SpaceX專屬的手機直連通道。由於它們都屬於iPhone與Android手機早就支援的3GPP標準頻段，因此用戶只要能看到天空，就能使用現有手機直連Starlink，使用簡訊、語音及資料傳輸服務。</p> <p>SpaceX是自2024年1月開始部署具備Direct to Cell功能的Starlink衛星，當時可支援未改裝的手機發送簡訊，5月便可支援視訊通話，現在SpaceX已發射逾600顆Starlink Direct to Cell 衛星，成為地球上最大的4G覆蓋供應商，連結逾600萬名使用者。此外，Direct to Cell衛星星座也能透過Starlink雷射網路連結由逾8,000顆衛星組成的Starlink衛星星座，擴大其覆蓋率至全球。</p> <p>而新一代的Direct to Cell衛星將充分利用這些頻譜，搭載SpaceX自行研發的晶片與相控陣天線（phased array antenna），將可同時支援數千條空間波束並提供更高的頻寬，讓單顆衛星的吞吐能力提升20倍，整體系統容量增加100倍以上，在大多數環境下，這將使直連衛星的手機具備完整的5G連線能力，帶來接近地面LTE的體驗。</p> <p>目前SpaceX是與美國電信業者T-Mobile合作，<a href="https://www.ithome.com.tw/news/170264" target="_blank">在美國推出T-Satellite服務</a>，讓使用者可透過衛星網路來傳送簡訊及定位訊息。</p> </div></div></div>
2025/9/9 13:27作者陳曉莉https://www.ithome.com.tw/news/171068
Signal Android測試版安全備份功能上線，支援加密與付費擴充
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私傳訊軟體Signal在Android最新測試版推出<a href="https://signal.org/blog/introducing-secure-backups/">安全備份（Secure Backups）功能</a>，讓使用者能在手機遺失或損毀時保留訊息紀錄。該功能採自願啟用與端對端加密，會以每日自動更新的方式建立備份檔。</p> <p>免費方案可備份最近45天的媒體以及上限100 MiB的訊息本文，選擇每月1.99美元的付費訂閱，則可備份超過45天的媒體歷史，且備份容量上限為100 GB。官方表示，這是Signal第一次引入收費機制，理由在於媒體檔案儲存與傳輸成本高昂，作為不依賴廣告與資料變現的非營利組織，Signal必須以不同的方式分攤支出。</p> <p>安全備份的架構強調隱私優先，系統使用與群組功能相同的零知識（Zero Knowledge）技術，備份檔不會與帳號或付款資訊直接綁定，降低任何中介層級的可辨識性。每位使用者的核心控制點是一組64字元復原金鑰，僅在裝置端生成，不會儲存在伺服器，該金鑰是唯一可解鎖備份的憑證，一旦遺失將無法還原。</p> <p>Signal強調他們無法協助找回金鑰，建議使用者以紙本紀錄或可信的密碼管理器妥善保存。</p> <p>目前安全備份僅限安裝Android測試版的使用者，後續將逐步開放至iOS與桌面版。啟用功能後，系統每天會自動生成新的加密備份，並覆蓋前一日版本，只有持有復原金鑰的使用者本人能解密，訊息還原時將排除單次檢視訊息，與未來24小時內即將消失的訊息。由於備份以日為單位刷新，近24小時內刪除或設定將消失的內容不會保留，與使用者原本的操作意圖一致。</p> <p>Signal指出，這套架構只是第一步，未來將擴展更多選項，例如讓使用者自行決定備份存放位置，或支援跨平臺加密訊息歷史的傳輸，涵蓋Android、iOS與桌面端。這項更新解決了Signal長期存在的痛點，便是當裝置遺失時無法保留訊息，而透過安全備份，用戶得以在不犧牲隱私的前提下，確保重要對話與檔案能夠留存，也替之後的跨平臺備份鋪路。</p> </div></div></div>
2025/9/9 12:38作者李建興https://www.ithome.com.tw/news/171067
Google網路廣告科技被認壟斷歐盟重罰30億歐元川普揚言報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會上周基於Google廣告科技扭曲市場競爭違反歐盟反托拉斯法，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1992" target="_blank">對Google判罰29.5億歐元</a>。美國總統川普周日表示，一旦歐盟決心罰款，美國政府將祭301法案來「抵銷」損害。</p> <p><a href="https://www.ithome.com.tw/news/145181" target="_blank">這是歐盟於2021年6月正式啟動調查後的結果</a>。歐盟指Google偏私自家線上顯示型廣告服務，損害廣告技術服務競爭者、廣告主及線上出版商的利益。歐盟執委會命令Google終止自肥行為，並導入停止內部利益衝突的措施，並在60天內報告其計畫。</p> <p>Google在網站及行動App廣告業務提供了三種服務中介廣告主和出版商。它提供的2種廣告購買工具包括Google Ads和DV 360、出版商廣告管理伺服器DFP（DoubleClick For Publishers）及交易平臺AdX。</p> <p>歐盟執委會調查發現，Google至少從2014年到今天，都濫用其壟斷市場的出版商廣告工具DFP和廣告購買工具Google Ads和DV 360來自利。像是它的DFP廣告管理系統會告知AdX其對手底價，使AdX輕鬆贏得拍賣。其二，它的廣告購買工具Google Ads避免對手廣告交易平臺，而主要在自己的AdX投標，使後者成為最受歡迎的交易平臺。歐盟認為，Google有意偏袒自家AdX，排擠競爭平臺，進而鞏固AdX在廣告供應鏈的關鍵地位，也提高Google服務定價的能力。</p> <p>歐盟潔淨、公正和競爭轉型委員會副總裁Teresa Ribera說，Google必須提交認真的矯治計畫來解決利益衝突，若Google未能滿足要求，歐盟將施加激烈的矯治措施。</p> <p><a href="https://www.wsj.com/tech/google-fined-3-5-billion-by-eu-over-ad-tech-business-72521802" target="_blank">Google向華爾街日報發出聲明</a>，指該公司提供廣告主及銷售者服務的作法完全沒有危害競爭的手段，而且業界競爭者只有更多沒有更少。Google表示將提上訴。</p> <p>這不是歐盟第一次向美國科技公司索討巨額罰款，<a href="https://arstechnica.com/gadgets/2025/09/europe-slaps-google-with-2-95b-euro-fine-over-advertising-monopoly/" target="_blank">但是媒體Ars Technica分析</a>，這可能是歐盟第一次因此將面對美國政府報復。</p> <p>川普政府和歐盟在關稅問題上關係緊張，7月川普和歐盟主席Ursula Gertrud von der Leyen會談時，就歐盟對美國科技公司如 Meta、Google、Apple等的數位規範（如Digital Services Act、Digital Markets Act）進行討論，但歐盟表示無可退讓。川普揚言歐盟如果再持續為難美國公司，就會提高經濟制裁。</p> <p>果不其然，就在歐盟宣布罰款後，<a href="https://truthsocial.com/@realDonaldTrump/posts/115153232183118149" target="_blank">川普在其Truth Social 上說</a>，這是美國科技公司又一次受罰最高，這令人無法忍受。他說不能坐視優秀的美國人才受到此等待遇，如果真的發生，他將被迫啟動301條款以抵銷這些美國公司受到的不公平處罰。</p> <p>歐盟是否會因此改變其決定有待觀察。<a href="https://www.ithome.com.tw/news/170966" target="_blank">Google上周才獲得美國法院輕饒</a>，逃過強制出售拆分Chrome瀏覽器或Android平臺的命運。</p> </div></div></div>
2025/9/8 09:40作者林妍溱https://www.ithome.com.tw/news/171042
【資安日報】9月5日，大規模DDoS攻擊流量達到11.5 Tbps，再創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模分散式阻斷服務（DDoS）攻擊事故本週再度出現在新聞版面而受到關注，但本週資安業者Cloudflare揭露的事故相當特別，因為不只是流量再度增加，從5月的7.3 Tbps增加至11.5 Tbps，更值得留意的是，流量來源的判定可能也變得更加困難，因為，該公司一開始認為主要來自Google的雲端環境，後續才改口表示，實際上來自多家雲端供應商及物聯網裝置。</p> <p>在癱瘓網站運作的事故之外，國家級APT駭客的攻擊活動也是需要加以防範的對象，例如：俄羅斯駭客APT28在收信軟體Outlook部署後門程式NotDoor、北韓駭客Lazarus鎖定金融與加密貨幣產業的攻擊行動，還有中國駭客Silver Fox發動自帶驅動程式攻擊（BYOVD）的現象，都需要用戶提高警覺。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171004"><strong style="font-size: 22px;">Cloudflare阻擋11.5 Tbps超高流量DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gzxpms8XQAA9x6H.jpg" style="width: 300px; float: right;" /></a></p> <p>最近Cloudflare自動化防禦在短短數十秒內，攔下峰值11.5 Tbps的DDoS攻擊，封包速率最高達5.1 Bpps，官方說明這是一場UDP洪水攻擊，持續約35秒。此外，過去數周Cloudflare自動化防禦，也已持續攔截數百起超高流量（Hyper-volumetric）攻擊。</p> <p>事件最初Cloudflare在X提到攻擊流量「主要來自Google雲端」，但官方其後在社群更新，改口指出11.5 Tbps流量其實同時來自多個IoT裝置與多家雲端供應商，Google雲端只是其中之一，並非主要來源。</p> <p>因UDP無需連線交握，攻擊者能在極短時間內把龐大流量，推送邊界路由器或上游連線，讓正常連線擁塞、丟包，服務對外呈現不可用。這種攻擊多半鎖定L3/L4層，需要在網路邊界採取即時自動化偵測與限速策略，才能在秒級爆量時維持可用性。</p> <p><a href="https://www.ithome.com.tw/news/171016"><strong style="font-size: 22px;">輪胎大廠普利司通遭遇網路攻擊，生產受到影響</strong></a></p> <p>根據資安新聞網站Bleeping Computer、Dark Reading、Gbhackers的報導，輪胎大廠普利司通北美分公司（Bridgestone Americas，BSA）遭遇網路攻擊，影響該公司的工廠營運。</p> <p>這波網路攻擊事故的揭露，最早在9月2日美國喬治亞州電視臺WRDW-TV的報導指出，BSA有兩座位於艾坎郡（Aiken County）的工廠遭遇局部的資安事故，影響部分生產設備。BSA全面啟動調查，並表示情況已經受到控制。雖然該公司透露他們的業務運作正常，但也指出工作受到影響的人員，可選擇留在公司上班執行預防性維護，或是回家放無薪假。此外，該公司初步認為客戶資料未受到波及。</p> <p>隔天加拿大新聞網站MonJoliette報導指出，BSA位於魁北克省喬利埃特的輪胎製造工廠，也因網路攻擊暫停營運，喬利埃特市長Pierre-Luc Bellerose透露，這起事故恐影響普利司通北美所有工廠，在喬利埃特市估計有1,400名員工受到影響，這起事故的整體影響範圍及復原時間，目前仍不得而知。BSA向該新聞網站證實，他們正著手調查，現階段客戶資料尚未受到攻擊影響。</p> <p><a href="https://www.ithome.com.tw/news/171020"><strong style="font-size: 22px;">俄羅斯駭客APT28鎖定北約成員國而來，對收信軟體Outlook用戶部署後門NotDoor</strong></a></p> <p>兩年前俄羅斯駭客APT28鎖定收信軟體Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），針對北約組織（NATO）成員國下手，目的是挾持Exchange電子郵件信箱帳號，如今這些駭客使用新的後門程式犯案，引起資安業者的注意。</p> <p>資安業者S2 Grupo指出，APT28近期使用名為NotDoor的後門程式，對北約成員國的企業組織發動攻擊，此後門實際上是Outlook的VBA巨集，功能是監控傳入的電子郵件，一旦出現特定的文字，就會試圖接收攻擊者的命令，然後竊取資料、上傳檔案，或是在受害電腦執行命令。</p> <p>為了迴邀偵測，駭客濫用微軟檔案共享服務OneDrive的應用程式執行檔，透過DLL側載手法載入惡意檔案SSPICLI.dll，於受害電腦植入NotDoor，並停用巨集防護機制。過程中惡意程式載入工具會執行經Base64處理的PowerShell命令，以便達成目的。</p> <p><a href="https://www.ithome.com.tw/news/171005"><strong style="font-size: 22px;">北韓駭客Lazarus運用PondRAT、ThemeForestRAT、RemotePE對金融與加密貨幣產業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-attack-overview.png" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的北韓駭客組織Lazarus，繼今年5月傳出攻擊臺灣加密貨幣交易所幣託（BitoPro）引起關注，最近有資安業者針對駭客使用的作案工具公布調查結果，指出Lazarus旗下團隊去年先後使用3款遠端存取木馬（RAT）犯案，使得攻擊行動變得更加隱密且難以捉摸。</p> <p>資安業者Fox-IT、NCC Group聯手，在最近幾年針對北韓駭客組織Lazarus旗下的特定團體進行追蹤，發現這些駭客涉嫌犯下多起資安事故，主要目標是金融與加密貨幣產業，特別的是，這些駭客在活動裡會運用多款RAT木馬，包括：PondRAT、ThemeForestRAT，以及RemotePE。</p> <p>在去年一起針對去中心化金融（DeFi）組織的資安事故裡，駭客先是在Telegram假冒貿易公司的員工，透過假的會議網站接觸員工，接著，該名員工的電腦遭到入侵，被植入PondRAT，雖然Fox-IT推測駭客使用了Chrome零時差漏洞，但無法確認入侵的手法。</p> <p><a href="https://www.ithome.com.tw/news/170993"><strong style="font-size: 22px;">中國駭客Silver Fox濫用微軟簽署的驅動程式，散布ValleyRAT木馬</strong></a></p> <p>資安公司Check Point研究人員揭露，中國APT駭客組織Silver Fox在近期攻擊活動中，利用一款由微軟簽署，卻未列入任何封鎖清單的WatchDog Antimalware驅動程式，繞過Windows10與11的安全機制，進一步關閉防毒與EDR等防護工具，最後植入遠端存取木馬ValleyRAT。</p> <p>研究人員觀察到，攻擊者準備了兩種驅動程式，以因應不同版本的Windows版本，在Windows 7等舊版系統，他們載入早已知名且被列管的Zemana驅動程式ZAM.exe 3.0.0.000，而在新版Windows10與11上，則使用之前未被發現有問題的WatchDog驅動程式amsdk.sys 1.0.600。兩者皆能繞過作業系統的受保護程序（PP/PPL）機制，直接終止EDR或防毒軟體的關鍵服務。當安全工具被迫關閉後，惡意程式得以不受干擾地進行下一步操作。</p> <p>駭客攻擊流程通常由多功能惡意載入器啟動，惡意載入器在執行時會先檢查是否處於虛擬環境或沙箱，以規避分析。當判斷為安全環境，便會載入相應驅動，進行程序終止，再下載並啟動ValleyRAT。研究人員也指出，惡意程式具備持久化機制，確保受害電腦重新開機後仍會繼續執行。</p> <p><a href="https://www.ithome.com.tw/news/170855"><strong style="font-size: 22px;">Anatsa安卓金融木馬再擴散，鎖定攻擊831款財務與加密貨幣App</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anatsa_2025_figure_2.png" style="width: 300px; float: right;" /></a>資安公司Zscaler研究團隊指出，Android銀行木馬Anatsa（又稱TeaBot）持續活躍，並透過偽裝成文件閱讀器等工具型應用程式上架至Google Play，以規避檢測並吸引用戶下載。最新研究顯示，Anatsa目前針對的金融與加密貨幣應用已達831款，顯示其投遞手法與反分析技術再度升級。</p> <p>為避免被發現，Anatsa在啟動前會先檢查裝置是否為模擬器或測試環境，如果發現異常，就只顯示檔案管理介面，維持正常App的假象。一旦確認環境安全，便會釋出木馬惡意酬載進一步展開行動。</p> <p>核心攻擊手法在於竊取金融憑證，當Anatsa偵測到手機內安裝了特定銀行或交易App時，會從C2伺服器下載與該App介面相似的偽造登入頁面，誘騙使用者輸入帳號與密碼，再將這些資訊回傳給攻擊者。研究人員指出，目前Anatsa能對831款金融與加密服務進行此類攻擊，覆蓋歐洲與美國，且本輪新增納入德國與韓國，並擴及多個加密貨幣平臺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-sitecore-zero-day-flaw-to-deploy-backdoors/">Sitecore零時差漏洞遭到利用，攻擊者用於植入後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/181886/hacking/u-s-cisa-adds-tp-link-archer-c7eu-and-tl-wr841n-flaws-to-its-known-exploited-vulnerabilities-catalog.html">美國指出TP-Link Archer C7、TL-WR841N已知漏洞遭到利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/ghostredirector-hacks-65-windows.html">駭客組織GhostRedirector鎖定65臺伺服器下手，散布後門程式Rungan、IIS模組Gamshen</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/noisybear-exploits-zip-files/">駭客組織NoisyBear透過ZIP檔案散布PowerShell載入工具，並進行資料外洩</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/article/170892"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜企業資安人力】三分之一企業有意招募資安人才，服務業需求程度遠超以往</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-5-資安人力-600-2-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-5-%E8%B3%87%E5%AE%89%E4%BA%BA%E5%8A%9B-600-2-PNG.png" style="width: 300px; float: right;" /></a>儘管生成式AI興起後，預期有助於緩解資安產業的人力不足，但企業防守方的資安人力剛性需求依舊存在。根據iThome 2025年資安大調查，以臺灣大型企業而言，今年要招募資安人才的企業，整體比例為3成2，也就是每3家企業就有1家企業要徵求資安人才，需求不低。若與近三年概況相比，自2022年首次突破3成比例以來，2023年增至3成7，2024年更是來到4成2的比例，這也突顯去年多家企業大舉招聘資安人才後，今年需求有放緩的態勢。</p> <p>從產業別來看，最特別是服務業，今年有4成服務業要招募資安人才，等於每5家企業就有2家企業要找資安人才，顯現出與過往不同的態勢，高科技業亦有3成3比例的水準；不過，金融招募人才的企業比例大幅降低，從前幾年高達7成降至今年的5成，至於醫療業與一般製造業的比例則在2成左右或不到。</p> <p>從資安人力數量需求來看，今年的人力剛性需求更是體現於此，去年臺灣大型企業平均擴編了約2.7名資安人員，而今年預計將再增加2.9名，這顯示出資安人力需求仍在，需求增長率約6％。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/apple-seeks-researchers-for-2026-iphone-security-program/">蘋果開放申請2026年iPhone資安研究專案</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171008"><strong>【9月4日】AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> </div></div></div>
2025/9/5 11:50作者周峻佑https://www.ithome.com.tw/news/171021
【資安日報】9月4日，AI自動化資安防禦框架HexStrike-AI被用於零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞主要與人工智慧有關，其中最受到關注的部分，是資安業者Check Point揭露駭客濫用滲透測試自動化平臺HexStrike-AI的情況，由於這款工具發布不久就被用於將漏洞打造成武器，並用於實際攻擊行動，這樣的現象相當值得留意，因為駭客可藉由這類工具大幅縮短準備時間，也能藉由自動化大規模掃描，廣泛尋找下手目標。</p> <p>另一項消息是涉及大型語言模型（LLM）不設防的現象，思科透過物聯網搜尋引擎發現，全球有超過1千臺Ollama伺服器曝露在網際網路上，可公開存取，其中有近2成模型可在無須通過身分驗證的情況下，回應請求並執行模型推論，而形成可被濫用的攻擊面。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171001"><strong style="font-size: 22px;">AI滲透測試自動化平臺HexStrike-AI遭濫用，駭客快速將Citrix NetScaler零時差漏洞用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hexstrike-AI-pic-6.jpg" style="width: 300px; float: right;" /></a>在資安攻防當中，生成式AI已具有舉足輕重的地位，許多資安防護解決方案都導入這種技術，雖然導入AI能夠協助資安人員更有效率地處理相關工作，然而一旦這類工具遭到駭客利用，也同樣可能導致資安威脅加劇。</p> <p>例如，號稱能整合超過150款資安工具，以及12款AI代理的自動化資安防禦框架Hexstrike-AI，就是這種型態的例子，資安業者Check Point發現，在這款框架首度推出正式版本（編按：應為8月中旬發布的6.0版）之後不久，地下論壇出現嘗試拿來利用零時差漏洞的討論，甚至用於實際的攻擊行動。</p> <p>然而，這樣的高度自動化工具，也成為駭客試圖利用的目標。Check Point發現，在Hexstrike-AI正式推出數個小時之後，暗網的聊天室有駭客嘗試拿來追蹤近期公布的零時差漏洞，後續更用於實際攻擊行動，在受害系統植入Web Shell，以便遠端進行未經身分驗證的程式碼執行。Check Point強調，這次駭客運用的漏洞其實很複雜，正常來說需要相當高深的技術才能利用，但駭客聲稱，原本需要好幾天的時間才能找到利用漏洞的方法，他們借助Hexstrike-AI之後，只花費不到10分鐘。</p> <p><a href="https://www.ithome.com.tw/news/170999"><strong style="font-size: 22px;">逾千臺Ollama伺服器曝露，近2成無須通過認證就能用於執行模型推論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/llm_vulnerability_checker_design.png" style="width: 300px; float: right;" /></a>思科近日透過Shodan搜尋引擎搭配自製Python工具，檢測到1,139臺Ollama伺服器對外開放，其中214臺能在無須任何認證的情況下，回應請求並執行模型推論，約占18.8％。這項調查結果顯示，不少企業與個人部署大型語言模型（LLM）時忽視存取控制與網路隔離，形成可被濫用的攻擊面。</p> <p>研究人員採取被動式檢測，以降低觸發入侵偵測或侵犯使用政策的風險。第一階段使用Shodan查詢，鎖定Ollama常見的11434埠號與服務橫幅，再結合關鍵字比對，研究人員發現，許多實例在HTTP標頭中顯示Server為Uvicorn，這一指標被用來強化指紋辨識。第二階段，研究團隊以極簡測試，請求驗證伺服器是否要求認證，當伺服器回應HTTP 200並正確回覆測試結果，表示可在未經認證下接受並執行模型推論請求，安全風險極高。</p> <p>結果顯示，這些外曝伺服器分布廣泛，美國占36.6％，中國占22.5％，德國占8.9％，其中約8成雖未載入模型，但仍能對外接受連線，潛在風險包括被未授權上傳模型、配置修改或進行資源耗竭攻擊。另一項值得注意的是，88.89％端點使用OpenAI相容路徑，如v1/chat/completions，而這樣的標準化雖有利於應用整合，但也使攻擊者能快速橫向濫用不同平臺。</p> <p><a href="https://www.ithome.com.tw/news/170994"><strong style="font-size: 22px;">5年前公開的TP-Link無線Wi-Fi訊號延伸器漏洞遭到利用</strong></a></p> <p>9月2日美國網路安全暨基礎設施安全局（CISA）提出警告，TP-Link無線Wi-Fi訊號延伸器資安漏洞CVE-2020-24363已遭利用，將其列入已遭利用的漏洞名單（KEV），要求聯邦機構限期在9月23日前完成修補。</p> <p>此漏洞影響無線Wi-Fi訊號延伸器TL-WA855RE，當時TP-Link已發布相關韌體修補，攻擊者有機會在未經授權的情況下，發出特製的TDDP_RESET POST請求，讓延伸器重開機並恢復原廠設定，並設置新的管理員密碼以便進行不少存取控制，CVSS風險為8.8分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/threat-actors-abuse-xs-grok-ai-to-spread-malicious-links/">社群網站X的Grok AI遭濫用，駭客以此散布惡意連結</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/saas-giant-workiva-discloses-data-breach-after-salesforce-attack/">SaaS業者Workiva客戶資料外洩，攻擊者存取Salesforce系統得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/onedrive-phishing-attack/">OneDrive網釣鎖定高階主管而來，假借薪資為幌子，意圖竊取帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/android-droppers-now-deliver-sms.html">安卓惡意軟體載入工具投放金融木馬、間諜軟體、竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-sues-robot-toy-maker-for-exposing-childrens-data-to-chinese-devs/">美國指控機器人玩具製造商Apitor將孩童資料送至中國</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170996"><strong style="font-size: 22px;">Google發布安卓9月例行更新，修補112項漏洞</strong></a></p> <p>9月2日Google發布安卓作業系統的每月例行更新，修補112個資安漏洞。值得留意的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。雖然Google公布的資訊相當有限，無從得知其他細節，不過有鑑於這些漏洞被評為重大風險，代表可能相當容易利用，且影響非常嚴重，用戶還是要儘速套用相關更新，也有待後續有研究人員進一步揭露其他資訊。</p> <p>在上述漏洞之外，本次有兩項高風險漏洞被用於針對性攻擊，這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，攻擊者利用的過程不需額外的權限，也無需使用者互動。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170990"><strong style="font-size: 22px;">林宜敬接任數發部長，續推AI產業發展、強化資安韌性、打詐，加速數位政府建設</strong></a></p> <p>9月3日數發部長林宜敬舉行媒體茶敘，強調將延續數發部先前的施政方針，持續推動AI產業、資安韌性、打詐等政策針，作為數位政府的推手，數發部將加速數位憑證皮夾等數位政府建設。</p> <p>林宜敬過去擔任數發部次長時，多次代表數發部推動AI產業生態、打詐、資通安全等活動，而在接替黃彥男帶領數發部，林宜敬直言未來將會延續數發部目前推動的政策，持續推動國內AI產業發展，強化資安韌性，與平臺業者合作祭出各種打詐措施。</p> <p>首先是AI方面，數發部已研擬AI基本法草案，近期獲得行政院通過，將送立法院審查。另外，數發部也扮演火車頭的角色，除了推動政府公務機關導入AI，也推動數位經濟發展，特別是AI的產業化，以及產業的AI化。</p> <p><a href="https://www.ithome.com.tw/news/171003"><strong style="font-size: 22px;">Varonis買下郵件安全業者SlashNext</strong></a></p> <p>專注於資料安全與治理的美國資安業者Varonis Systems於周二（9月2日）宣布，已買下AI原生電子郵件安全業者SlashNext，外傳該交易最多價值1.5億美元。</p> <p>針對買下SlashNext的動機，Varonis則說，SlashNext所採用的預測性AI模型能透過電腦視覺、自然語言處理與虛擬瀏覽器等技術，以避免使用者受到社交工程的攻擊；而且SlashNext擁有全球最好的檢測引擎，在Tolly Group針對雲端電子郵件安全供應商所進行的測試中，SlashNext的整體檢測準確率高達99%，對商業電子郵件詐騙（BEC）及QR code攻擊的檢測率更是高達100%，領先Abnormal Security與Mimecast等競爭對手。</p> <p><a href="https://www.ithome.com.tw/news/170992"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜新興資安投資】IT供應鏈風險管理達兩成，企業瀏覽器與雲端災難復原漸受重視</strong></a></p> <p>為了應對日益嚴峻的資安威脅，新興解決方案亦受企業看重，在2025年iThome CIO暨資安大調查中，我們不只觀察臺灣大型企業的資安投資重點項目，也特別關注對於新興方案的採用趨勢。</p> <p>在這次新興資安投資重點排行中，今年我們特別將調查結果畫分3大類，以保護領域的前五名而言，第一名是API Protection，要投資此方案的企業比例已達28％；名列第二的OT安全算是部分產業專屬議題，有4成醫療業、3成高科技製造看重，但金融業為0，因此整體平均約2成。值得注意的是，SSE/SASE的比例僅有15％，比例不算高，由於市場上已有相當多業者聚焦於此，後續市場採用動向值得關注。</p> <p><a href="https://s4.itho.me/sites/default/files/files/1249-封面-4-新興投資-600-1-BIG-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/1249-%E5%B0%81%E9%9D%A2-4-%E6%96%B0%E8%88%88%E6%8A%95%E8%B3%87-600-1-BIG-PNG.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170992"><strong>【9月3日】資安業者證實遭Salesloft Drift供應鏈攻擊事故波及，雲端CRM系統資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170956"><strong>【9月2日】企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> </div></div></div>
2025/9/4 17:15作者周峻佑https://www.ithome.com.tw/news/171008
Google發布安卓9月例行更新，修補已被積極利用的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月2日Google發布安卓作業系統的每月例行更新，<a href="https://source.android.com/docs/security/bulletin/2025-09-01">修補112個資安漏洞</a>，並指出其中有2個已遭到積極利用。</p> <p>這些漏洞是CVE-2025-38352、CVE-2025-48543，皆能被用於提升權限，其中，CVE-2025-38352是本機權限提升漏洞，出現在作業系統的核心，為高風險弱點，Google提及，攻擊者利用的過程不需額外的權限，也無需使用者互動。不過，這項漏洞並非Google首度揭露，最早在今年7月公布，該漏洞存在於Linux核心的posix-cpu-timers模組，涉及條件競爭（Race Condition），<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-38352">CVSS風險值為7.4</a>。</p> <p>另一個遭到利用的漏洞CVE-2025-48543，同時出現在安卓執行環境（Runtime），以及Google Play的ART元件，被評為高風險層級。攻擊者可用於提升本機權限，而且無須事先取得特定的執行權限，也不需要使用者互動。</p> <p>附帶一提的是，這次修補的漏洞有4個為重大層級，這些是：安卓系統的遠端程式碼執行（RCE）漏洞CVE-2025-48539，以及存在於高通元件的CVE-2025-21450、CVE-2025-21483、CVE-2025-27034。</p> </div></div></div>
2025/9/4 11:07作者周峻佑https://www.ithome.com.tw/news/170996
OpenAI開放免費用戶使用ChatGPT Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI今天（9/4）正式<a href="https://x.com/OpenAI/status/1963329936368046111" target="_blank">開放免費用戶使用ChatGPT專案服務ChatGPT Projects</a>。</p> <p>Projects是OpenAI於去年底<a href="https://www.ithome.com.tw/news/166526" target="_blank">發表的服務</a>，定義為<a href="https://help.openai.com/en/articles/10169521-projects-in-chatgpt" target="_blank">智慧工作空間</a>，當使用者發起一個專案後，即可於同一個專案空間存放聊天內容、上傳檔案，以及添加客製化的指令，它們多半圍繞在同一個主題，而且具備記憶及脈絡能力，適合寫作、研究或規畫等重複並不斷發展的任務。</p> <p>例如使用者可以用它來寫論文，制定行銷計畫，或是籌備婚禮，而且可於手機與電腦上切換，也能針對每個專案設定不同的顏色及圖示，以及個別的AI回應風格。</p> <p>現在免費用戶最多可上傳5個文件至單一專案中，Plus用戶可上傳25個，Pro用戶可上傳40個。初期先支援網頁與Android版，未來幾天便會支援iOS平臺。</p> </div></div></div>
2025/9/4 12:27作者陳曉莉https://www.ithome.com.tw/news/171000
法官裁定Google不必剝離Chrome或Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國地方法院法官Amit Mehta周二（9/2）<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1436.0.pdf" target="_blank">針對Google反壟斷一案作出裁決</a>，指出Google無需拆分Chrome瀏覽器或Android平臺，但必須與競爭對手分享搜尋索引及與用戶的互動資料。當天Google的盤後股價上漲了6.57%，達225.92美元。</p> <p>這起案件始於2020年，當時美國司法部於11州針對Google<a href="https://www.ithome.com.tw/news/140636" target="_blank">提出反托拉斯訴訟</a>，同年另有38州也提出訴訟，主要皆是指控Google搜尋壟斷市場，隨後法院將兩案合併審理，<a href="https://www.ithome.com.tw/news/164309" target="_blank">並在2024年8月判決Google敗訴</a>，指稱Google透過獨家通路協議，於一般搜尋及一般文字廣告上維持壟斷地位。</p> <p>在進入案件的補救措施審理階段之後，<a href="https://www.ithome.com.tw/news/166148" target="_blank">美國司法部甚至提議</a>Google出售Chrome或Android業務，以有效解決Google的壟斷行為。當時Google認為此舉是在玩火，可能會導致Chromium專案開始收費，或是無法維持該專案的運作，進而危及整個瀏覽器產業。</p> <p>此外，擁有全球近7成市占率的Chrome瀏覽器<a href="https://www.ithome.com.tw/news/168619" target="_blank">令許多業者躍躍欲試</a>，包括OpenAI、Perplexity AI、Yahoo與DuckDuckGo等業者都對Chrome有興趣，<a href="https://www.ithome.com.tw/news/170585" target="_blank">Perplexity AI</a>甚至喊出了345億美元的價碼。</p> <p>然而，Mehta表示，Google的主要違法行為在於透過預設協議排除競爭者，而非Chrome或Android本身的存在，補救措施必須與確立的違法行為直接相關，拆分是過度且不成比例的措施。此外，Mehta也認為，強制剝離Chrome或Android會對消費者、合作夥伴及整個生態體系造成巨大干擾，可能破壞數以億計的裝置穩定性及相容性，不符合「恢復競爭」的必要性。</p> <p>因此，Mehta僅要求Google不得強制合作夥伴排除其它搜尋或AI產品；也必須向合格的競爭者提供搜尋索引及與用戶互動的資料，但不包含廣告資料；要求Google公開披露廣告拍賣的重大變更，防止私下調整價格；同時成立技術委員會以協助Google執行最終裁定，有效期為6年。</p> <p><a href="https://x.com/AAGSlater/status/1963001522641633652" target="_blank">司法部負責反托拉斯的助理司法部長Abigail Slater指出</a>，網路搜尋的競爭已經凍結了20年，Google的策略排除了競爭，損及消費者並減緩創新，此次的補求命令意謂著法院也同意應該恢復長期被壟斷的搜尋市場競爭，司法部正在評估法官所裁定的內容，以決定是否採取其它行動。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/doj-search-decision-sept-2025/" target="_blank">Google則說</a>，法院承認了生成式AI將帶來更多獲取資訊的方式，且Google反對法院在去年8月的判決；新的裁決限制了Google散布服務的方式，還要求Google與競爭者分享搜尋資料，他們擔心這可能會影響用戶隱私，也正在仔細審查裁決內容。</p> <p>市場認為這對Google而言是項勝利，<a href="https://www.ithome.com.tw/news/162634" target="_blank">代表它可以繼續每年支付龐大金額</a>以成為各家瀏覽器的預設搜尋引擎，只要不要禁止這些瀏覽器同時提供其它搜尋引擎選項即可。</p> </div></div></div>
2025/9/3 12:14作者陳曉莉https://www.ithome.com.tw/news/170966
【資安日報】9月2日，企業網站「聯絡我們」表單成駭客跳脫網釣制式流程的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客接觸企業組織最常見的管道，莫過於電子郵件，但如今有人使用相當不尋常的做法引起資安業者的注意，因為這些駭客先是填寫企業網站上的「聯絡我們」表單，讓企業寄送電子郵件進行後續的溝通，使得相關電子郵件難以被視為有害，然後待機會成熟，駭客才發動第二波網釣，寄送惡意程式。</p> <p>但在網釣手法的變化之外，駭客之間的結盟方式也出現新的做法，最近有專門鎖定亞太地區及中亞國家政府機關的駭客組織，但特別的是，這組人馬同時有使用簡體中文和俄文的駭客，這樣的情況並不常見。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170950"><strong style="font-size: 22px;">企業網站「聯絡我們」表單引狼入室，惡意軟體MixShell網釣鎖定美國供應鏈製造商</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TPOG52515L-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/TPOG52515L-image2.png" style="width: 300px; float: right;" /></a></p> <p>一般來說，攻擊者會透過電子郵件接觸受害者，但也有人反其道而行，透過企業組織提供的聯絡管道，讓他們透過電子郵件回覆，使得攻擊者與目標組織之間的往來，變得更難被察覺異常。</p> <p>例如，最近資安業者Check Point揭露的攻擊行動ZipLine，就是這種型態的例子。駭客鎖定製造業供應鏈當中的重要公司，藉由看似合法的業務互動，意圖散布惡意軟體。他們透過目標公司網站上公開的「聯絡我們（Contact Us）」表單，以此跳脫一般釣魚攻擊的制式流程，先由目標企業組織對攻擊者主動寄送電子郵件，進而建立信任。</p> <p>攻擊者在經營數週的信任關係之後，才會假借AI轉型等商業發展議題為幌子，向受害企業寄送惡意ZIP壓縮檔，從而在受害組織植入惡意程式MixShell的有效酬載。此有效酬載通常以ZIP檔型式散布，其二進位資料當中嵌入了PowerShell指令碼，隨後攻擊者透過載入工具，於記憶體內解開指令碼並執行。</p> <p><a href="https://www.ithome.com.tw/news/170955"><strong style="font-size: 22px;">俄羅斯、中國駭客組成網路犯罪集團ShadowSilk，利用滲透測試工具和已知漏洞，入侵中亞、亞太地區政府機關</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowSilk-1-4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowSilk-1-4.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Group-IB揭露從2023年開始的跨國駭客組織攻擊活動ShadowSilk，攻擊者鎖定亞太地區及中亞國家的政府機關而來，意圖進行資料外洩，迄今他們已經確認有35個組織受害，大部分為中亞國家的政府部門。這些駭客使用多樣化的工具包從事活動，包含已知漏洞、滲透測試工具，以及用來控制受害設備的網頁管理介面。</p> <p>特別的是，這些駭客旗下有兩個團隊，並使用簡體中文及俄文，不過，兩組人馬究竟如何合作，他們合作的層級與性質，目前還無法完全確定，Group-IB推測，俄國駭客著重惡意程式開發，以及建立初始存取管道；中國駭客則負責後續活動及竊取資料。此外，這些駭客使用的基礎設施，與名為YoroTrooper駭客組織有所交集。Group-IB提及，這些駭客的活動，其中一部分是今年1月資安業者Seqrite揭露的Silent Lynx攻擊事故，當時這些駭客針對吉爾吉斯與土庫曼而來。</p> <p>對此，Group-IB與吉爾吉斯電腦緊急應變團隊（CERT-KG）聯手，取得駭客伺服器的關鍵螢幕截圖，從而揭露多起大規模攻擊，以及該組織的戰略、手段、流程（TTP），並釐清駭客成員組成、使用的語言、來源國家等細節。</p> <p><a href="https://www.ithome.com.tw/news/170938"><strong style="font-size: 22px;">微軟VS Code市集新發布的延伸套件命名，未禁止沿用已下架套件名稱，恐遭攻擊者濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vs-code-loophole-figure_7-1478x614.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vs-code-loophole-figure_7-1478x614.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ReversingLabs指出，他們在今年6月發現新的VS Code惡意延伸套件，可被用於引發勒索軟體攻擊。但引起該公司注意的地方在於，這個惡意套件的名稱與3個月前出現的套件完全相同，他們檢視微軟相關的文件，這樣的情況不應該發生，經過調查後，確認這是存在於VS Code市集的弱點，能讓攻擊者重新利用已下架的套件名稱。</p> <p>今年6月出現的惡意套件名為ahbanC.shiba，與今年3月出現的套件ahban.shiba名稱相同，都是「shiba」，差別在於開發者的帳號名稱不同，但ahbanC.shiba功能與先前揭露的ahban.shiba、ahban.cychelloworld類似，都是在使用者安裝之後，電腦後續就有可能下載勒索軟體並執行。</p> <p>究竟攻擊者如何得逞？ReversingLabs指出，只要前一個開發人員選擇移除（Remove），其他開發者就能重新使用相同名稱上架新套件。這意味著，一旦有熱門套件不再維護，開發者將其從市集移除，那麼攻擊者很快就會搶下它的名稱，以便進一步運用。</p> <p><a href="https://www.ithome.com.tw/news/170951"><strong style="font-size: 22px;">不只Vibe Coding，駭客正把Claude Code用於Vibe Hacking</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a474b3555a5486e3b8c0fa97434b27924a11b8d5-2756x5840.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a474b3555a5486e3b8c0fa97434b27924a11b8d5-2756x5840.png" style="width: 300px; float: right;" /></a></p> <p>Anthropic公布最新人工智慧威脅情報，指出人工智慧代理已被駭客武器化，不再只是提供建議，而是直接參與攻擊行動。報告顯示，Claude Code被濫用於針對政府、醫療、緊急應變與宗教機構的攻擊，至少影響17個組織，勒索金額甚至超過50萬美元。這份報告同時揭露北韓利用人工智慧擴大遠距工作詐騙，以及以人工智慧生成勒索軟體並販售的案例，突顯人工智慧已被濫用於攻擊實際操作。</p> <p>所謂Vibe Hacking，是把人工智慧代理置入攻擊鏈，讓模型不僅只是提供步驟而是代為執行。Anthropic將本波行動編號為GTG-2002，攻擊者在Kali Linux上以Claude Code當作整合攻擊平臺，對目標展開資料勒索，其作法從開放來源情報與對外服務掃描開始，利用Claude Code的終端環境自動化偵察、憑證蒐集、網路滲透與橫向移動，並讓模型在戰術與策略層面下決定，例如入侵方法、最值得外洩的資料、貼近人性的勒索話術等。部分勒索要求超過50萬美元，採不加密以外洩相逼的模式，利用壓力操弄受害者以期資料即時變現。</p> <p><a href="https://www.ithome.com.tw/news/170937"><strong style="font-size: 22px;">Salesloft Drift供應鏈攻擊出現新的受害者，資安業者Zscaler傳出資料外洩</strong></a></p> <p>近來Salesloft Drift聊天機器人引發資料外洩事件持續擴散，美國雲端安全業者Zscaler發布公告，證實遭到和Salesloft Drift相關的供應鏈攻擊，導致Salesforce系統存放的客戶資料外流。</p> <p>根據Zscaler公告，該公司得知使用的Salesloft Drift遭到攻擊，原因出在它串聯的OAuth權杖被竊。這使攻擊者得以存取與 Salesloft Drift 整合的Salesforce環境，包括外部客戶使用的Salesforce系統。Zscaler經過調查，相信非授權攻擊者成功存取了其Salesforce系統內的部份客戶資料。</p> <p>外洩的客戶資料型態包括姓名、公司電子郵件信箱、職稱、電話、Zscaler產品授權和商業資訊、特定支援案件的明文內容，但不包含附件、檔案和圖片。該公司也強調，本事件影響僅限Salesforce系統，不影響Zscaler產品、服務或底層系統和基礎架構。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/brokewell-android-malware-delivered-through-fake-tradingview-ads/">安卓惡意軟體Brokewell透過假的TradingView廣告散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tamperedchef-infostealer-delivered-through-fraudulent-pdf-editor/">竊資軟體TamperedChef假借冒牌PDF編輯工具從事感染</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/scarcruft-uses-rokrat-malware-in.html">韓國學術機構遭到鎖定，北韓駭客APT37企圖植入惡意軟體RokRAT</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170914"><strong style="font-size: 22px;">K8s外掛Capsule驗證缺陷允許任意標籤注入，可破壞多租戶隔離</strong></a></p> <p>Kubernetes多租戶外掛Capsule被披露存在驗證邏輯漏洞CVE-2025-55205，允許已驗證的租戶使用者對未帶租戶標籤的系統命名空間注入任意標籤，可能導致多租戶隔離失效。受影響版本為0.10.3及更早版本，官方已於0.10.4修補。</p> <p>該漏洞源自命名空間驗證Webhook的批次修改路徑判斷，僅在目標命名空間已含capsule.clastix.io/tenant標籤時才核對租戶擁有權，而kube-system、default與capsule-system等預設不含該標籤，導致只要具有批次修改命名空間（Patch amespace）權限，就能先行新增自訂標籤而不被攔截，邏輯上形成空窗，攻擊複雜度與權限門檻都偏低。也就是說，檢查條件仰賴已存在租戶標籤的這個前提之上，一旦前提不成立便可能受到攻擊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ibm-watsonx-vulnerability/">IBM Watsonx存在高風險漏洞，可被用於SQL注入攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/google-web-designer-vulnerability/">Google Web Designer存在漏洞，攻擊者有機會控制用戶端系統</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/article/170878"><strong style="font-size: 22px;">【iThome 2025企業資安大調查｜企業資安預算】資安預算平均金額突破2千萬創新高，占IT預算比例快要1成</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1249-封面-2-資安花費-600-1-PNG-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1249-%E5%B0%81%E9%9D%A2-2-%E8%B3%87%E5%AE%89%E8%8A%B1%E8%B2%BB-600-1-PNG-2.png" style="width: 300px; float: right;" /></a></p> <p>今年臺灣大型企業的平均資安投資預算，已突破2千萬元大關，與3年前相比，幾乎呈現整體投資翻倍成長的態勢。從歷年iThome資安大調查數據來看，前幾年經歷疫情期間的投資緊縮後，2022年底大型企業資安實際支出平均金額首次突破千萬元，後續幾年投資金額是節節攀升，從2022年底的1,193萬元、2023年底的1,204萬元，今年iThome 2025 CIO暨資安大調查的結果更是顯現，企業在2024年底的資安實際平均支出，已經來到1,631萬元新高。</p> <p>而且2025年，大型企業的資安投資預算仍將持續攀升，平均可望達到2,009萬元，顯示今年資安投資成長率仍然穩定的向上，再有2成3的增幅。這也反映臺灣大型企業對資安投資的重視，這三年以來，都呈現逐年增加的趨勢，而且，資安長期望的今年理想資安預算更高，預估2,579萬元才夠用。</p> <p>以各產業來看，金融業的資安預算年年居各產業之冠，今年亦不例外，但從資安投資成長率來看，今年最高是醫療業（增加5成7），金融業、一般製造業、服務業次之，這些產業的成長率都能達兩成以上，突顯這些產業對資安的重視程度持續升高。</p> <p><a href="https://www.ithome.com.tw/news/170848"><strong style="font-size: 22px;">Anthropic開始預覽Claude for Chrome，瀏覽器AI代理人時代來臨</strong></a></p> <p>AI新創Anthropic宣布，正式展開Claude for Chrome瀏覽器擴充程式的研究預覽，率先向1,000名Max方案用戶開放候補名單。這項新功能讓Claude不僅能閱讀文件、管理行事曆，還能直接在瀏覽器中操作網頁，執行點擊、填寫表單等任務，標誌著AI代理人邁入新階段。</p> <p>Anthropic表示，過去數月已逐步將Claude整合至日曆、文件與其他應用程式，但大量工作仍集中於瀏覽器，因此讓AI能「看見」與「操作」網頁成為自然的下一步。該公司強調，瀏覽器AI代理人已是不可避免的趨勢，能大幅提升生產力，但同時帶來安全與隱私風險，必須同步強化防護。</p> <p>值得注意的是，Anthropic特別強調安全性，詳細披露了瀏覽器AI面臨的「提示注入攻擊」（Prompt Injection）威脅，惡意網站可能透過隱藏指令誘使AI執行有害操作，包括刪除檔案、竊取資料或進行未授權的金融交易，Anthropic也公開了相關的防護措施和測試結果。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170931"><strong>【9月1日】已棄用的輸入法更新伺服器被用於攻擊特定臺灣用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170910"><strong>【8月29日】刑事局運用AI從源頭阻斷詐騙人頭帳戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170881"><strong>【8月28日】會用AI的勒索軟體PromptLock現身</strong></a></p> </div></div></div>
2025/9/2 18:00作者周峻佑https://www.ithome.com.tw/news/170956
百大AI應用大調查，Gemini行動端活躍用戶約為ChatGPT一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國創投公司消費科技投資與研究團隊a16z Consumer發布<a href="https://a16z.com/100-gen-ai-apps-5/">第5版Top 100 GEN AI報告</a>指出，生成式人工智慧消費市場進入相對穩定階段。行動端榜單顯示，Gemini月活躍用戶約為ChatGPT的一半，且近9成用戶來自Android平臺，而ChatGPT則有約6成用戶在Android。Web端情況則有明顯差異，Gemini的流量僅約為ChatGPT的12%，跨平臺分布存在明顯落差。</p> <p>在一般型助理市場，ChatGPT仍居領先地位，但Grok與Perplexity的成長動能明顯。Grok於7月推出Grok 4及人工智慧夥伴頭像功能後，行動端使用量單月成長近40%，並在Web端排名第4。Meta AI表現相對保守，Web端排名第46，行動端未進榜，DeepSeek自2025年2月高峰以來，Web端流量下滑超過40%，行動端也較高點下降22%。Claude在Web端持續成長，但行動端趨於持平，而Perplexity持續成長。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Top-Gen-AI-Apps-Top-50-List.png" style="width: 580px; height: 374px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Top-Gen-AI-Web-Top-50-List-1.png" style="width: 580px; height: 368px;" /></p> <p>a16z將Google相關產品以不同網域分別統計，AI Studio首度進榜即進入前十，NotebookLM位居第13並持續穩健成長，Google Labs排名第39，5月推出的影片模型Veo 3帶動單月流量增長超過13%。在Web榜單前二十名中，針對中國市場的Quark、Doubao與Kimi均有上榜。行動端則以影像與影片編修類應用為主，Meitu及字節跳動系列產品占據多席。</p> <p>該榜單僅納入人工智慧原生產品，Web端依Similarweb不重複訪客量排名前50，行動端則根據Sensor Tower月活躍用戶排名前50。整體資料顯示，Gemini近9成月活躍使用者來自Android，ChatGPT約6成來自Android，Web端Gemini的流量約為ChatGPT的12%。此外，新模型與產品節點對短期流量的帶動效應，也成為產品研發與導入時不可忽視的重要變數。</p> <p>另一值得關注的趨勢為氛圍程式開發（Vibe Coding）的流行。3月時，Web榜單僅有Bolt入選，本期則跌至候補名單，而Lovable與Replit則首次進入主榜。根據Consumer Edge信用卡消費面板資料，美國用戶在主要氛圍程式開發平臺上的付費行為顯示，同批用戶在註冊後數個月內，每月總支出持續成長，即使有部分用戶流失，整體消費金額仍呈現增加。</p> <p>這股動能也延伸至部署與託管領域，replit.app與lovable.app所發布的成品站點帶來明顯流量，其中lovable.app如果單獨計算可進入前50。同時，相關基礎服務的使用量同步提升，資料庫供應商Supabase過去9個月的流量增速明顯超越前幾年。上述服務多屬於開發與發布工具，並非人工智慧原生公司，未納入本次榜單統計，但已對開發者工具鏈與產品上線速度產生實質影響。</p> </div></div></div>
2025/9/2 08:14作者李建興https://www.ithome.com.tw/news/170932
Anatsa金融木馬再擴散，鎖定攻擊831款財務與加密貨幣App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Zscaler研究團隊<a href="https://www.zscaler.com/blogs/security-research/android-document-readers-and-deception-tracking-latest-updates-anatsa">指出</a>，Android銀行木馬Anatsa（又稱TeaBot）持續活躍，並透過偽裝成文件閱讀器等工具型應用程式上架至Google Play，以規避檢測並吸引用戶下載。最新研究顯示，Anatsa目前針對的金融與加密貨幣應用已達831款，顯示其投遞手法與反分析技術再度升級。</p> <p>Anatsa自2020年現身以來，一直以竊取金融帳號密碼、側錄鍵盤輸入和偽造交易為主要目的。本輪新活動的最大特徵，使用更新技術使其更難被偵測，攻擊者先在Google Play上架外觀正常的文件閱讀器或檔案管理器，吸引用戶安裝。安裝後，這些誘餌應用會連線至其C2伺服器請求「更新」，並直接安裝Anatsa惡意載荷，而這與過去以遠端DEX動態載入的做法不同，藉此繞過Google Play檢測。</p> <p>為避免被發現，Anatsa在啟動前會先檢查裝置是否為模擬器或測試環境，如果發現異常，就只顯示檔案管理介面，維持正常App的假象。一旦確認環境安全，便會釋出木馬惡意載荷並進一步展開行動。</p> <p>核心攻擊手法在於竊取金融憑證，當Anatsa偵測到手機內安裝了特定銀行或交易App時，會從C2伺服器下載與該App介面相似的偽造登入頁面，誘騙使用者輸入帳號與密碼，再將這些資訊回傳給攻擊者。研究人員指出，目前Anatsa能對831款金融與加密服務進行此類攻擊，覆蓋歐洲與美國，且本輪新增納入德國與南韓，並擴及多個加密貨幣平臺。</p> <p>此外，Anatsa會要求使用者開啟無障礙服務，一旦獲得授權，其就能自動啟用多項高風險權限，例如讀取與攔截簡訊，甚至覆蓋在其他App上顯示內容。這些能力讓攻擊者能攔截驗證碼，或直接進行未經授權的交易。</p> <p>研究人員也指出，部分誘餌應用下載數已超過5萬次，顯示其滲透力道不容小覷。除了Anatsa之外，研究團隊並回報其他77款惡意應用，累計安裝數逾1,900萬次，反映出Google Play上惡意程式的持續活躍與變化。</p> </div></div></div>
2025/8/28 08:15作者李建興https://www.ithome.com.tw/news/170855
【資安日報】8月27日，中國駭客鎖定東南亞外交官從事AiTM網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日益緊張，這幾年中國駭客隨著政府外交政策從事網路間諜活動的事故不時傳出，例如：被稱為Mustang Panda中國駭客組織，隨著政府的外交政策，將目標轉向了臺灣和蒙古；去年8月駭客組織MirrorFace開始對歐洲外交單位發動攻擊，目標是想要參加今年4月舉辦的世界博覽會與會人士，如今又有駭客組織UNC6384專門針對外交官而來，動機疑似配合中國的戰略利益。</p> <p>發生在另一個臨近國家的資安事故，也值得關注。我們才報導國內上櫃公司統振傳出遭到勒索軟體駭客組織Qilin攻擊，但上週這些駭客也聲稱對日本汽車大廠日產（Nissan）旗下的設計公司下手，日產亦證實有設計資料外流的情況。</p> <p>近期應用程式系統遭到多組駭客鎖定、挖掘零時差漏洞的現象，今年上半SAP NetWeaver算是最大的苦主，但現在駭客似乎將焦點逐漸轉向Citrix NetScaler：本週該公司揭露遭到利用的新漏洞，後續發展有待研究人員進一步揭露。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170854"><strong style="font-size: 22px;">中國駭客UNC6384鎖定東南亞外交官，企圖散布惡意軟體PlugX</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/deception-in-depth-fig1_max-2100x2100.png" style="width: 300px; float: right;" /></p> <p>Google威脅情報小組（GTIG）揭露發生在今年3月的網路間諜活動，名為UNC6384的中國駭客組織，針對東南亞的外交官而來，但全球也有其他企業組織受害。這些駭客挾持攻擊目標的網路流量，利用瀏覽器強制入口網站（Captive Portal）機制，藉此散布具有數位簽章的惡意程式下載工具StaticPlugin，最終在受害電腦的記憶體內植入後門程式PlugX（Google稱做Sogu.Sec）。</p> <p>在這波多階段的攻擊流程裡，駭客不僅利用社交工程手法，並搭配有效的程式碼簽章，過程裡發動了對手中間人攻擊（AiTM），並以間接執行的手段來迴避偵測。</p> <p>而對於UNC6384的來歷，Google指出很可能與惡名昭彰的Mustang Panda有關，因為兩組人馬使用的工具、攻擊目標相當類似，而且C2基礎設施有所交集。</p> <p><a href="https://www.ithome.com.tw/news/170849"><strong style="font-size: 22px;">勒索軟體Qilin聲稱入侵日產汽車旗下設計公司CBI，竊取4 TB規模的資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qilin-ransomware-gang-4tb-data-breach-nissan-cbi-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/qilin-ransomware-gang-4tb-data-breach-nissan-cbi-1.jpg" style="width: 300px; float: right;" /></a></p> <p>從去年橫行的勒索軟體駭客組織Qilin，上週聲稱對經營外籍移工仲介、匯款、電信預付卡的臺灣上櫃公司統振下手，竊得部分移工個資的情況，但這段期間，恰巧也有國際汽車大廠的子公司傳出受害消息。</p> <p>根據資安新聞網站HackRead的報導，日產（Nissan）汽車旗下的設計公司Creative Box Inc.（CBI），8月20日Qilin將其列入受害者名單，聲稱從該公司竊得超過4 TB資料，總共有405,882個檔案，涵蓋日產汽車的3D設計資料、報告、照片、影片，以及文件，並要脅日產汽車若不出面處理，他們將讓包含競爭對手在內的任何人，都能存取CBI的專案資料。</p> <p>另一家資安新聞網站Bleeping Computer本週也跟進報導此事，並取得日產的說法。日產發言人證實，有部分設計資料外流的情況。該發言人指出，CBI於8月16偵測到異常存取，隨即封鎖所有能存取該伺服器的管道來降低風險，並向警方報案。</p> <p><a href="https://www.ithome.com.tw/news/170857"><strong style="font-size: 22px;">思科網址防護服務Safe Links被濫用，駭客試圖迴避掃描並躲過過濾機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/screenshot-2025-08-18-at-3-1755512992041-original.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/screenshot-2025-08-18-at-3-1755512992041-original.png" style="width: 300px; float: right;" /></a></p> <p>電子郵件是駭客最常用來接觸攻擊目標的手段之一，他們往往引誘收信人點選信件裡面的連結，將他們帶往釣魚網站，為了減少使用者上當的情況，有些企業會導入資安業者提供的連結防護服務來因應，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，不過，近期有資安業者發現，駭客也濫用這類機制，降低用戶的警覺。</p> <p>在7月底資安業者Cloudflare揭露有人濫用Proofpoint、Intermedia兩家公司提供的服務之後，資安業者Raven發現了另一波類似的攻擊行動，這次駭客濫用的標的，是思科郵件安全閘道及上網安全套件提供的連結防護服務Safe Links。</p> <p>在其中一起鎖定企業首長竊取帳密資料的釣魚郵件裡，Raven發現駭客濫用Safe Links提供的安全網址，意圖藉此迴避掃描機制及網路過濾器。</p> <p><a href="https://www.ithome.com.tw/news/170852"><strong style="font-size: 22px;">開源專案Arch Linux遭到超過一周的DDoS攻擊</strong></a></p> <p>開源的Linux發行版Arch Linux最近經歷了超過一周的分散式服務阻斷攻擊（DDoS），從8月16日開始，一直到上周末才逐步趨緩。</p> <p>自8月中旬起它便面臨DDoS攻擊，一直到8月21日，Arch Linux核心開發人員Christian Heusel還說該專案依然持續遭受DDoS攻擊，波及了主網站、AUR與論壇，正與託管供應商合作來緩解攻擊，亦評估是否導入DDoS防護供應商；同時，他也提供了在服務中斷期間使用鏡像站、GitHub AUR備份與Wiki快照等替代方案。</p> <p>大多數的DDoS攻擊通常僅維持數小時到幾天，而且服務供應商或CDN一般都能快速緩解，但這次鎖定Arch Linux的攻擊行動持續了一周以上，在開源專案中並不常見。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/phishing-campaign-uses-upcrypter-in.html">惡意軟體UpCrypter假借語音留言訊息散布，意圖在受害電腦植入RAT木馬</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/hook-android-trojan-adds-ransomware.html">安卓木馬Hook加入覆蓋螢幕的勒索訊息，要脅受害者付錢</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/mixshell-malware-delivered-via-contact.html">惡意軟體MixShell鎖定美國供應鏈製造商而來，透過聯繫表單散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/hackers-using-new-quirkyloader-malware.html">惡意軟體Agent Tesla、AsyncRAT、Snake Keylogger透過QuirkyLoader散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/surge-in-coordinated-scans-targets-microsoft-rdp-auth-servers/">鎖定遠端桌面連線授權伺服器的掃描行為出現大幅增加的現象，疑與美國學校即將開學有關</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170844"><strong style="font-size: 22px;">Citrix修補NetScaler重大層級的RCE漏洞，並警告已有實際利用的情況</strong></a></p> <p>自6月底Ctirix修補NetScaler已遭利用的重大層級記憶體溢位漏洞CVE-2025-6543，後續不斷有相關事故傳出，先是另一個資安漏洞CitrixBleed 2（CVE-2025-5777）也被用於攻擊行動，本月荷蘭政府提出警告，駭客從今年5月就開始利用CVE-2025-6543，如今Citrix發布資安公告，指出有新的零時差漏洞被用於攻擊行動。</p> <p>8月26日Citrix為NetScaler ADC及NetScaler Gateway發布14.1-47.48、13.1-59.22更新，總共修補3項漏洞CVE-2025-7775、CVE-2025-7776、CVE-2025-8424，並指出其中被評為重大層級的CVE-2025-7775，已出現遭到利用的跡象。由於沒有其他的緩解措施，該公司呼籲IT人員應儘速套用相關更新。</p> <p>上述3項漏洞當中，最危險的就是有人已試圖利用的CVE-2025-7775，此為記憶體溢位弱點，攻擊者有可能用於遠端執行任意程式碼（RCE），或是造成服務中斷（DoS），4.0版CVSS風險評為9.2（滿分10分）。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/170842"><strong style="font-size: 22px;">Scattered Spider駭客因SIM卡置換攻擊竊幣遭重判10年</strong></a></p> <p>美國佛州中區聯邦地院宣判，20歲的Noah Michael Urban因電信詐欺、共謀電信詐欺與加重身分盜竊，處聯邦徒刑10年。法院並命其沒收含加密貨幣等約480萬美元資產，另須支付1,300萬美元賠償。Noah Urban已於2025年4月4日認罪，檢方指出，受害者總損失超過1,300萬美元。</p> <p>外媒Bleeping Computer報導指出，Noah Urban為Scattered Spider駭客組織的重要成員。Noah Urban所採取的犯罪手法，包括社交工程、SIM卡置換攻擊及多因素驗證轟炸（MFA Bombing），均與Scattered Spider一貫的攻擊模式高度吻合。</p> <p>根據法院釋出的資訊，Noah Urban於2022年8月至2023年3月間至少鎖定59名受害者，透過SIM卡置換攻擊（SIM swapping）將受害者門號在電信端改指派至其控制的SIM或eSIM。這種手法使受害者手機失去服務，攻擊者即可攔截簡訊一次性驗證碼，再非法登入加密貨幣交易所或錢包盜取資產。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170805"><strong style="font-size: 22px;">Google將開始驗證所有Android開發者身分</strong></a></p> <p>Google周一（8月25日）宣布，自明年9月起，所有要安裝於經Google認證的Android裝置上的應用程式，都必須是由經過身分驗證的開發者所註冊的，不管這些程式是透過Google Play、第三方應用程式市集，或是APK檔案散布。</p> <p>新政策意謂著要在眾多Android裝置上安裝應用程式時，只要開發者未通過身分驗證，便無法安裝。</p> <p>根據Google的規畫，此一新的驗證機制將從今年10月開始邀請開發者展開體驗，2026年3月開放給所有開發者進行驗證，2026年9月就會在巴西、印尼、新加坡及泰國正式實驗，2027年逐步拓展至全球市場。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170840"><strong>【8月26日】散布Linux後門出現透過檔案名稱搭Bash指令碼的新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170802"><strong>【8月25日】中國駭客Silk Typhoon透過雲端環境發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170766"><strong>【8月22日】惡意軟體Noodlophile Stealer鎖定企業而來，以更細緻的版權爭議誘餌散布</strong></a></p> </div></div></div>
2025/8/27 17:27作者周峻佑https://www.ithome.com.tw/news/170859
Google將開始驗證所有Android開發者身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/08/elevating-android-security.html" target="_blank">Google周一（8/25）宣布</a>，自明年9月起，所有要安裝於經Google認證的Android裝置上的應用程式，都必須是由經過身分驗證的開發者所註冊的，不管這些程式是透過Google Play、第三方應用程式市集，或是APK檔案散布。</p> <p>新政策意謂著要在<a href="https://www.android.com/certified/partners/" target="_blank">眾多Android裝置上</a>安裝應用程式時，只要開發者未通過身分驗證，便無法安裝。</p> <p>為了保障使用者的安全性，或是能找到作怪的源頭，Google<a href="https://www.ithome.com.tw/news/145354" target="_blank">自2021年起</a>便開始針對Google Play上的開發者進行身分驗證，<a href="https://android-developers.googleblog.com/2023/07/boosting-trust-and-transparency-in-google-play.html" target="_blank">2023年強制要求</a>開發者提供官方身分證件及D-U-N-S公司編號。</p> <p>根據Google近來的分析，網路側載來源的惡意程式數量比Google Play高出50倍，讓Google決定將該政策擴大至非Google Play上的開發者。</p> <p>Google正在替自Google Play之外發布的開發者建置一個新的Android開發者控制臺，也會替學生及業餘開發者打造不同的控制臺帳戶。但開發者驗證的內容是一致的，開發者必須提供姓名、地址、電子郵件及電話號碼等個人詳細資訊，若身為組織，則必須提供D-U-N-S編號及網址，可能也必須上傳身分證件，之後則必須提供應用程式的套件名稱與相關簽署金鑰，以證明應用程式所有權。</p> <p>根據Google的規畫，此一新的驗證機制將從今年10月開始邀請開發者展開體驗，2026年3月開放給所有開發者進行驗證，2026年9月就會在巴西、印尼、新加坡及泰國正式實驗，2027年逐步拓展至全球市場。</p> <p>有開發者批評，只要確認程式是安全的就好，沒必要驗證開發者身分；也有人認為這背離了Android的開放文化，並說這是Googler強化控管的作法；亦有使用者擔心這代表未來的Android可能會逐漸封閉。</p> </div></div></div>
2025/8/26 10:54作者陳曉莉https://www.ithome.com.tw/news/170805
Google推GenAI API讓Android應用簡單支援裝置端LLM推論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在行動端機器學習SDK <a href="https://android-developers.googleblog.com/2025/08/the-latest-gemini-nano-with-on-device-ml-kit-genai-apis.html">ML Kit中新增GenAI API</a>，開發者可透過此介面直接呼叫裝置端的Gemini Nano模型，將摘要、校對、改寫與圖片說明等生成式功能引入Android應用程式。新方案強調地端推論，資料不需離開裝置，並降低了整合所需的開發門檻。</p> <p><a href="https://developer.android.com/ai/gemini-nano/ml-kit-genai">GenAI API以Android系統服務AICore為基礎</a>，AICore在裝置內提供Gemini Nano的執行環境，負責下載與維護模型版本，並結合硬體加速以降低推論延遲。由於多個App可共用同一模型，不僅減少儲存空間占用，也降低開發者維護模型生命周期的負擔，應用程式開發者透過ML Kit提供的高階介面即可呼叫模型，無需自行處理模型更新或效能調校。</p> <p>由於要讓GenAI API在不同裝置與Gemini Nano版本的輸出品質盡量一致，Google針對各項功能訓練專屬的LoRA Adapter，並搭配推論參數的最佳化。藉由LoRA Adapter輕量化調整技術，API能在多樣的裝置環境下維持穩定表現，減少因硬體差異造成的品質落差，不過官方也指出，輸出結果仍可能因裝置或模型版本而有所不同。</p> <p>GenAI API隨AICore與對應的Gemini Nano版本一併提供，首批內建最新Nano模型的裝置為Pixel 9與10系列，以及三星等多家品牌旗艦機種，但Google並未公開完整支援清單，因此實際能否使用，仍須視目標機型是否具備AICore與相容的Nano版本而定。</p> </div></div></div>
2025/8/26 08:26作者李建興https://www.ithome.com.tw/news/170804
俄羅斯要求所有手機與平板都必須預裝MAX傳訊程式，惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://government.ru/news/55977/" target="_blank">俄羅斯總理Mikhail Mishustin本周簽署多項命令</a>，規定自2025年9月1日起，當地的電子裝置都必須預裝MAX傳訊程式，且iOS及HyperOS作業系統也都必須預裝當地的RuStore應用程式商店。而自2026年1月1日起，數位電視都必須預裝專門播放國家電視頻道的LIME HD TV程式。</p> <p>MAX是由俄羅斯第二大網路公司VK在俄羅斯政府的要求下所開發的傳訊程式，準備用來取代同樣是由VK開發、且自2023年起並預裝於電子裝置上的VK Messenger。</p> <p>根據俄羅斯政府的說法，MAX將提供不同功能的資訊交換服務，具備安全通訊能力，並能存取來自政府與企業的各種數位服務。基本上被視為新一代的國家級通訊平臺。</p> <p>然而，俄羅斯民眾認為，MAX要求使用者賦予更多的權限，包括通訊錄、位置、媒體檔案及語音等，再加上VK基本上是由俄羅斯政府所控制，因而擔心MAX會成為政府監控工具；再加上VK已被美國與歐盟制裁，在這些國家使用預裝MAX的電子產品可能會被當作風險裝置。</p> <p><a href="https://www.reuters.com/technology/russia-orders-state-backed-max-messenger-app-whatsapp-rival-pre-installed-phones-2025-08-21/" target="_blank">根據路透社（Reuters）的報導</a>，俄羅斯政府日前已開始限制當地WhatsApp及Telegram的通話能力，原因是它們不肯配合有關詐欺及恐怖主義案件的資訊分享。而當地前三大傳訊程式依序是WhatsApp的9,700萬用戶、Telegram的9,100萬用戶，以及VK Messenger的1,800萬用戶。</p> <p>此外，先前俄羅斯已強制要求Android及HarmonyOS（華為作業系統）裝置必須預裝當地的RuStore應用程式商店，下個月起，此一規定將延伸到iOS與HyperOS（小米作業系統）裝置上。</p> <p>在俄羅斯政府今年的強制預裝應用程式清單上，除了上述的MAX與RuStore之外，還有Mir Pay支付平臺、Kaspersky Free防毒軟體、Rutube影音平臺，以及其它以俄文命名的文書處理工具、電子書平臺、瀏覽器、地圖、雲端硬碟、郵件服務、社交平臺及語音助理等。</p> </div></div></div>
2025/8/22 15:13作者陳曉莉https://www.ithome.com.tw/news/170769
Firefox 142修補多項重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla本周<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-64/#CVE-2025-9180" target="_blank">發布Firefox 142桌機版本</a>，以解決多項安全問題，包含5個高風險漏洞。</p> <p>最新<a href="https://www.firefox.com/en-US/firefox/142.0/releasenotes/" target="_blank">Firefox 142桌機版</a>除了新功能外，也解決了CVE-2025-9179到CVE-2025-9187等8項漏洞。根據Mozilla的安全公告，5項高風險漏洞中，CVE-2025-9179為Audio/Video GMP元件存在無效指標（pointer）中，攻擊者可造成處理加密媒體資料的GMP行程記憶體毁損，引發沙箱逃逸，取得比內容程序（content process）更多的權限。</p> <p>CVE-2025-9180為Graphics: Canvas 2D元件中的同源政策（same-origin policy）繞過漏洞，危及跨站安全性。攻擊者可以通過惡意Canvas操作，繞過瀏覽器的SOP限制，竊取或操作來自其他網域的敏感資料（如cookies、內容等）</p> <p>其次是CVE-2025-9184、CVE-2025-9185及CVE-2025-9187，三者同為記憶體安全漏洞。Mozilla表示，分析顯示有記憶體毁損，相信只要攻擊者多下點工夫，這些漏洞能允許執行任意程式碼。CVE-2025-9184僅影響FireFox ESR/Thunderbird ESR 140.2及FireFox/Thunderbird 140，CVE-2025-9185影響多個版本ESR以及Firefox/Thunderbird 142。CVE-2025-9187影響Firefox/Thunderbird 142。</p> <p>唯一的中度風險漏洞CVE-2025-9181為存在JavaScript引擎元件的非初始化（Uninitialized memory）記憶體漏洞。Firefox 142另外修補了二個低風險漏洞。包含CVE-2025-9186，為存在Firefox Focus for Android的網址列元件的身份冒用漏洞，以及CVE-2025-9182，影響Graphics: WebRender元件，濫用本漏洞可耗盡記憶體引發服務阻斷（Denial of Service，DoS）。</p> <p>Mozilla同時發布Firefox of iOS 142。<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-68/" target="_blank">這個iOS版本解決</a>一項高風險漏洞及2個中度風險漏洞。高風險漏洞為CVE-2025-55030可導致瀏覽器錯誤將附件內容直接嵌入頁面顯示（inline），而不是下載。本行為有可能被利用進行跨站腳本攻擊（XSS）。</p> <p>中度風險漏洞包含JavaScript可觸發重覆發送通知造成服務中斷（CVE-2025-55028），及允許在藍牙連線範圍的攻擊者發送釣魚訊息騙取通行密鑰（CVE-2025-55031）。低度風險漏洞CVE-2025-55029類似CVE-2025-55028，但是是以觸發垃圾popup視窗造成DoS。</p> </div></div></div>
2025/8/22 13:57作者林妍溱https://www.ithome.com.tw/news/170767
Google修補AI找到的Chrome資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月19日Google發布Chrome電腦版更新139.0.7258.138、139.0.7258.139，目的是修補一項透過AI代理程式Big Sleep找到的記憶體越界寫入漏洞CVE-2025-9132。同日，Chrome<a href="https://chromereleases.googleblog.com/2025/08/chrome-for-android-update_01416888669.html">安卓版139.0.7258.143</a>發布，亦修補這項漏洞。</p> <p>此漏洞出現在JavaScript引擎V8，攻擊者可透過特製的HTML網頁遠端觸發，而有可能導致記憶體堆疊出現中斷的現象，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-9132">CVSS風險為8.8分</a>，為高風險漏洞。</p> <p>Big Sleep是Project Zero與DeepMind共同研發的AI代理程式，號稱能找出模糊測試工具OSS-Fuzz無法察覺的資安弱點，Google最早<a href="https://www.ithome.com.tw/news/165835">在去年11月發表</a>，當時找出了SQLite的堆疊緩衝區下溢漏洞，今年6月找到即<a href="https://www.ithome.com.tw/news/170101">將被用於攻擊行動的另一個SQLite漏洞CVE-2025-6965</a>。</p> </div></div></div>
2025/8/21 18:10作者周峻佑https://www.ithome.com.tw/news/170748
Android虛擬機管理程式pKVM通過SESIP第5級最高安全認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://security.googleblog.com/2025/08/Android-pKVM-Certified-SESIP-Level-5.html">公開</a>其Android虛擬機管理程式pKVM（Protected Kernel-based Virtual Machine）已取得 SESIP 5級認證。官方表示，這是第一個針對大規模消費性電子裝置部署，而通過此等級的軟體安全系統。其目的在替關鍵性隔離工作負載建立更可驗證的安全基礎，涵蓋裝置上人工智慧工作負載與敏感資料處理等應用情境。</p> <p>在Android架構中，pKVM透過虛擬化將高度敏感工作負載隔離在專屬虛擬機內，確保執行碼完整性與資產機密性，即使主系統遭入侵，受保護虛擬機仍能維持安全性。這一層由Android虛擬框架（Android Virtualization Framework，AVF）提供建置、管理與介面支援，是強化Android可信基礎的核心技術。</p> <p>SESIP（Security Evaluation Standard for IoT Platforms）則是針對物聯網與嵌入式平臺的安全評估標準，已被歐洲正式採納為EN-17927，其特點在於可重複利用的安全證據，製造商可憑同一套評估結果應對不同市場與法規，降低再次驗證的成本。SESIP共分五個等級，第五級為最高，要求涵蓋ISO 15408（Common Criteria）中AVA_VAN.5的脆弱性分析與滲透測試，代表能抵禦資源充足且具專業能力的攻擊者。</p> <p>對於承載高敏感資料或關鍵應用的系統而言，通過第5級認證意味著該平臺獲得國際標準的最高背書，也對供應鏈法遵與市場信任提供強力保障。Google指出，許多現行TEE（Trusted Execution Environment）尚未達到同等級的正式認證，此次通過可作為開放原始碼且高保證的基礎，降低開發者在敏感場景導入隔離執行環境的不確定性。</p> </div></div></div>
2025/8/19 08:00作者李建興https://www.ithome.com.tw/news/170700
Android裝置串流穩定版上線，擴大支援多家OEM實體裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android裝置串流（Device Streaming）服務在新版IDE Android Studio Narwhal Feature Drop進入穩定版，而Google也<a href="https://android-developers.googleblog.com/2025/08/test-with-android-device-streaming-now-with-android-partner-device-labs.html">宣布</a>正式開放Android Partner Device Labs功能，讓開發者透過Android Studio直接連線至Google資料中心，遠端存取多家品牌的Android實體裝置進行測試。</p> <p>早前Google於I/O 2025大會宣布Android裝置串流服務進入穩定階段，提供安全的遠端連線讓開發者實機評估應用程式在不同Android版本與硬體規格上的行為，裝置清單已納入Pixel 9、Pixel 9 Pro、Pixel 9 Pro XL與Pixel 9 Pro Fold，並計畫加入即將推出的Pixel 10系列。相較於僅用Android模擬器的驗證，這種方式可更準確地觀察感測器、相機、折疊機轉軸等實體特性對應用行為的影響。</p> <p>除了自家裝置，Google本次也同步宣布Android Partner Device Labs穩定版服務，讓開發者能正式在其OEM合作夥伴的實體裝置上進行測試，比起之前的測試階段，現在擴大支援更多品牌，包括三星、小米、Oppo、Oneplus和Vivo等。</p> <p>Android Partner Device Labs服務同樣在Android Studio內操作，開發者開啟裝置管理器，點選Firebase圖示登入Google開發者帳號，並選擇已啟用計費的Firebase專案後，就可在清單中看到可使用的實體裝置與合作夥伴機種。企業開發團隊則需由Firebase專案管理者在Google雲端專案頁面個別啟用各OEM的裝置實驗室，啟用後整個團隊便可在Android Studio中共享這些裝置資源。</p> <p>Partner Device Labs服務收費模式與既有的Android裝置串流服務相同，Google提供每月一定免費分鐘數額度，超出部分則依Firebase定價收費，Partner Device Labs中的裝置基本上也適用相同的配額與費率。過去企業必須借測手機、建立實體機櫃或仰賴零散的裝置庫存，如今可透過統一入口直接查看並啟用所需裝置，減少環境切換與維護成本。</p> </div></div></div>
2025/8/18 15:05作者李建興https://www.ithome.com.tw/news/170670
UI開發框架Jetpack Compose 1.9穩定版登場，帶來二維捲動與全新陰影特效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/08/whats-new-in-jetpack-compose-august-25-release.html" target="_blank">Google推出Jetpack Compose 1.9穩定版本</a>，並同步釋出對應的Compose BOM 2025.08.00版本。這次更新涵蓋UI效果、捲動控制、清單效能與開發工具多方面改進，可提升Android開發者在建立介面時的靈活度與效能表現，同時也降低大型專案的維護成本。</p> <p>在視覺呈現方面，新陰影能力支援外陰影與內陰影兩種風格，能精準調整半徑、顏色與擴散範圍，效果接近網頁的box-shadow。相較過去僅能仰賴光源模型的做法，現在可直接將陰影視為一層可算繪的樣式，適合卡片、對話框與影像邊框等常見UI。需要留意的是，內陰影會覆蓋在內容之上，版面順序需妥善安排，避免遮掩背景或圖片。</p> <p>互動體驗上，1.9引入Scrollable2D API，支援二維捲動與拋擲手勢，適用於需要同時水平與垂直移動的情境，例如試算表、地圖或影像檢視器。這項功能繼承自先前的Draggable2D概念，並支援巢狀捲動，以便在複雜布局中保持一致的捲動行為。</p> <p>在內容能見度偵測方面，onVisibilityChanged與onFirstVisible兩個新修飾子，讓開發者能根據元件在螢幕上的出現情況觸發特定行為，例如影片列表可自動播放進入畫面的影片，或在項目首次顯示時進行曝光紀錄，這對效能優化與使用者體驗管理都具實用價值。</p> <p>Lazy清單與Lazy網格的效能在這個版本也有明顯提升，新引入的LazyLayoutCacheWindow可讓開發者調整預擷取與後方保留的項目數量，超越原本只預先組合一個項目的限制。這代表在快速捲動場景下，內容能更即時顯示，減少空白與延遲。</p> <p>文字輸入也獲得強化。OutputTransformation現可在不改動底層狀態的情況下套用樣式，適合電話、信用卡等格式化需求，讓視覺標示與實際資料分離，降低狀態管理複雜度。除錯方面，新增診斷堆疊資訊，可在除錯版本顯示可組合函式名稱（Composable Name）與位置，讓開發者更快定位和解決崩潰問題。</p> </div></div></div>
2025/8/15 17:08作者李建興https://www.ithome.com.tw/news/170643
【資安日報】8月12日，俄羅斯駭客挖出WinRAR新的零時差漏洞，已用於網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及解壓縮軟體，WinRAR應該算是知名度最高的其中一款，在今年有多項漏洞揭露引起外界關注，例如：4月揭露的<a href="https://www.ithome.com.tw/news/168267">安全機制繞過漏洞CVE-2025-31334</a>，以及6月公布的<a href="https://www.ithome.com.tw/news/169822">路徑穿越漏洞CVE-2025-6218</a>，如今有一項新漏洞的細節公布引起外界關注，原因是這項漏洞已被用於實際攻擊行動。</p> <p>另一項微軟在今年4月緩解的Exchange Server資安漏洞發展也相當值得留意，資安機構Shadowserver基金會指出，他們這幾天偵測到全球有2.8至2.9萬臺伺服器尚未修補，呼籲IT人員應儘速處理。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170567"><strong style="font-size: 22px;">WinRAR緊急修補零時差漏洞，俄羅斯駭客RomCom已用來散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR-ADS-5.png" style="width: 300px; float: right;" /></a>7月30日軟體開發業者Rarlab發布7.13版WinRAR，提及這一版更新修補路徑穿越漏洞CVE-2025-8088，影響7.12之前的WinRAR，攻擊者可透過特製的壓縮檔來觸發。通報此漏洞的ESET昨天發布警告，揭露這項漏洞已被用於實際攻擊行動。由於WinRAR並未提供自動更新機制，用戶應儘速手動更新。</p> <p>這項漏洞被發現的緣由，是ESET發現名為RomCom、Storm-0978、UNC2596、Tropical Scorpius的俄羅斯駭客組織，在攻擊行動裡利用未知的WinRAR漏洞，藉此於歐洲及加拿大的金融、製造、國防、物流產業發動攻擊，部署SnipBot、RustyClaw、Mythic等惡意程式。由於這些駭客在攻擊流程利用零時差漏洞的情況已有先例，促使他們著手調查並通報此事。</p> <p>此漏洞被登記為CVE-2025-8088，4.0版CVSS風險評為8.4，ESET指出是運用NTFS檔案系統的替代資料串流（Alternate Data Streams，ADS）來達到路徑穿越的目的，與Rarlab於今年6月修補的另一個漏洞CVE‑2025‑6218類似。該漏洞的可怕之處在於，攻擊者能將惡意檔案隱藏於壓縮檔裡，一旦執行解壓檔，這些檔案會靜悄悄部署到受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/170552"><strong style="font-size: 22px;">Exchange Server權限提升漏洞有2.9萬臺系統曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gx1fmM_bEAA8n2H.jpg" style="width: 300px; float: right;" /></a>微軟發出安全公告，警告Exchange Server混合部署模式存在重大漏洞CVE-2025-53786，可使攻擊者在某些狀況下提高權限，並提及這項漏洞其實已在今年4月18日發布的修補程式得到緩解，但值得留意的是，迄今仍有超過2.8萬臺Exchange Server曝險。</p> <p>但根據非營利組織The Shadowserver研究人員掃瞄結果，從IP位址來看，未安裝修補程式的Exchange Server一直處於近2.9萬，未曾明顯減少。到8月10日，依然還有29,098個IP位址。其中歐洲以1.4萬個占最大比例，北美和亞洲次之，各有近8,400及5,000個IP位址。</p> <p>這項漏洞的嚴重程度，可從美國網路安全暨基礎設施安全局（CISA）對聯邦機構發布緊急指令，要求採取相關行動，並限期在美東時間8月11日上午9時前完成，其中一項是執行微軟提供的指令碼來進行盤點。</p> <p><a href="https://www.ithome.com.tw/news/170417"><strong style="font-size: 22px;">勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案</strong></a></p> <p>資安公司BitSight近日發布State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。Anubis著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分布於美國、法國、澳洲及祕魯。其中澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/royal-and-blacksuit-ransomware-gangs-hit-over-450-us-companies/">450家美國企業慘遭勒索軟體Royal、BlackSuit毒手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/netherlands-citrix-netscaler-flaw-cve-2025-6543-exploited-to-breach-orgs/">荷蘭警告Citrix NetScaler重大漏洞已被用於攻擊關鍵基礎設施</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-kimsuky-hackers-exposed-in-alleged-data-breach/">北韓駭客Kimsuky內部資料遭公開，作案工具與目標名單曝光</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170569"><strong style="font-size: 22px;">故事化敘事結合多輪脈絡引導，可誘使GPT-5輸出危險內容</strong></a></p> <p>OpenAI在GPT-5的設計中投入了更嚴密的安全防護，目標是在生成過程中避免模型被利用輸出有害內容。不過，人工智慧安全公司NeuralTrust研究指出，即便在強化後的防護架構下，特定多輪對話策略仍能繞過限制，尤其當故事化敘事（Storytelling）與回音室效應（Echo Chamber）結合時，模型依然可能逐步被誘導生成高風險資訊。</p> <p>研究團隊以GPT-5聊天版本（gpt-5-chat）為測試對象，先在對話中植入低顯著度的關鍵詞，並以故事情境包裝，使模型在後續回合持續補充細節。表面上，這些對話只是單純的情節延伸，沒有直接觸及敏感關鍵字或顯性意圖。但是透過多輪回音式強化，脈絡會在不易察覺的情況下逐步偏向敏感領域，最終出現與原本安全檢測目標衝突的內容。</p> <p><a href="https://www.ithome.com.tw/news/170506"><strong style="font-size: 22px;">Claude Code曝高風險漏洞，可被濫用存取檔案與執行未經授權命令</strong></a></p> <p>資安公司Cymulate揭露Anthropic的人工智慧開發工具Claude Code，存在兩項高風險弱點，分別為CVE-2025-54794與CVE-2025-54795，可被用於繞過目錄範圍限制以讀取檔案，並在無需用戶確認下執行未授權命令。Anthropic已在研究預覽期間接獲通報並完成修補，兩者CVSS分別為7.7與8.7。</p> <p>Anthropic已針對兩項問題發布修補版本，路徑限制繞過影響v0.2.111以前版本，命令注入影響v1.0.20以前版本。研究人員建議使用者與團隊立即更新至上述或更高版本，並在更新後檢查工具設定與權限配置。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/jenkins-servers-risk-rce-vulnerability-cve-2025-53652/">Jenkins外掛程式存在重大漏洞，1.5萬臺伺服器恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xerox-freeflow-flaws/">全錄列印流程自動化軟體FreeFlow存在資安漏洞，恐被用於SSRF、RCE攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170551"><strong>【8月11日】SonicWall防火牆近期遭勒索軟體攻入的原因出爐：駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170497"><strong>【8月8日】越南駭客竊資軟體攻擊行動升溫，逾20萬組帳密遭竊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170484"><strong>【8月7日】Linux惡意程式濫用身分驗證模組PAM隱匿行蹤</strong></a></p> </div></div></div>
2025/8/12 18:52作者周峻佑https://www.ithome.com.tw/news/170582
Android Studio升級導入Gemini代理模式與XR開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/07/android-studio-narwhal-feature-drop-stable-agent-mode.html">發布</a>Android Studio Narwhal Feature Drop穩定版，核心更新圍繞人工智慧協作以及擴增與虛擬實境（XR）應用開發。此次Android Studio Narwhal功能更新，除了將Gemini人工智慧代理模式導入正式版外，也同步強化Kotlin編譯效率、UI預覽功能及Android裝置相容性，提供行動與跨裝置應用更具彈性的開發基礎。</p> <p>新版最大變化在於正式納入Gemini代理模式，可協助開發者處理複雜、多階段的開發任務，例如新增功能、產生單元測試或修復程式錯誤。開發者可於側邊欄開啟Gemini代理模式，描述目標後，人工智慧會主動拆解任務、規畫執行步驟，並結合IDE內建工具進行檔案操作及Gradle流程。</p> <p>整體流程維持開發者主導權，所有人工智慧建議均需人工審核與決策，可根據需求要求人工智慧反覆修正，強調人機協作及開發過程的可控性。</p> <p>目前免費版提供的Gemini模型，受限於較短的上下文長度，對於大型專案可能略顯不足。若需處理高複雜度或大規模程式碼，可設定自有Gemini API金鑰並切換至Gemini 2.5 Pro模型，享有100萬字元的上下文長度，更符合團隊協作及企業級專案需求。</p> <p>Narwhal此次也針對人工智慧互動導入Prompt Library Rules機制，讓開發團隊能事先定義專案標準，例如語言、架構、程式風格或輸出格式。這些規則不僅可套用於個人開發環境，也能同步至專案目錄，方便團隊維護一致性，降低溝通與協作的摩擦。</p> <p>Android Studio Narwhal新版本強化了對XR應用的支援，新版內嵌XR Android Emulator，開發者可在IDE內直接啟動模擬器，並以Embedded Layout Inspector檢視UI結構、最佳化效能，搭配Jetpack XR專案範本，開發者可快速啟動新專案並落實沉浸式體驗設計。</p> <p>Narwhal預設啟用K2 Kotlin編譯器，大幅提升Kotlin專案的建構速度與穩定性，並具備未來語言升級的彈性。考量Android裝置逐步導入16 KB記憶體分頁，本次更新加入分頁大小相容性檢查與Lint警示，協助開發者提前修正原生函式庫可能產生的問題，降低後續上架或硬體遷移的技術風險。</p> <p>Android Studio針對Google雲端服務的功能引入服務相容性政策，降低雲端服務變更對開發專案的影響，明定每個版本約有一年支援期，系統會於30天前提醒升級。</p> </div></div></div>
2025/8/8 08:47作者李建興https://www.ithome.com.tw/news/170485
【資安日報】8月6日，時尚精品業者、科技龍頭接連傳出資料外洩，駭客疑攻擊Salesforce執行個體得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼時尚精品業者路易威登（Louis Vuitton，LV）、<a href="https://www.ithome.com.tw/news/170278">保險業者安聯（Allianz Life）</a>傳出資料外洩事故，本週有更多公司傳出類似事故，其中包含時尚精品業者香奈兒（Chanel）、Pandora，讓人懷疑這些精品業者的資安防護不足；但就連科技大廠也Google、思科，也證實遭遇相關攻擊而面臨資料外洩，這樣的情況很可能是一連串的攻擊行動。</p> <p>而在國內的資安新聞當中，自由時報報導勒索軟體DevMan聲稱對臺灣4家公司下手，但特別的是，駭客並未公布受害公司的全名，資安專家根據贖金的金額推測，這些很可能都是上市櫃公司。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170431"><strong style="font-size: 22px;">時尚精品業者香奈兒發生資料外洩事故，傳出是該公司的Salesforce帳密遭駭所致</strong></a></p> <p>時尚精品業者迪奧（Christian Dior Couture）、路易威登（Louis Vuitton，LV）先後在5月、7月傳出資料外洩的情況，兩起事故都出現包含臺灣在內的多個國家分公司客戶受到影響，其中LV傳出歹徒是存取第三方廠商的資料庫而得逞，突顯時尚精品業者對於客戶的個資保護不力，如今時尚精品業者香奈兒（Chanel）也傳出資料外洩的事故。</p> <p>這起事故的公開，最早是時尚新聞網站Women's Wear Daily（WWD）報導此事，香奈兒於7月25日偵測到駭客入侵第三方服務供應商代管的資料庫，影響美國客戶，曝露他們的個人聯絡資訊。</p> <p>針對這起資料外洩事故的其他細節，香奈兒並未進一步說明，但資安新聞網站Bleeping Computer取得相關資訊表示，外流的資料攻擊者是從香奈兒的Salesforce執行個體竊得。</p> <p><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">丹麥精品業者</strong></a><a href="https://www.ithome.com.tw/news/170438"><strong style="font-size: 22px;">Pandora資料外洩，恐為Salesforce相關事件最新受害品牌</strong></a></p> <p>丹麥精品業者Pandora近日傳出資安事件，被駭客竊取客戶姓名及電子郵件等個資，成為最新資料外洩的精品業者。</p> <p>財星雜誌首先報導，Pandora以郵件通知顧客外洩事件，Pandora也證實此事。事件起因是這家精品業者使用的第三方系統遭非授權存取，致使客戶資料遭存取。Pandora說，除了顧客姓名與電子郵件之外，其餘敏感資料如：密碼、ID、信用卡與財務資訊，都不受影響。</p> <p>法國精品業者Chanel也在本周向媒體證實7月25日有類似的資安事件。Chanel代管在第三方業者平臺上的客戶資料，包括姓名、電話及住家地址遭攻擊者存取。該公司表示本次事件只影響美國客戶。雖然兩家公司都未透露第三方系統為何，但Bleeping Computer取得消息指出，兩家公司都使用Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170439"><strong style="font-size: 22px;">思科、Google雙雙發生員工遭網釣事故，致CRM資料外洩</strong></a></p> <p>網路及伺服器大廠思科及Google雙雙公告其雲端CRM系統遭駭客入侵，竊走部分客戶資訊。</p> <p>思科上周說明，該公司7月24日得知一名思科客戶代表遭語音釣魚（vishing）鎖定得逞，因而得以從該公司使用的第三方雲端平臺客戶關係管理（CRM）系統的一個執行個體當中，存取並外洩部分用戶資訊。</p> <p>同時間，Google亦在8月5日公告類似的攻擊。6月間，Google使用的一個企業Salesforce執行個體遭到駭客存取。該系統是用於儲存中小企業聯絡資料及相關資訊。攻擊者在「一小段時間」得以存取資訊，被存取的是基本與常見商務資訊，如公司名稱和聯絡資訊。雖然兩家公司並未透露CRM系統的名稱，但外界推測很有可能就是Salesforce。</p> <p><a href="https://www.ithome.com.tw/news/170434"><strong style="font-size: 22px;">四大SharePoint零時差漏洞ToolShell遭4L4MD4R勒索軟體濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-07-31-TTI-post-image-01.png" style="width: 300px; float: right;" /></a></p> <p>Palo Alto Networks旗下Unit 42威脅情報團隊揭露，攻擊者正大規模利用微軟SharePoint多項高風險零時差漏洞，針對在地端部署環境展開入侵行動。這波攻擊涉及4個被統稱為ToolShell的嚴重漏洞，分別為CVE-2025-49704、CVE-2025-49706、CVE-2025-53770、CVE-2025-53771。</p> <p>這些漏洞涵蓋程式碼注入、身分驗證不當、反序列化及路徑走訪限制等多種弱點，最高CVSS風險分數達9.8。根據最新監測顯示，勒索軟體4L4MD4R已開始利用這些漏洞攻擊暴露於網際網路的SharePoint Server，對政府、醫療、教育和企業環境構成實質衝擊。</p> <p>研究人員指出，攻擊活動自7月中明顯升溫，攻擊者運用自動化工具針對全球多個地端SharePoint伺服器進行版本偵測與弱點測試。受影響產品以2016、2019版SharePoint Enterprise Server及訂閱版本為主，Microsoft 365中的SharePoint Online則未受影響。這些漏洞均允許未授權攻擊者遠端執行任意程式碼或繞過身分驗證，單一主機遭入侵後，攻擊面將擴及組織其他整合式服務。</p> <p><a href="https://www.ithome.com.tw/news/170463"><strong style="font-size: 22px;">勒索軟體DevMan聲稱一口氣對4家臺灣企業下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4c93b57a0f24e8cd5e8941e6d62fbef1-156.jpg" style="width: 300px; float: right;" /></a></p> <p>從今年開始，勒索軟體駭客CrazyHunter、NightSpire接連針對多家臺灣上市櫃公司發動攻擊，使得上市櫃公司的資安防護議題再度浮上檯面，只要有勒索軟體駭客聲稱他們攻擊臺灣企業組織，就會格外引起臺灣各界的關注，如今有駭客組織一口氣聲稱對4家臺灣公司下手，這樣的情況相當罕見。 </p> <p>根據自由時報的報導，DevMan近期在暗網公布4家臺灣受害企業，並聲稱握有這些公司200 GB至960 GB不等的資料，並索討1百萬至6百萬美元（約新臺幣2,997萬至1.8億元）。他們取得資安專家的說法，如此高額的贖金，受害企業很可能都是上市櫃公司。但與許多勒索軟體組織有所不同的是，他們並未公布受害組織全名，而是以星號遮蓋部分字母。</p> <p>資安專家認為，DevMan在一天內聲稱攻擊了4家臺灣企業，且開出不同級距的贖金，這些駭客的操作，很可能代表三件事，首先，駭客可能掌握特定漏洞，能夠大規模滲透同類型目標；再者，他們鎖定特定產業鏈或供應鏈節點，而能一口氣攻擊多家公司。此外，駭客有可能將臺灣特定產業當試驗場，嘗試進行區域性勒索活動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/sonicwall-investigating-potential-ssl.html">針對勒索軟體Akira疑似鎖定SonicWall防火牆零時差漏洞的攻擊行動，有新的調查結果出爐</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/google-fixes-3-android-vulnerabilities.html">Google發布8月安卓例行更新，修補兩項已遭利用的高通晶片漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/dell-laptop-models-vulnerabilities-impacting-millions/">Dell商務筆電特定晶片存在漏洞，攻擊者恐藉此竊取敏感資料，影響逾100款機種、數百萬臺電腦曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pwn2own-hacking-contest-pays-1-million-for-whatsapp-exploit/">漏洞挖掘競賽Pwn2Own Ireland 2025將於10月舉行，預告為WhatApp零點擊RCE漏洞祭出最高百萬美元獎勵</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月5日】國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> </div></div></div>
2025/8/6 18:21作者周峻佑https://www.ithome.com.tw/news/170464
【資安日報】8月5日，國內外網釣事故層出不窮，歹徒想方設法誘騙使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊活動橫行，也成為不少駭客取得受害企業組織初始入侵管道的主要手法，而今天恰巧我們整理到多篇網釣事故相關的資安新聞，其中與臺灣民眾最為相關的，莫過於尚未公布如何發放的普發現金議題，駭客自立法院通過相關條例之後，就將其用於誘餌，想要藉此竊取臺灣民眾的個資。</p> <p>鎖定開發人員的網釣攻擊也相當值得留意，我們才在上週報導<a href="https://www.ithome.com.tw/news/170341">PyPI警告有人針對套件開發者發動攻擊</a>，本週Mozilla基金會也對Firefox附加元件開發者提出警告，且有開發人員留言表示他們已經上當。另一方面，攻擊手法也出現變化，例如：資安業者Cloudflare揭露濫用資安業者惡意網址檢測服務的攻擊行動，雖然這兩個廠牌的服務用戶並不多，臺灣資安界僅需了解問題、保持警戒即可，但這代表網釣攻擊的手法也變得越來越複雜。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170420"><strong style="font-size: 22px;">兩家資安業者惡意網址檢測服務遭濫用，駭客用來隱藏有效酬載</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intermedia-image4.png" style="width: 300px; float: right;" /></a></p> <p>為了減少駭客透過電子郵件挾帶連結，導致使用者上當不慎點選，被帶往釣魚網站的情況，有些企業會導入資安業者提供的連結防護服務（Link Wrapping）來因應，例如：Proofpoint提供的URL Defense、Intermedia推出的LinkSafe，這些服務會重新包裝郵件連結的網址，在用戶點選連結的過程當中，進行掃描及封鎖威脅，但有駭客看上使用者對於這類保護機制的信任，濫用這些機制來降低用戶警覺。</p> <p>資安業者Cloudflare的旗下郵件安全團隊於今年6月至7月，發現有人積極利用Proofpoint與Intermedia的郵件網址連結防護服務，來掩蓋將使用者帶往網路釣魚有效酬載的意圖，若是使用者點選，就會被帶往各種Microsoft 365網釣頁面。</p> <p>Cloudflare舉出濫用Proofpoint服務的攻擊行動為例，駭客疑似入侵受到保護的用戶電子郵件帳號，透過URL Defense「洗白」惡意網址，然後產生看似合法的連結用於網路釣魚。對於駭客寄信的管道，除了透過上述的用戶帳號，也有透過其他駭客控制的電子郵件信箱來進行的情況。</p> <p><a href="https://www.ithome.com.tw/news/170418"><strong style="font-size: 22px;">駭客鎖定Firefox附加元件開發者發動網釣攻擊</strong></a></p> <p>Mozilla基金會上周警告，它們發現一起鎖定Mozilla附加元件（addons.mozilla.org，AMO）帳號的網路約魚攻擊行動，駭客假借Mozilla名義傳遞郵件，要求開發者更新AMO帳號，但或許只是要騙取開發者的登入憑證。</p> <p>該基金會提醒開發者在收到宣稱來自Mozilla的郵件要特別小心，不要點擊電子郵件中的任何連結；驗證該郵件是來自Mozilla所擁有的網域，例如firefox.com、mozilla.org或mozilla.com；確保所收到的電子郵件通過寄件者政策框架（SPF）、網域金鑰識別郵件（DKIM），以及基於網域的郵件檢查（DMARC）等驗證。</p> <p>Mozilla並未說明有多少開發者受到波及，但有開發人員於該篇文章的下方留言，表示自己已經上當，並主動刪除了擴充程式。</p> <p><a href="https://www.ithome.com.tw/news/170421"><strong style="font-size: 22px;">中國駭客挾持全球逾1.1萬臺安卓裝置，惡意軟體租用模式威脅持續擴大</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6888aebd224dde4a8e1eb55d_AD_4nXfSEL9YsUFGqPn6RvJz5jT5hsc3EKGlPN-Tx2aFhI-1rDb4Yrej0SjNqN9QUJqMCMlRqgGE22Or5DNbbWDQ7-NY0I0CmEplZJMUMCfCNcZVhwQl7phaGaZLHgCPgG1IbnYtSwg_MDajBCS-VyIup4c.png" style="width: 300px; float: right;" /></a></p> <p>義大利資安業者Cleafy日前揭露，一個講中文的駭客組織開發名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service，MaaS）模式，除了竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置C2伺服器建立連線。</p> <p><a href="https://www.ithome.com.tw/news/170424"><strong style="font-size: 22px;">歹徒以普發現金為由、冒名中央存保發動網釣攻擊，意圖騙取信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bea5a9ec-16f6-4923-aaf8-423284f9b280.jpg" style="width: 300px; float: right;" /></a></p> <p>7月11日立法院通過「因應國際情勢強化經濟社會及民生國安韌性特別條例」，編列總預算為5,450億元，其中明定全民普發現金新臺幣1萬元，經行政院宣布不提覆議、總統發布總統令後，公告此案正式生效，根據此特別條例，政府必須在今年10月底前向全民完成現金發放。然而在全民關注政府何時發放、如何領到這筆錢的同時，歹徒也伺機利用時事來從事詐騙。</p> <p>8月2日中央存款保險公司提出警告，有人假借他們的名義，佯稱民眾必須提供信用卡資料，才能領取政府普發的1萬元現金。他們也提供詐騙網頁的截圖，從圖中可以看到歹徒使用正體中文，並未夾雜簡體中文，但文句敘述不太完整，且出現臺灣不常使用的「銀行卡」一詞。</p> <p>值得留意的是，這並非他們首度針對歹徒以普發現金為誘餌行騙提出警告，該公司曾在7月10日、7月15日兩度發布新聞稿，他們接獲民眾通報，歹徒以寄送簡訊通知民眾，假借申請普發現金為由，引導到冒牌的中央存保網站填寫個資。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-join-attacks-targeting-microsoft-sharepoint-servers/">勒索軟體加入利用SharePoint零時差漏洞的行列</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-chanel-hit-in-wave-of-salesforce-data-theft-attacks/">時尚精品業者香奈兒發生資料外洩事故，傳出是Salesforce遭駭所致</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ctm360-spots-malicious-clicktok-campaign-targeting-tiktok-shop-users/">攻擊行動ClickTok鎖定抖音購物者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/browser-extensions-exploit-chatgpt-gemini-man-in-the-prompt/">瀏覽器延伸套件可被用於提示人攻擊，對AI聊天機器人下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/08/vietnamese-hackers-use-pxa-stealer-hit.html">越南駭客透過竊資軟體PXA，攻擊4,000個IP位址、竊得20萬組帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170415"><strong style="font-size: 22px;">Google Project Zero測試新漏洞揭露政策，將提早公布部分細節</strong></a></p> <p>Google專門揭露漏洞的Project Zero小組宣布測試一項新作法，將在通知原廠大約1星期後公告漏洞的部分細節，藉此加速用戶端的漏洞修補速度。</p> <p>Project Zero在2021年將漏洞揭露政策調整為現行的「90+30」，即給廠商90天修補釋出更新，以及30天用戶端安裝。然而Google發現這種做法存在重大問題，上游廠商如期釋出修補程式之後，有待負責將修補程式提供給使用者的下游廠商，將其整合到產品，這段時間產生的空窗期他們稱之為「上游修補空窗期（Upstream Patch Gap）」。</p> <p>為了縮短空窗期，Project Zero發布新的「通報透明度（Reporting Transparency）」政策並進行測試，未來在通報原廠漏洞約1星期後，Project Zero就會公布部分漏洞資料，包括接獲漏洞報告的廠商或開源專案、影響的產品、報告成立的日期，以及90天揭露期的大限日期。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170411"><strong>【8月4日】西亞電信業去年遭中國駭客組織長期網攻</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> </div></div></div>
2025/8/5 17:58作者周峻佑https://www.ithome.com.tw/news/170429
勒索軟體Anubis攻擊Windows、安卓裝置竊取資料、刪除檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis近來鎖定Windows及Android用戶發動攻擊，已在美國、歐洲、澳洲等地攻擊醫療、營建組織，能竊取資料、刪除檔案還會防止回復。</p> <p>Anubis最早出現於2024年11月，為勒索軟體組織。雖然不確定是它來自哪個區域，但證據顯示攻擊者操俄語。雖然活動時間不長，但透過重大基礎架構及鎖定高價值目標（<a href="https://www.ithome.com.tw/news/169699" target="_blank">如法國迪士尼樂園</a>）使其在網路犯罪界及資安界都引起關注。</p> <p><a href="https://www.bitsight.com/blog/anubis-ransomware-group-overview-and-evolution" target="_blank">資安公司BitSight近日發佈</a>State of the Underground 2025報告，揭露Anubis的攻擊手法及受害者樣貌。</p> <p>Anubis提供單純的RaaS (Ransomware as a Service)基礎架構，和同夥80/20分帳，也可為客戶提供資料竊取及勒索服務。在攻擊手法上，Anubis主要透過社交工程發送精準釣魚信件挾帶惡意附件或連結來駭入受害裝置、使用指令及腳本解釋器（command and scripting interpreter）及參數控制執行，還運用有效帳號躲避偵測。一旦開始行動，這隻勒索軟體最大特徵是抹除模式，像是將檔案降到0 KB。它還會避免加密系統目錄如system32、windows及program file等目錄，以防系統當機。</p> <p>目前Anubis受害者涵括Android和Windows裝置。在Android平臺上，它主要以銀行木馬形式出現。它常利用大量文字簡訊散佈以擴大攻擊面、使用冒充登入提示的外覆（overlay）畫面、螢幕和鍵盤側錄來竊取憑證。受害者會被鎖住無法登入，而它一旦找到目標檔案就會外送到攻擊者控制的伺服器。</p> <p>在Windows平臺上，Anubis就發揮RaaS的攻擊能力，包括會利用憑證提升權限、並在加密檔案後刪除檔案、移除磁碟區陰影拷貝（Volume Shadow Copy）避免回復可能性、它還會終止特定系統服務以利其加密及進一步降低回復可能性。</p> <p>Anubis目前受害者著重特定產業，如醫療、營建和專業服務組織。目前確知其受害者分佈於美國、法國、澳洲及祕魯。澳洲一家醫院遭其竊走病患個資、醫療資訊及保險卡資訊。研究人員呼籲用戶針對其攻擊手法留意可疑的偵察或濫用行動。</p> </div></div></div>
2025/8/5 14:28作者林妍溱https://www.ithome.com.tw/news/170417
中國駭客挾持全球逾1.1萬臺Android裝置，MaaS模式威脅持續擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/playpraetors-evolving-threat-how-chinese-speaking-actors-globally-scale-an-android-rat" target="_blank">義大利資安業者Cleafy日前揭露</a>，一個講中文的駭客組織開發一個名為PlayPraetor的遠端存取木馬，在不到三個月內感染全球超過1.1萬臺Android裝置。該組織採用「惡意軟體即服務」（Malware-as-a-Service, MaaS）模式，除了親自竊取受害者的銀行與加密貨幣帳戶資訊外，還開放控制權限給多個加盟駭客，形成可擴展的詐騙平臺。</p> <p>此次攻擊主要集中在歐洲（占58%感染）、非洲（22%）、美洲（12%）和亞洲（8%），其中葡萄牙、西班牙、法國為重災區，摩洛哥、秘魯、香港也有大量受害者。值得注意的是，駭客正從傳統的葡萄牙語目標轉向西班牙語和法語使用者，顯示攻擊策略的重大轉變。</p> <p>根據調查，駭客先是假冒Google Play商店，並提供含有惡意程式的偽造程式供使用者下載，例如Chrome或銀行程式；當不察的使用者下載並安裝程式之後，PlayPraetor便會開始執行，同時要求啟用Android的無障礙服務（Accessibility Services）以獲取完整控制權；再與駭客所設置的命令暨控制伺服器（C2）建立連線。根據統計，在被感染的1.1萬臺裝置中，約有7,931臺（72%）已完全啟用惡意軟體功能，意味著近8,000臺裝置處於駭客完全控制之下。</p> <p>PlayPraetor具備高度資料蒐集及詐騙能力，可竊取聯絡人、簡訊、螢幕截圖與輸入密碼，並將資訊回傳至C2伺服器。它鎖定近200種銀行應用程式和加密貨幣錢包，當受害者開啟這些目標程式時，會自動顯示偽造的登入介面進行「覆蓋攻擊」，藉此攔截並竊取使用者的帳號密碼等憑證資訊。</p> <p>駭客還能自遠端即時操作被駭裝置，包括開啟程式、輸入OTP、傳送簡訊，以及模擬使用者操作等，執行裝置內詐騙（On-Device Fraud）。</p> <p>此一活動採用加盟制度，讓不同語系的駭客能夠藉由多租戶控制面板來操縱各自的群組，且每周增加2,000臺被駭裝置。該組織的MaaS平臺採用中文操作介面，主要由兩個大型加盟商控制約60%的殭屍網路，其他較小加盟商則專精於不同語言市場。控制面板亦內建了自動化工具，讓加盟商能快速建置仿冒的下載頁面。</p> <p>由於PlayPraetor的功能日新月益，顯示背後有專業開發團隊負責維護。資安專家建議，使用者最好僅從官方Google Play商店下載應用程式，在授予程式無障礙服務權限時應特別小心，同時留意銀行應用程式登入介面的異常變化。</p> </div></div></div>
2025/8/5 15:18作者陳曉莉https://www.ithome.com.tw/news/170421
【資安日報】8月4日，西亞電信業去年遭中國駭客組織長期網攻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定全球各地電信業者的網路間諜活動，自去年爆發Salt Typhoon攻擊美國電信業者的事故之後，後續有Liminal Panda攻擊南亞和非洲，近期資安業者Palo Alto Networks揭露名為CL-STA-0969的駭客組織攻擊行動，是針對西亞的電信業者而來，但這份調查報告具體交代更多細節，例如，提及駭客使用的迴避偵測手法相當嚴密，使得相關攻擊難以察覺。</p> <p>除了鎖定電信業者的攻擊行動之外，鎖定SonicWall防火牆零時差漏洞的勒索軟體攻擊態勢，相當值得留意，原因是駭客鎖定的弱點與SSL VPN模組有關，而對於該廠牌SSL VPN系統的資安事故，7月已有數起消息傳出，因此用戶也要提高警覺，採取相關防護措施因應。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/170407"><strong style="font-size: 22px;">西亞電信業去年遭中國駭客CL-STA-0969長期網攻，採用近10種專屬工具輪番滲透</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-1348-148315-1.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客組織鎖定電信業者從事大規模網路間諜活動，藉此針對特定的政治人物進行情報收集，這樣的事故又以去年9月爆發的Salt Typhoon駭客攻擊行動受到高度關注，不僅傳出AT&T、Verizon、Lumen等多家大型業者受害，相關攻擊亦得到美國政府的證實，後續更傳出這些駭客也對其他國家電信業者下手的情況；另有資安業者揭露專門攻擊南亞、非洲電信業者的駭客組織Liminal Panda，如今又有資安業者揭露相關事故的最新調查結果。</p> <p>上週資安業者Palo Alto Networks發布調查報告指出，名為CL-STA-0969的駭客於去年2月至11月，鎖定西亞電信產業發動數起攻擊行動，他們部署多種工具與通訊機制，以便透過更為彈性的方法來遠端控制特定物件。其中一種作案工具是Cordscan，用途是收集行動裝置地理位置的資料，因此該公司推測，駭客有可能以此跟蹤受害者。</p> <p>針對這些駭客的來歷，Palo Alto Networks推測是與Liminal Panda高度相關的國家級駭客，但也有部分工具來自其他組織，例如：LightBasin、UNC3886、UNC2891，以及UNC1945。</p> <p><a href="https://www.ithome.com.tw/news/170409"><strong style="font-size: 22px;">SonicWall防火牆零時差漏洞攻擊升溫，勒索軟體Akira加入戰局</strong></a></p> <p>7月中旬Google威脅情報團隊（GTIG）揭露鎖定SonicWall SSL VPN設備的攻擊行動，駭客企圖部署惡意軟體Overstep，後續駭客組織World Leaks聲稱駭入電腦大廠Dell內部的產品展示及測試的環境，傳出入侵的管道，很可能就是上述的SSL VPN設備。如今資安業者Arctic Wolf指出，勒索軟體Akira也加入攻擊該廠牌的SSL VPN系統的行列。</p> <p>Arctic Wolf指出，7月下旬駭客透過SonicWall防火牆取得初始入侵管道的勒索軟體活動，出現增加的跡象，這些事故的共通點在於，所有的入侵都是透過防火牆的SSL VPN系統進行存取。根據他們掌握的證據，駭客疑似使用零時差漏洞而得逞，但不排除有暴力破解、字典攻擊、帳號填充攻擊的情況。。對此，他們認為在SonicWall尚未發布修補程式之前，最好暫時停用SSL VPN服務因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/180630/hacking/attackers-actively-exploit-critical-zero-day-in-alone-wordpress-theme.html">WordPress佈景主題Alone存在重大漏洞，已被用於實際攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-railways-oil-and-government-systems/">巴基斯坦駭客APT36鎖定印度鐵路、石油、政府系統而來，利用惡意PDF檔案犯案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-impersonate-microsoft-oauth-apps/">微軟OAuth應用程式遭冒充，駭客意圖竊取多因素驗證資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/silver-fox-hackers-exploit-weaponized-google-translate-tools/">中國駭客Silver Fox聲稱提供Google翻譯工具，意圖散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/anubis-ransomware-targets-android-and-windows-users/">Windows、安卓用戶遭到勒索軟體Anubis鎖定，駭客不僅加密檔案，也竊取帳密</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/170408"><strong style="font-size: 22px;">蘋果發布多個作業系統平臺更新，修補已遭利用的Chrome零時差漏洞</strong></a></p> <p>兩週前Google發布Chrome 138電腦版更新138.0.7204.157、138.0.7204.158，修補6項資安漏洞，其中存在於ANGLE（Almost Native Graphics Layer Engine）及GPU元件的高風險漏洞CVE-2025-6558，已經出現實際遭到利用的跡象，但這項漏洞並非只影響Chromium為基礎打造的瀏覽器，後續有其他科技業者跟進，修補這項資安漏洞。</p> <p>蘋果於7月29、30日，針對旗下的行動裝置、電腦、穿戴裝置、電視盒，發布iOS 18.6、iPadOS 18.6與17.7.9、macOS Sequoia 15.6、watchOS 11.6、visionOS 2.6、tvOS 18.6，並為macOS Ventura與Sonoma用戶發布瀏覽器更新Safari 18.6，其中一項修補的資安漏洞，就是存在於Safari排版引擎WebKit的CVE-2025-6558，並指出一旦瀏覽器處理特製的惡意網頁內容，就有機會導致無預期當機的現象。蘋果提及此漏洞出現在他們採用的開放原始碼內容，由Google威脅分析團隊（TAG）通報。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/170400"><strong style="font-size: 22px;">美國CISA開源Thorium惡意程式分析平臺</strong></a></p> <p>美國網路安全暨基礎架構管理署（CISA）宣布，開源自動化檔案分析平臺Thorium，將開放給政府機關及民間用於惡意程式和鑑識分析。</p> <p>這項計畫是CISA和美國桑迪亞國家實驗室（Sandia National Laboratories）合作。Thorium為自動化檔案分析及資料生成的高擴充性分散式平臺，它允許分析團隊操作及整合任意商業、開源及自訂工具，自動化執行分析工作流程，支援軟體分析、數位鑑識和事件回應。</p> <p>Thorium的整合性平臺上，允許分析人員上傳程式檔案，以Docker映像檔及VM形式整合指令行工具、利用標籤和全文搜尋篩選結果，並嚴格以群組為基礎的核准規則來管理存取。</p> <p><a href="https://www.ithome.com.tw/news/169959"><strong style="font-size: 22px;">IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體</strong></a></p> <p>IBM發表其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且搭配IBM Power Cyber Vault資安解決方案，能在1分鐘以內偵測到勒索軟體。IBM 預計於7月25日同步推出Power 11的入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新登場的Power 11效能提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170359"><strong>【8月1日】俄羅斯駭客針對當地外交單位從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170345"><strong>【7月31日】駭客挾持ATM出奇招，於隔離網路部署實體後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170328"><strong>【7月30日】美國明尼蘇達州首府遭到網攻，進入緊急狀態、動員國民兵因應</strong></a></p> </div></div></div>
2025/8/4 18:03作者周峻佑https://www.ithome.com.tw/news/170411
EssilorLuxottica財報出爐，Ray-Ban Meta眼鏡銷量成長200%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大眼鏡製造商<a href="https://www.essilorluxottica.com/en/newsroom/press-releases/q2-h1-2025-results/" target="_blank">EssilorLuxottica周一（7/28）公布2025年上半年財報</a>，營收達140.2億歐元，年增7.3%。該公司強調智慧眼鏡為其主力成長動能，Ray-Ban Meta銷售額較去年同期增加200%，成為全球最暢銷的AI眼鏡。</p> <p>Ray-Ban Meta是Meta與EssilorLuxottica合作於2023年10月推出的AI眼鏡，它內建1200畫素的超廣角相機，支援60秒的1080p高畫質影片，可直接串流至Facebook與Instagram；亦配備喇叭與麥克風，可播放串流音樂，支援Meta AI語音助理，電池續航力為4小時，售價299美元。</p> <p>EssilorLuxottica並未單獨公布Ray-Ban Meta的銷售數量或營收，<a href="https://www.uploadvr.com/ray-ban-meta-glasses-top-selling-emea/" target="_blank">但根據UploadVR去年10月的報導</a>，Ray-Ban Meta在6成EMEA市場的Ray-Ban商店中，都是最熱賣的產品。另一方面，根據EssilorLuxottica在2024年的統計，Ray-Ban Meta上市以來已售出200萬支。</p> <p>EssilorLuxottica董事長暨執行長Francesco Milleri表示，該公司正引領眼鏡進化為「下一代運算平臺」，融合AI、感測科技與醫療資料，打造個人化、連網式的智慧穿戴體驗。</p> <p>迄今Meta已與EssilorLuxottica合作打造3款AI眼鏡，從2021年的Ray-Ban Stories、2023年的Ray-Ban Meta，一直到今年的Oakley Meta HSTN，<a href="https://www.bloomberg.com/news/articles/2025-07-08/meta-invests-3-5-billion-in-essilorluxottica-in-ai-glasses-push?srnd=phx-technology" target="_blank">根據彭博社今年7月上旬的報導</a>，Meta已以35億美元入股EssilorLuxottica，取得該公司近3%的股份，以共同推動AI眼鏡。</p> <p>Ray-Ban Meta的成功似乎也引起了Google的注意，<a href="https://www.ithome.com.tw/news/169062" target="_blank">後者於今年5月宣布</a>，將與眼鏡品牌業者Warby Parker合作開發Android XR智慧眼鏡。</p> </div></div></div>
2025/7/29 15:28作者陳曉莉https://www.ithome.com.tw/news/170292
AI新創Harmonic以Aristotle模型追上OpenAI及Google Gemini，取得數奧金牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國AI新創Harmonic本周一（7/28）正式發表<a href="https://www.businesswire.com/news/home/20250728394917/en/Harmonic-Announces-IMO-Gold-Medal-Level-Performance-Launch-of-First-Mathematical-Superintelligence-MSI-AI-App" target="_blank">旗下首款人工智慧應用程式Aristotle</a>，強調為全球首款不會產生幻覺（hallucination）的AI模型，並宣稱該模型在2025年國際數學奧林匹亞（IMO）中達到金牌水準的表現，追上<a href="https://www.ithome.com.tw/news/170164" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/170184" target="_blank">Google Gemini</a>。該應用目前開放iOS用戶登記候補名單，Android與API版本亦將陸續上線。</p> <p>Harmonic成立於2023年，總部位於美國加州帕羅奧圖，由Robinhood共同創辦人暨執行長Vlad Tenev出資支持，並由Tudor Achim擔任執行長與共同創辦人。該公司專注開發所謂的「數學超級智慧」（Mathematical Superintelligence，MSI），這是一種以形式邏輯與數學證明為核心架構的新一代人工智慧技術，旨在取代傳統語言模型中容易出現幻覺與錯誤的預測式生成方法。</p> <p>根據Harmonic的說明，傳統大型語言模型多以統計機率方式生成語句，難以確保內容真實性與邏輯一致性。而Aristotle則採用MSI架構，具備可驗證的邏輯推理能力，能針對複雜問題給出具備數學保證的正確解答，並可主動指出不一致或錯誤之處，特別適用於數學、科學與工程等高準確性需求場景。</p> <p>該公司透過<a href="https://x.com/i/broadcasts/1BdGYqEkOYyGX" target="_blank">X平臺直播影片</a>正式發表了Aristotle模型，並於<a href="https://github.com/harmonic-ai/IMO2025" target="_blank">GitHub公開</a>其完整的數學證明。這些證明的關鍵在於，它們皆經過「形式驗證」（Formally Verified）——即透過數學邏輯檢查每一步推理是否符合規則，無需人類審查或介入，從而避免AI常見的幻覺、邏輯錯誤與漏洞。</p> <p>Harmonic並表示，Aristotle不僅在IMO測試中表現突出，還展示了解決複雜新穎數學問題的能力，象徵其不只是工具，更是一種可加速數學研究與跨領域創新的智慧平臺。</p> <p>為推動其MSI模型商用化，Harmonic已於今年7月完成1億美元的B輪融資，估值近9億美元，由Kleiner Perkins領投。</p> </div></div></div>
2025/7/29 13:27作者陳曉莉https://www.ithome.com.tw/news/170291
【資安日報】7月24日，微軟支援身障者無障礙用途的UI自動化機制首遭惡意程式濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免攻擊活動東窗事發，濫用合法、系統內建的公用程式，已是駭客經常會使用的策略，在今天的資安新聞裡，惡意軟體Coyote最值得留意，因為駭客運用協助身障人士的桌面應用程式自動化框架UI Automation（UIA），而相關手法，能廣泛對執行Windows XP以上電腦下手。</p> <p>除此之外，濫用合法工具的情況，也發生在針對Magento、Docker的攻擊行動上，駭客以多種手法隱匿活動；駭客組織APT41、HazyBeacon濫用SharePoint主機、AWS Lambda的函數URL功能也值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170237"><strong style="font-size: 22px;">首度發現UI Automation遭濫用！Coyote惡意軟體瞄準民眾金融帳密下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/active-exploitation-coyote-malware-first-ui-automation-abuse-in-the-wild-one.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/active-exploitation-coyote-malware-first-ui-automation-abuse-in-the-wild-one.png" style="width: 300px; float: right;" /></a></p> <p>一般而言，駭客迴避端點電腦的防毒軟體和EDR系統，最常見的手法是濫用合法、存在已知弱點的驅動程式，從事自帶驅動程式（BYOVD）攻擊，癱瘓這些端點防護機制的運作，但近期駭客也發展出一些非典型的手法，例如：藉由特定廠牌EDR端點代理程式的本機安裝流程瑕疵，透過升級或降級作業來進行「自帶安裝程式（Bring Your Own Installer）」攻擊，現在又發展出新型態的手法，濫用作業系統內建的公用程式來達到目的。</p> <p>最近資安業者Akamai揭露惡意軟體Coyote新一波攻擊行動，就是這樣的例子。此惡意軟體鎖定巴西使用者而來，目標涵蓋75家銀行及加密貨幣交易所的用戶，最特殊的地方在於，駭客濫用了微軟在Windows作業系統提供的桌面應用程式自動化框架UI Automation（UIA），而這是首度有惡意軟體攻擊運用這種公用程式的情形。</p> <p><a href="https://www.ithome.com.tw/news/170240"><strong style="font-size: 22px;">Docker、電商平臺Magento遭到鎖定，駭客運用多種隱密的手法挖礦、架設代理伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mimo-graph.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mimo-graph.png" style="width: 300px; float: right;" /></a></p> <p>今年5月，以經濟利益為目標的駭客組織Mimo（或稱Mimo'lette）鎖定內容管理平臺Craft CMS而來，利用滿分已知漏洞CVE-2025-32432從事攻擊，於受害主機植入惡意程式載入工具Mimo Loader、挖礦軟體、代理伺服器軟體，濫用伺服器的算力及流量牟利，如今雲端安全及監控業者Datadog發現，這些駭客將攻擊目標延伸到組態不當的Docker，以及電商網站平臺Magento，而且，手法變得更加隱密。</p> <p>Datadog指出，他們近日針對電商網站遭入侵的事故進行調查，這些攻擊涉及一系列工作負載（Workload）被駭，駭客利用未公布的PHP FastCGI Process Manager（PFP-FPM）資安漏洞來危害Magento，經過比對，確認攻擊者的身分是先前資安業者Sekoia揭露的Mimo。針對這樣的攻擊策略轉變，Datadog認為駭客不光只是鎖定不同目標，還有引入新的迴避偵測手法，以及在受害主機持續活動的機制，凸顯了該組織在戰術、手法、流程（TTP）出現重大變化。</p> <p><a href="https://www.ithome.com.tw/news/170241"><strong style="font-size: 22px;">中國駭客APT41鎖定非洲政府IT基礎設施而來，入侵SharePoint伺服器充當C2</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt41-in-africa2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt41-in-africa2.png" style="width: 300px; float: right;" /></a></p> <p>上週末SharePoint零時差漏洞CVE-2025-53770（ToolShell）攻擊引起全球關注，微軟確認有三組中國駭客Linen Typhoon、Violet Typhoon、Storm-2603從事相關活動，巧合的是，資安業者卡巴斯基也發現另一起與SharePoint有關的資安事故，攻擊者的身分是惡名昭彰的中國駭客APT41。</p> <p>這起事故駭客針對非洲政府的IT服務而來，他們在惡意軟體裡嵌入內部服務名稱、IP位址、代理伺服器的資料，特別的是，其中一個C2伺服器，竟是濫用受害組織基礎設施裡的SharePoint主機。</p> <p>附帶一提的是，APT41如果在初步偵察後認為受害電腦對後續活動具有重要價值，他們就會試圖建置Command Shell存取管道，藉由下載惡意的HTA檔案，執行嵌入的JavaScript指令碼，於受害電腦下載惡意程式，以及後續攻擊所需的其他工具。</p> <p><a href="https://www.ithome.com.tw/news/170119"><strong style="font-size: 22px;">HazyBeacon濫用AWS Lambda隱匿活動，意圖竊取東南亞政府關稅貿易資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-881439-146273-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-881439-146273-2.png" style="width: 300px; float: right;" /></a></p> <p>有許多組織運用無伺服器（Serverless）的運算服務，部分駭客也盯上這類服務並用於攻擊行動，例如，2022年資安業者Cado Security揭露名為Denonia的惡意軟體，駭客就是針對名為AWS無伺服器服務Lambda下手，部署挖礦軟體牟利，如今又有濫用這項服務的資安事故傳出。</p> <p>例如，由駭客組織CL-STA-1020發起的攻擊行動，就是這樣的例子。揭露此事的資安業者Palo Alto Networks指出，他們從2024年底追蹤這些駭客的活動，對方的攻擊目標是東南亞政府機關，目的是收集敏感資訊，特別是關於關稅與貿易爭端的資料。</p> <p>在這波攻擊活動裡，駭客運用名為HazyBeacon的後門程式引起Palo Alto Networks的注意，因為該後門程式濫用AWS Lambda的函數URL功能建立C2通訊。此功能的主要用途，是讓使用者能直接透過HTTPS呼叫無伺服器運算的功能，一旦攻擊者濫用這種合法功能，就能建立具備可靠、可延伸的通道，但難以察覺相關惡意行為。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-nuclear-weapons-agency-hacked-in-microsoft-sharepoint-attacks/">美國核武機構傳出遭遇SharePoint零時差漏洞攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/iran-linked-dchspy-android-malware.html">伊朗駭客假借提供VPN應用程式，意圖散布安卓惡意軟體DCHSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/2000-mcp-servers-security">約2千臺MCP伺服器缺乏存取控制，恐影響AI模型安全</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/remote-workforce/poisonseed-attacker-fido-keys">網釣手法PoisonSeed可突破FIDO金鑰防護</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170236"><strong style="font-size: 22px;">Sophos修補防火牆軟體RCE、指令注入漏洞</strong></a></p> <p>Sophos本周釋出軟體更新，修補存在防火牆產品Sophos Firewall可造成遠端程式碼執行及指令注入的 5項重大及高風險漏洞，分別是：重大層級的CVE-2025-6704、CVE-2025-7624，以及中高風險的CVE-2025-7382、CVE-2024-13974和CVE-2024-13973。</p> <p>其中CVE-2025-6704為存在Secure PDF eXchange（SPX）功能的任意檔案寫入漏洞。如果防火牆以高可用性（High Availability，HA）模式執行，配合啟動SPX特定配置，就可能導致前驗證（Pre-auth）遠端程式碼執行，估計影響0.05%該廠牌防火牆裝置。</p> <p>CVE-2025-7624為透通模式SMTP代理伺服器的SQL注入漏洞。如果Email的隔離政策啟動，且SFOS是由21.0 GA版本升級的話，可能導致遠端程式碼執行，影響0.73%裝置。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170220"><strong style="font-size: 22px;">強化雲端組態安全，3大公有雲CIS Benchmark是資安專家推薦首選</strong></a></p> <p>近年臺灣企業上雲比例大幅增加，面對雲端安全管理方面的挑戰，特別是3大公有雲環境中，如何確保正確的組態設定，以及啟用關鍵的日誌記錄服務，一直是資安專家反覆強調的議題。</p> <p>特別的是，企業可參考的雲端安全組態相關標準或最佳實務已有不少，CIS Benchmark是經常提及的資源之一，只是，過往少有單一針對此標準的內容探討，在今年2025臺灣雲端大會上，Google Cloud客戶解決方案架構師鄭家明進一步解析這部分內容，幫助大家掌握其重點。</p> <p>CIS Benchmark是針對特定作業系統、應用程式與硬體設備而來，所制定相應的安全組態最佳實務指引，目前已推出數十種版本，涵蓋Microsoft IIS、MongoDB、NGINX、PostgreSQL等，亦包含AWS、Azure、GCP等主要雲端平臺。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/brave-blocks-windows-recall-from-screenshotting-your-browsing-activity/">為保護用戶隱私，Brave加入封鎖Windows 11 Recall功能的行列</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170231"><strong>【7月23日】3組中國駭客使用SharePoint零時差漏洞從事攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170211"><strong>【7月22日】Dell傳出遭World Leaks勒索，測試環境資料外洩</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170174"><strong>【7月21日】SharePoint驚傳零時差漏洞攻擊，逾85臺伺服器受害</strong></a></p> </div></div></div>
2025/7/24 13:53作者周峻佑https://www.ithome.com.tw/news/170243
OpenAI推出ChatGPT通用代理人付費用戶現可啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-chatgpt-agent/" target="_blank">OpenAI昨（17）日發表</a>能使用工具、具備思考能力的通用代理人ChatGPT agent，能幫使用者從頭到尾完成任務。</p> <p>ChatGPT agent的核心是統合式代理系統，整合了早前推出的三個代理人的能力，包括Operator和網站互動的功能、Deep Research合成資訊的技能，以及ChatGPT的智慧和流暢對話的能力。</p> <p>ChatGPT agent將整合在ChatGPT聊天機器人中，包括iOS/Android、Windows、macOS版。當用戶對ChatGPT提出要求後，ChatGPT會根據指示，運用其虛擬電腦流暢切換推理和行為能力，完整處理從開始到結束的複雜工作流程。例如用戶可以要求ChatGPT檢視行事曆、匯報接下來的客戶會議行程、規劃和採買4人份的日式早餐、分析三家競爭者建立一份報告，ChatGPT就會很聰明地上網、篩選搜尋結果、必要時讓使用者安全登入網站，它還會寫程式、執行分析，甚至根據其分析產出一份簡報檔或試算表來總結其研究發現。</p> <p><a href="https://help.openai.com/en/articles/11487775-connectors-in-chatgpt" target="_blank">OpenAI說明</a>ChatGPT agent也會使用唯讀連接器（connector）作為外部資料源，但需要用戶預先啟用。</p> <p>依據複雜性，大部份任務會在5到30分鐘內完成。如果用戶希望ChatGPT agent經常性執行某個任務，也可以<a href="https://chatgpt.com/schedules" target="_blank">在排程中</a>設定啟用（或編輯、暫停、刪除）每天、每周或每月重覆執行。</p> <p>OpenAI強調用戶擁有最高控制權，特別在ChatGPT在採取行動前會詢問用戶是否核准。用戶也可以在任何時間點中途插手、暫停、接管瀏覽器，或是終止任務。</p> <p>ChatGPT agent即日起將漸次推向Pro、Plus和Team方案用戶，用戶們可從提示列的下拉式選單選擇「agent mode」啟用。<a href="https://help.openai.com/en/articles/11794342-chatgpt-agent" target="_blank">不過OpenAI也說</a>，Plus、Team用戶要耐心等候幾天。Enterprise和Edu用戶也會在幾個星期內獲得本功能。</p> <p>Pro用戶每個月可以使用ChatGPT agent處理每月400則訊息，Plus用戶為每月40則，而Team用戶為每月30點（credit）。</p> <p>此外，這項功能暫時不會在瑞士或歐洲經濟區（European Economic Area, EEA）推出，OpenAI規劃之後推出。</p> </div></div></div>
2025/7/18 09:38作者林妍溱https://www.ithome.com.tw/news/170121
【資安日報】7月16日，VMware修補虛擬化平臺重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週VMware修補一系列與虛擬化平臺有關的資安漏洞，皆來自漏洞挖掘競賽Pwn2Own參賽者的研究，且影響範圍相當廣泛，包含ESXi、Workstation、Fusion，以及Windows版虛擬機器公用程式VMware Tools，用戶都應儘速套用相關更新因應。</p> <p>另一個相當值得留意的情況，是WordPress網站有關的資安威脅加劇，在我們昨天報導有人<a href="https://www.ithome.com.tw/news/170072">利用ZIP檔案發動攻擊</a>，將網站用戶重新導向的事故，今天整理兩篇與表單外掛程式有關的消息，其中一個是Gravity Forms遭遇供應鏈攻擊的情況，另一個是SureForms存在任意檔案刪除漏洞，恐影響20萬個網站。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170079"><strong style="font-size: 22px;">WordPress表單外掛Gravity Forms疑遭供應鏈攻擊，被植入後門程式</strong></a></p> <p>近年來使用WordPress架設而成的網站很多，此內容管理平臺豐富的外掛程式，也成為駭客鎖定的目標，但大多數事故是利用外掛程式的資安漏洞來攻擊網站，如今有一起事故引起資安業者注意，因為駭客攻擊開發外掛程式的軟體公司得逞，從而在外掛程式植入惡意軟體。</p> <p>例如，由軟體業者RocketGenius打造的表單外掛程式Gravity Forms，上週就出現這類資安事故。事件的揭露的過程，是有人在7月10日從官方網域gravityforms.com下載此外掛程式，卻發現裡面的gravityforms/common.php檔案有問題，會向gravityapi.org網域發出惡意HTTP請求，通報此事的人士之所以察覺異狀，是因為他們透過監控系統看到速度極為緩慢的請求。他們通報RocketGenius並未及時得到回應，於是找上了資安業者Patchstack尋求協助，才使得這起供應鏈攻擊事故曝光。</p> <p>對此，RocketGenius也在7月11日發布公告證實此事，並表示用戶若是在7月9日至10日期間，透過他們的Gravity Forms帳號手動下載2.9.11.1或2.9.12版外掛程式，就有可能下載到有問題的檔案。該公司也說明他們的因應措施，並提供用戶檢測網站的方法。</p> <p><a href="https://www.ithome.com.tw/news/170068"><strong style="font-size: 22px;">惡意軟體ZuRu透過木馬化的SSH用戶端程式散布，針對macOS開發人員而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZuRu_Resurfaces_8.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZuRu_Resurfaces_8.jpg" style="width: 300px; float: right;" /></a></p> <p>鎖定macOS用戶的惡意軟體攻擊近年來有增加的趨勢，其中一款自2021年出現的後門程式ZuRu，最近再度有新的活動引起研究人員的注意。</p> <p>資安業者SentinelOne最近透過部落格文章指出，他們在今年5月下旬，發現有人利用木馬化的SSH用戶端工具Termius來散布ZuRu，由於一年前駭客是假借提供盜版軟體的名義來散布這款惡意軟體，這代表他們現在將目標轉向了開發人員與IT專業人士。</p> <p>資安研究團隊The DFIR Report與資安業者Proofpoint聯手，發現最新一波勒索軟體駭客組織Interlock的攻擊行動，駭客約從今年5月開始，針對已遭滲透的網站下手，在網頁的HTML檔案注入單行指令碼，意圖藉此散播RAT木馬程式Interlock RAT（也被稱為NodeSnake），將JavaScript寫成的惡意程式植入使用者電腦，而這也是FileFix首度被發現用於實際攻擊活動的情況。</p> <p><a href="https://www.ithome.com.tw/news/170028"><strong style="font-size: 22px;">殭屍網路RondoDox鎖定TBK、四信連網設備而來，利用已知漏洞綁架DVR裝置</strong></a></p> <p>WordPress可用來快速建立網站，基於這個內容管理系統而成的網站很多，也是許多歹徒覬覦的對象，而拿下此類網站的其中一種目的，是將其做為散布惡意程式的管道，攻擊者運用的手法也日益刁鑽。</p> <p>近期發生在資安業者Sucuri客戶網站的資安事故，就是這樣的例子。攻擊者在受害網站重要的WordPress元件wp-settings.php當中，插入兩行可疑的程式碼，試圖利用zip://通訊協定，從壓縮檔win.zip載入惡意的PHP檔案。Sucuri指出，這種手法相當隱密，能夠將惡意程式碼埋藏在看似無害的ZIP檔案。</p> <p>究竟攻擊者的目的是什麼？Sucuri認為，最主要是操縱搜尋引擎對惡意網站的排名。攻擊者藉由在受害網站注入垃圾內容、未經授權的網站地圖、進行301重新導向（瀏覽器連至已永久改變網址的頁面時，可透過呈現狀態碼301來表達，通常也會傳送HTTP Location，重新導引至新位置），從而拉升惡意網站的搜尋結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-rondodox-unveiled.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-rondodox-unveiled.jpeg" style="width: 300px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169489"><strong style="font-size: 22px;">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</strong></a></p> <p>面對日益嚴峻的OTP盜刷網釣威脅，支付產業與電商產業都必須採取更積極的應對策略。</p> <p>從當前威脅態勢來看，在資安業者戴夫寇爾3月舉行的資安攻擊型研討會，台灣駭客協會理事戴辰宇（GD）指出：Real-time Phishing（即時網釣）這類中間人攻擊的盛行，顯示攻擊者要突破OTP驗證機制已變得普遍，而網路犯罪領域PhaaS平臺的流行，則代表網釣產業的專業分工更加細緻。當我們更充分了解這些網路犯罪技術的演進，才可以設想更周延的因應之道。戴辰宇對支付產業與電商產業，也分別提出提升防護力的建議。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/state-backed-hazybeacon-malware-uses.html">惡意軟體HazyBeacon鎖定東南政府而來，濫用AWS Lambda竊取資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-phantomremote-backdoor-targets-russian-healthcare-it-linked-to-rainbow-hyena-attacks/">後門程式PhantomRemote鎖定俄羅斯醫療照護、IT產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/attackers-hide-javascript-svg-images-malicious-sites/">駭客使用SVG圖檔挾帶JavaScript指令碼，將使用者帶往惡意網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-konfety-uses-malformed-apks-to-evade-detection/">安卓惡意程式Konfety透過特製APK檔案迴避偵測</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170081"><strong style="font-size: 22px;">VMware修補虛擬化平臺重大層級的資安漏洞</strong></a></p> <p>7月15日VMware針對旗下的虛擬化平臺ESXi、Workstation、Fusion，以及虛擬機公用程式Tools發布軟體更新，目的是修補一系列的資安漏洞CVE-2025-41236、CVE-2025-41237、CVE-2025-41238、CVE-2025-41239，值得留意的是，這4項弱點當中，有3項評為重大層級，且都源自漏洞挖掘競賽Pwn2Own參賽者的發現。</p> <p>這些漏洞影響的範圍也相當廣，涵蓋所有7.0與8.0版VMware ESXi、17.x版VMware Workstation、13.x版VMware Fusion，以及Windows版本的VMware Tools。此外，搭載ESXi的Cloud Foundation、vSphere Foundation、Telco Cloud Platform、Telco Cloud Infrastructure平臺，也可能曝險。</p> <p>根據CVSS風險評分，最危險的漏洞包含了VMXNET3虛擬網卡整數溢位漏洞CVE-2025-41236、虛擬機器通訊介面（VMCI）整數下溢漏洞CVE-2025-41237、半虛擬化SCSI（PVSCSI）記憶體溢位漏洞CVE-2025-41238，一旦成功利用這些漏洞，攻擊者就有機會於主機執行任意程式碼。根據受影響應用程式，這些漏洞的危險程度也有所差異，嚴重評分介於7.4至9.3。</p> <p><a href="https://www.ithome.com.tw/news/170070"><strong style="font-size: 22px;">WordPress熱門表單外掛SureForms存在漏洞，逾20萬網站面臨惡意接管威脅</strong></a></p> <p>WordPress生態系再度爆發重大資安事件，熱門表單外掛SureForms被發現存在高風險，未經驗證任意檔案刪除漏洞CVE-2025-6691，受影響網站數量超過20萬。此漏洞允許攻擊者在未登入的情況下，經由提交特製表單，藉由網站管理員在後臺刪除該筆表單紀錄時，執行任意檔案刪除行為，可能造成網站被接管甚至遠端程式碼執行風險。</p> <p>SureForms外掛在1.7.3及之前所有版本皆受到此漏洞影響。資安公司Wordfence的技術報告指出，駭客只需提交一分包含惡意檔案路徑的表單，就能濫用外掛在檔案路徑驗證上的漏洞。當網站管理員在後臺刪除該筆表單紀錄時，外掛會根據表單資料中的路徑自動刪除對應檔案。當攻擊者在表單中設定欲刪除的檔案為wp-config.php等網站核心設定檔，網站將會被迫進入安裝初始畫面，甚至可能被攻擊者重新連結到其控制的資料庫，導致網站遭到完全接管。</p> <p><a href="https://www.ithome.com.tw/news/170075"><strong style="font-size: 22px;">Google Gemini漏洞可被濫用，顯示詐騙信件內容</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Pasted image 20250702004822.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pasted%20image%2020250702004822.png" style="width: 300px; float: right;" /></a>Google Gemini等在企業環境中可成為提升生產力的工具，但是研究人員發現，企業版聊天機器人的一項技術存在漏洞，可被用於在Gmail中顯示詐騙內容。</p> <p>研究人員Marco Figueroa發現Google Gemini for Workspace有項指令注入漏洞，讓攻擊者得以將惡意指令隱藏在電子郵件中。當企業用戶使用Gemini時點擊「摘要郵件內容」時，Gemini就會遵照駭客加入的提示，把看似釣魚信件警語貼在Gmail信件後方，騙取Google Workspace用戶上鈎。研究人員在Mozilla發起的Odin專案中公布這項發現。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gigabyte-motherboards-vulnerable-to-uefi-malware-bypassing-secure-boot/">技嘉主機板存在弱點，攻擊者可用於繞過安全開機</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/170074"><strong>【7月15日】IDE開發工具Cursor AI出現惡意延伸套件，有用戶因此損失50萬美元</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170051"><strong>【7月14日】臺美關稅遲遲未定，美國大型律師事務所驚傳遭中國駭客入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/170017"><strong>【7月11日】迴避偵測框架Shellter被用於散布竊資軟體</strong></a></p> </div></div></div>
2025/7/16 13:37作者周峻佑https://www.ithome.com.tw/news/170085
三星發表要價2,000美元的超薄摺疊手機Galaxy Z Fold7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）本周三（7/9）<a href="https://news.samsung.com/global/samsung-galaxy-z-fold7-raising-the-bar-for-smartphones" target="_blank">發表了該公司的旗艦款折疊機Galaxy Z Fold7</a>，它的封面螢幕為6.3吋，展開後的內部螢幕為7.6吋，不過，折疊後的Z Fold7厚度只有8.9mm，重量也只有215公克，感覺上宛如一般手機。不過，Z Fold7依舊維持高價位，即日起開放預購的512GB優惠價為1999.99美元（62,900元新臺幣），預計於7月25日上市。</p> <p>相較之下，iPhone 16 Pro Max的厚度為8.25mm，重量為227公克。此外，Z Fold7展開時的厚度僅有4.2mm。</p> <p>Z Fold7搭載Snapdragon 8 Elite處理器，NPU效能提升41%，CPU提升38%，GPU提升26%，足以處理更多的AI體驗；配備2億畫素的廣角鏡頭，1000萬畫素的100度超廣角鏡頭，還有Night Video夜間拍片功能；電池容量為4272mAh。</p> <p>此外，它採用基於Android 16的One UI 8使用者介面，強調可結合大螢幕的多工處理及各種AI工具，支援Gemini Live與Circle to Search。</p> <p><a href="https://blog.google/products/android/galaxy-unpacked-2025-android-updates/" target="_blank">根據Google的說明</a>，長按Z Fold7的電源鍵就能將螢幕分享給Gemini，以展開各種任務，同時手機上內建的行事曆、提醒事項及備忘錄等三星程式也已可直接連結Gemini。</p> <p>同一天三星也<a href="https://news.samsung.com/global/galaxy-unpacked-2025-a-first-look-at-the-galaxy-z-flip7-refining-the-pocketable-foldable" target="_blank">發表了另一款新摺疊機Z Flip7</a>，它採用4.1吋的外螢幕與6.9吋的內螢幕，因其輕巧外型而有「粉餅機」稱號，新版折疊後的厚度僅有13.7mm；搭載三星自家的Exynos 2500處理器，5000萬畫素相機，1200萬畫素的超廣角，與1000萬畫素的前鏡頭，同樣採用One UI 8介面並支援Gemini Live。</p> <p>配備256GB儲存空間的Z Flip7售價為1,099.99美元，還有一個配備相對精簡的Z Flip7 FE粉絲版，價格則是899.99美元。</p> </div></div></div>
2025/7/10 14:52作者陳曉莉https://www.ithome.com.tw/news/169976
Twitter創辦人Jack Dorsey開源其實驗性藍牙傳訊程式Bitchat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與創辦Twitter、Block與Bluesky的<a href="https://x.com/jack/status/1941989439237955773" target="_blank">Jack Dorsey在本周一（7/7）釋出了他利用周末開發的新專案Bitchat</a>，這是一個僅靠藍牙就能傳訊的程式，<a href="https://github.com/jackjackbits/bitchat" target="_blank">已透過GitHub開源</a>，亦登上<a href="https://testflight.apple.com/join/QwkyFq6z" target="_blank">蘋果的TestFlight應用程式測試平臺</a>，不到一天就達到TestFlight的1萬名測試上限。</p> <p>Bitchat是一個完全仰賴藍牙網狀網路（Mesh Network）的去中心化點對點傳訊應用程式，完全不需要電話號碼、電子郵件、Wi-Fi或行動網路連線。</p> <p>此外，它採用端對端加密，支援私訊與頻道加密，可建立群組頻道；支援儲存及轉寄，離線用戶在重連後仍可接到訊息；原生支援iOS與macOS，其協定可延伸支援Android；標榜不必註冊，不儲存個資，沒有永久ID，以及能夠緊急刪除資料。</p> <p>Bitchat亦允許使用者封鎖用戶，或是移交頻道所有權，一個訊息最多可經過7個中繼藍牙裝置來完成傳送，採用Unlicense公共領域授權，允許任何人自由使用、修改與散布，適用於在網路受限、災難應變或抗審查環境下的使用者。</p> <p>Dorsey在2006年共同創辦的Twitter是個微型部落格，初期限制使用者只能輸入140個字元，最後在2022年以440億美元賣給了馬斯克（Elon Musk），隨後被更名為X；2009年共同創立的Square之後更名為Block，這是一家金融科技公司，提供支付與金融服務；現身於2019年的Bluesky也是一個社交平臺，被視為是類似X的去中心化代替品，截至今年6月底已有超過3,690萬名註冊用戶。</p> </div></div></div>
2025/7/8 13:30作者陳曉莉https://www.ithome.com.tw/news/169935
Martech雙周報第77期：Tiktok推出新影片生成功能；OpenAI開源客服AI代理；Safari和Chrome…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0622~0705)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#短影音行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#影片生成</span></strong></span><br /> <strong>TikTok推出3種AI影片生成功能，並將自家GenAI創作工具與Adobe Express等工具整合</strong></p> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-symphony-updates">TikTok升級自家平臺上的生成式AI創作工具Symphony，新增三種AI影片生成功能</a>：Image to Video、Text to Video，以及 Showcase Products。Image to Video能將靜態產品圖、品牌視覺或情緒板快速轉換為 TikTok 風格的短影音；Text to Video則是從提示文字生成影片。Showcase Products是可以製作展示影片，讓<a href="https://www.ithome.com.tw/news/166175">Symphony平臺上的AI影片主持人（Digital Avatars）</a>來介紹廣告主商品，例如模擬拿取商品、穿戴服飾或操作手機App等應用情境。Tiktok強調，所有Symphony內容皆會自動標註為AI生成，並經多輪安全審查，以維護品牌信任與透明度。</p> <p>TikTok還宣布將Symphony工具與主流創作與代理商平臺整合。Adobe Express用戶現可在桌面版App中使用Image to Video，把既有品牌素材轉化為TikTok短影音。廣告傳播龍頭WPP集團的員工，則可以透過內部創作平臺WPP Open來使用Symphony 全套功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#開源客服AI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#OpenAI Agents SDK</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI應用</span></strong></span><br /> <strong>OpenAI開源客服AI代理範例專案，展示如何打造多代理人客服對話系統</strong></p> <p><a href="https://github.com/openai/openai-cs-agents-demo">OpenAI在Github開源以其Agents SDK為核心，結合Python後端與Next.js前端，來打造客服AI代理的範例專案。</a>這個專案展示AI如何在客服對話中，自動分派任務給不同職能代理人，並設定防護機制，來維持話題相關性、避免越獄攻擊（Jailbreak）。</p> <p>此專案用於模擬航空客服情境中不同任務的智能代理人互動過程。使用者可透過「我想改座位」、「查詢航班狀態」等問題觸發對應代理人，如座位代理人、航班狀態代理人，取消行程的代理人等，並觀察整體任務如何被拆解與分配。系統也會對非相關問題，如「幫我寫一首詩」，觸發話題相關性防護機制。試圖查詢系統設定等語句，則會觸發越獄防護機制。開發者可本地部署此系統，並自訂提示語、流程與工具，來進行更多實驗。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#隱私保護</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第三方Cookie</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#WebAPI限制</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#身份辨識技術</span></strong></span><br /> <strong>Safari新測試版阻擋身份辨識類腳本存取裝置特徵與追蹤性資訊，進一步限制跨站識別能力</strong></p> <p><a href="https://webkit.org/blog/16993/news-from-wwdc25-web-technology-coming-this-fall-in-safari-26-beta/">在Safari 26 beta中，蘋果新增更多Fingerprinting（</a>跨網站身分追蹤技術<a href="https://webkit.org/blog/16993/news-from-wwdc25-web-technology-coming-this-fall-in-safari-26-beta/">）技術的限制</a>。做法包括，阻擋這些腳本存取裝置特徵的多項Web API。這些特徵包括螢幕尺寸、處理器核心數、語音合成API中可用語音清單、Apple Pay能力、Web Audio設定、2D Canvas內容等。</p> <p>Safari也禁止這些腳本設置長期儲存項目，如Cookie或LocalStorage。不只如此，還封鎖這些腳本讀取可作為追蹤依據的資訊，例如網址參數與document.referrer等。這些隱私權機制，都意味著要在Safari，以及蘋果裝置上進行個人化行銷，將會更加困難。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#隱私保護</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第三方Cookie</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#WebAPI限制</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#身份辨識技術</span></strong></span><br /> <strong>Google開始實驗於Chrome無痕模式中封鎖常見身分追蹤腳本，建立API濫用阻擋名單與申訴機制</strong></p> <p><a href="https://github.com/explainers-by-googlers/script-blocking">Google在Github發表一項實驗計畫，於Chrome無痕模式（Incognito）中阻擋特定第三方</a>跨網站身分追蹤技術<a href="https://github.com/explainers-by-googlers/script-blocking">（Fingerprinting）腳本。</a>這些腳本通常利用Web API進行來蒐集Canvas、Audio、SpeechSynthesis等裝置細節，以拼湊出瀏覽器使用者身份。Chrome團隊表示，這些技術已被廣泛研究證實具高度隱私風險，因而計畫設計偵測機制來阻擋特定腳本。</p> <p>當功能啟用時，Chrome會分析網路請求，並封鎖來自黑名單網域的所有動態內容，如 script和iframe。黑名單將公開於GitHub，同時接受申訴機制供網站提出刪除請求。此機制初期僅於Android與桌機版Chrome隱私模式中預設啟用，一般模式與企業版則預設關閉。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#程式化廣告</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#交易透明度</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></strong></span><br /> <strong>The Trade Desk推出新廣告交易管理功能，可以評估私下廣告交易的行銷品質，並自動尋找類似性質廣告版位</strong></p> <p><a href="https://www.thetradedesk.com/resources/what-is-deal-desk">The Trade Desk在自家數位媒體購買平台Kokai新增Deal Desk</a>，目的是提升廣告主與出版商一對一交易及與預約採購等，非公開交易的透明度與執行效率，並在廣告表現不如預期時，自動建議開放網路中的其他替代方案。</p> <p>Deal Desk利用「交易品質分數」指標，使廣告主評估廣告交易的價值，以及比較是否有更具成本效益的其他選項。出版商則可以利用此指標來評估、優化自家廣告版位及交易條件。不過，TTD未揭露自家如何評估此分數。</p> <p>Deal Desk還有一系列自動化交易功能，包括自動化完成廣告交易，以及在原交易條件無法執行時，能取消廣告交易，並尋找相似品質的廣告版位供廣告主參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#可購物廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#原生支付</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#交易圖譜</span></strong></span><br /> <strong>PayPal推出Storefront Ads廣告形式，將下單及支付功能內建於廣告</strong></p> <p><a href="https://newsroom.paypal-corp.com/2025-06-16-View-Click-Buy-PayPal-Storefront-Ads-Expand-Merchant-Reach-Across-the-Web">PayPal宣布推出全新 Storefront Ads，將商品瀏覽、推薦與購買流程整合進廣告本身。</a>使用者可在不離開原本瀏覽內容的情況下，直接用PayPal或Venmo付款。Storefront Ads背後的推薦系統，則由4.3億用戶跨平臺購物行為等資料驅動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BI_Storefront_Ads.jpg" style="width: 600px;" /></p> <p>目前Business Insider、Vox Media與Horizon Media等知名媒體與代理商已開始測試此類廣告。Storefront Ads將先於美國開始上線，符合IAB標準廣告格式。未來，PayPal還計畫增加品牌輪播等更多格式。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099FF;">#生成式AI</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099FF;">#原生廣告</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099FF;">#新聞媒體</span></strong></span><br /> <strong>Taboola推出GenAI新聞問答聊天機器人DeeperDive，可回答新聞議題相關提問，還能在對話中置入相關原生廣告</strong></p> <p><a href="https://discover.taboola.com/deeperdive-ai/">Taboola推出全新生成式AI問答引擎DeeperDive。</a>這是一個針對新聞網站等內容型出版商打造的聊天機器人，可以根據網站內容和使用者特性，回答使用者問題，並在對話中推薦相關網站文章，以及置入與對話情境相關的廣告。</p> <p>DeeperDive使用一個名為「網路脈動」（Pulse of the Internet）的技術。利用來自全球9,000家新聞與內容媒體客戶與每日超過6億活躍用戶的即時洞察，來分析出不同地區和時段的內容消費趨勢。系統與使用者互動時，能藉此來提供更符合使用者所處情境的內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dpd.png" style="width: 600px;" /></p> <p>隨著生成式AI搜尋引擎和各種聊天機器人成為主流，網站主深受零點擊搜尋（Zero-click Search）衝擊，入站流量大幅減少，影響廣告收入。Taboola期待，新聞媒體等內容型網站主可以透過內建GenAI搜尋及問答功能，來吸引使用者再次入站。為了提升網站內容曝光度，DeeperDive的回答會附上該媒體網站內即時且相關的內容連結，鼓勵使用者深度探索內容，以期延長用戶停留時間。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#DSP</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#零售媒體</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#SKU級資料</span></strong></span><br /> <strong>The Trade Desk推出Snowflake原生應用Connector App，實現即時SKU級資料傳送及分析</strong></p> <p><a href="https://partner.thetradedesk.com/v3/portal/data/doc/DataSnowflakeNativeApp">The Trade Desk推出 Connector App，</a>這是一個在資料處理巨頭Snowflake平臺上的原生App，功能是串接品牌和零售業者雲端資料倉儲的銷售與轉換資料，用於廣告投放優化。</p> <p>此App特色包括，大部分操作皆不須IT知識，且數據是直接從Snowflake端即時同步讀取，而非靜態資料的單次匯入。Connector App還支援SKU等級的銷售資料處理，而非常見的商品類別等級資料。這有助於廣告主更細緻分析，具體是哪些廣告素材，對應到哪些商品的轉換。</p> <p>TTD近兩、三年積極發展RMN及CTV廣告市場，在推出一系列針對CTV的功能後，近月開始轉而積極發展零售媒體相關的數據處理功能。除了此次與Snowflake的合作，<a href="https://www.linkedin.com/posts/the-trade-desk_instacart-ocado-ads-and-more-take-a-huge-activity-7338286347851325441-SoG2/">他們還分別與美國生鮮零售平臺Instacart及英國生鮮零售平臺Ocado合作，推出SKU等級商品數據處理功能。</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#AI搜尋SEO</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#品牌曝光</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#LLM市調</span></strong></span><br /> <strong>Adobe推出LLM Optimizer，分析並優化廣告在生成式AI引擎中的曝光情況及行銷效果</strong></p> <p>AI搜尋引擎及聊天機器人成為新流量集散地，更多廠商開始針對這類通路推出分析及優化工具。<a href="https://business.adobe.com/products/llm-optimizer.html">Adobe也不例外，近日推出LLM Optimizer，分析廣告素材在ChatGPT、Gemini、Perplexity等GenAI搜尋與對話平臺中的曝光及行銷成效</a>，並提供優化建議。修改素材後，行銷人員可以直接透過Adobe Experience Manager Sites等內容管理平臺直接發布新內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/llmopt.jpg" style="width: 600px;" /></p> <p>LLM Optimizer還支援A2A（Agent-to-Agent）與 MCP（Model Context Protocol）等協定，不過，Adobe未具體說明，此工具如何透過這些協定來與企業其他系統協作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#可組式CDP</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#代理式AI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#可組式AI代理</span></strong></span><br /> <strong>CDP廠商Simon Data推出可組式AI代理，在Snowflake平臺原生環境中執行行銷任務</strong></p> <p><a href="https://www.simondata.com/news/composable-ai-agents-for-marketers-built-on-snowflake-cortex-ai">CDP廠商Simon Data宣布推出「Composable AI Agents」產品線。</a>這些AI代理系統能接受行銷人員的自然語言命令，直接在雲端數據處理平臺Snowflake原生環境中使用資料，並執行行銷相關任務。</p> <p>這些AI代理分別為Insights Agents，可以分析多通路客戶互動，來提供顧客分群洞察；Data Agents可以新增更具情境性的資料欄位，如「天氣敏感度分數」或「家庭購買影響力」，而非只是性別和生日等基礎的資料；Automation Agents則可以數據及前述兩個代理整理出的資訊，來一口氣自動執行數百條細緻分群的行銷活動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ssimcpa.png" style="width: 600px;" /></p> <p>可組式AI代理是結合CDP界近1年興起的「可組式」概念，與代理式AI技術的產品。可組式CDP是指一系列行銷功能模組，可以直接讀取資料倉儲資料，而不須像傳統CDP要勞師動眾的從多個系統中匯入到單一平臺。Simon Data的可組式AI代理則是一系列AI代理模組，利用SnowflakeAI調度平臺Cortex AI與Anthropic Claude模型驅動，能直接讀取企業的Snowflake資料倉儲內容，</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.ithome.com.tw/news/169581">Meta宣布將於Whatsapp中開始販賣廣告版面</a>，愛爾蘭資料保護委員會（DPC）透露此廣告服務最早於2026才會正式營運。</p> <p>2. Netflix近期新通過的專利揭露自動剪輯出個人化預告片的技術。</p> <p>3. <a href="https://www.thetradedesk.com/press-room/the-trade-desk-expands-generative-ai-creative-marketplace-in-kokai-with-rembrand">The Trade Desk在自家廣告購買平臺中新增Rembrand置入性行銷技術，用AI分析原生影片內容來自動嵌入廣告素材到適當位置</a>。</p> <p>4. <a href="https://www.hubspot.com/company-news/hubspot-deep-research-connector-for-chatgpt">Hubspot推出連結CRM數據到ChatGPT深度研究的功能。</a></p> <p>5. <a href="https://tealium.com/press-releases/cloudstream/">Tealium CDP推出新增雲端資料倉儲數據讀取及蒐集功能，與既有顧客資料處理及MA流程結合。</a></p> <p>6. <a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers">Amazon為廣告影片生成功能推出多項升級，現在一次可以生成6種候選影片</a>。</p> <p>7. <a href="https://www.salesforce.com/news/stories/marketing-cloud-next-announcement/">Salesforce推出Marketing Cloud Next，一系列代理式AI的行銷工具。</a></p> <p>8. <a href="https://support.google.com/admanager/answer/13860694?hl=zh-Hant">Google推出新廣告功能Offerwall，可以讓網站主提供「觀看廣告以存取網站內容」選項。</a></p> <p>9. <a href="https://ir.doubleverify.com/news-events/press-releases/detail/344/doubleverify-debuts-first-of-its-kind-attention-measurement">DoubleVerify推出社群媒體類的注意力測量服務，計算注目時間、頁面停留秒數等指標</a>。</p> <p>資料來源：iThome整理，2025年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Simon Data、Adobe、Taboola、Paypal、Tiktok</p> <p></p> </div></div></div>
2025/7/3 17:22作者郭又華https://www.ithome.com.tw/news/169874
Grammarly收購電子郵件新創Superhuman
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250630889937/en/Grammarly-to-Acquire-Superhuman-to-Accelerate-Its-AI-Productivity-Platform" target="_blank">專門提供英文文法及拼字檢查工具的Grammarly周二（7/1）宣布</a>，有意收購AI原生電子郵件程式Superhuman，以加速Grammarly轉型為應用及代理人的AI生產力平臺。</p> <p>2009年創立的Grammarly最初便是提供英文文法及拼字檢查工具，在2015年推出Chrome擴充功能，2019年加入語氣及清晰度建議，2020年便開始投資利用AI來生成文件的Docugami，2023年推出GrammarlyGO生成式AI寫作助手，<a href="https://www.ithome.com.tw/news/166560" target="_blank">2024年收購雲端AI文件編輯器Coda.io</a>，並由Coda.io執行長Shishir Mehrotra接手Grammarly當時執行長Rahul Roy-Chowdhury。</p> <p>此次被Grammarly相中的Superhuman成立於2014年，它是個需要付費訂閱的客戶端電子郵件，具備流暢又精簡的介面，擁有豐富的快捷鍵指令，支援無滑鼠操作，可整合Gmail及Outlook，相容於macOS、Windows、iOS、Android與網頁版。Superhuman在2024年2月推出AI草稿生成功能，可快速生成並回覆郵件，亦可自動化分類並整合行事曆以提升效率。總之，Superhuman的目標客戶族群是每天高頻處理郵件的專業人士及團隊。</p> <p><a href="https://blog.superhuman.com/superhuman-is-being-acquired-by-grammarly/" target="_blank">根據Superhuman的官方資料</a>，該公司客戶現在處理電子郵件的速度是以前的兩倍，回復時間提前一至兩天，每周節省逾4個小時，迄今累計已寄出5億則消息，處理超過20億次的郵件對話，而且採用了60億個快捷功能。</p> <p>Grammarly說，AI有機會徹底改變工作並提高生產力，帶來立竿見影的影響，然而，技術供應商只是將AI嵌入現有工具上，讓原本便已混亂的技術生態系統四分五裂，而Grammarly已經建置了一條AI高速公路，可向超過50萬個應用程式及網站的使用者提供寫作代理人，現在該公司正著手建置一個生產力平臺，利用更多代理人來處理更多任務，讓使用者無時無刻都能以AI來協助工作，而電子郵件就是Grammarly專業用戶最常用的應用場景。</p> <p>根據統計，Grammarly的AI助手每周要協助客戶修改超過20家電子郵件供應商的逾5,000萬封電子郵件，包括Gmail、Outlook、Apple Mail與Superhuman。此外，Grammarly認為Superhuman正在重新定義電子郵件的未來，讓它發展成綜合工作空間，以各種AI代理人來代為分類收件匣、安排會議、研究所有內容，並以自己的語氣來撰寫完整的電子郵件。</p> <p>Mehrotra表示，AI應該要在人們工作的地方工作，而非供應商想要的地方工作，電子郵件不只是另一個應用程式，而是專業人士每天投入大量時間的工作領域，亦是同時協調多個AI代理人的理想起點。</p> <p>雙方並未揭露交易金額，但Superhuman在2021年融資時的估值為8.25億美元。</p> </div></div></div>
2025/7/2 15:40作者陳曉莉https://www.ithome.com.tw/news/169847
【資安日報】7月1日，逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月下旬Citrix先後修補CitrixBleed 2（CVE-2025-5777）、CVE-2025-6543，並表明CVE-2025-6543已出現實際利用的情況，然而CitrixBleed 2也相當危險，輕忽不得！Shadowserver基金會指出，有超過1,200臺NetScaler設備尚未修補這項漏洞，值得留意的是，這樣的數字並不包含企業設置於內部網路環境、未與網際網路連線的NetScaler設備，因此實際曝險範圍可能遠大於此。</p> <p>在其他資安事故方面，有兩起網釣攻擊值得留意，其中，鎖定臺灣、日本的APT攻擊Swan Vector，駭客利用履歷表與財務文件當作誘餌引人上當；另一起則是針對使用簡體中文的用戶而來，中國駭客組織Silver Fox假借提供DeepSeek、WPS Office、搜狗輸入法等安裝程式，來散布惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169825"><strong style="font-size: 22px;">逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2漏洞而曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zTc2Zi9IhG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/zTc2Zi9IhG.png" style="width: 300px; float: right;" /></a></p> <p>6月下旬Citrix修補NetScaler設備重大風險漏洞CitrixBleed 2（CVE-2025-5777），且<a href="https://www.ithome.com.tw/news/169799">疑似出現漏洞利用的情況</a>，但研究人員發現，仍有1,200臺系統仍然還沒安裝新版軟體而持續曝險。</p> <p>CitrixBleed 2為越界記憶體讀取（Out-of-bounds Read）漏洞，允許非授權攻擊者存取部分記憶體，可造成連線階段（session）的Token外洩，使得攻擊者有機會繞過多因素驗證。本漏洞4.0版CVSS風險值為9.3。由於此漏洞與Citrix Bleed（CVE-2023-4966）相當類似，因此<a href="https://www.ithome.com.tw/news/169735">安全專家Kevin Beaumont將其命名為CitrixBleed 2</a>。</p> <p>根據非營利網路資安機構Shadowserver基金會的監控，超過1,200臺NetScaler裝置還是執行有CVE-2025-5777漏洞的軟體。</p> <p><a href="https://www.ithome.com.tw/news/169788"><strong style="font-size: 22px;">臺灣、日本遭遇APT攻擊活動Swan Vector鎖定，意圖透過履歷表與財務文件從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SwanVector-5.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SwanVector-5.jpg" style="width: 300px; float: right;" /></a></p> <p>最近有人同時針對臺灣與日本發動攻擊而引起關注，例如，今年5月資安業者趨勢科技揭露隸屬於APT10旗下、代號為MirrorFace、Earth Kasha的中國駭客組織，原本長期鎖定日本企業組織而來，從今年3月也攻擊臺灣，現在又有類似的事故傳出。</p> <p>上週末台灣電腦網路危機處理暨協調中心（TWCERT/CC）提出警告，資安業者Seqrite揭露同時針對臺灣與日本等中國東部海域國家的APT攻擊行動Swan Vector，駭客鎖定教育領域和機械工程產業而來，藉由假的履歷表、財務文件作為誘餌來接觸受害者。Seqrite進一步調查此事，發現駭客最早從去年12月就進行活動，當時就鎖定臺灣與日本的人員招募單位。</p> <p>針對惡意軟體的感染流程，研究人員指出大致可分成4個階段，最初是惡意Windows捷徑檔案（LNK），接下來是透過捷徑檔進行寄生攻擊（LOLBin），執行名為Pterois的DLL檔案，目的是從Google Drive下載第三階段的作案工具並執行。</p> <p><a href="https://www.ithome.com.tw/news/169801"><strong style="font-size: 22px;">中國駭客Silver Fox散布冒牌DeepSeek安裝檔，意圖散布惡意程式Sainbox RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DeepSeek-Deception-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DeepSeek-Deception-5.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Netskope旗下威脅實驗室警告，中國駭客組織Silver Fox正利用釣魚網站攻擊說中文的使用者，偽裝成AI模型DeepSeek、金山軟件所開發的辦公室套裝軟體WPS Office，以及搜狗輸入法的安裝程式，並於安裝過程中側載Sainbox RAT遠端存取木馬，同時植入Rootkit以隱藏惡意行為。</p> <p>駭客使用了以假亂真，甚至是比官網還要像真的的網址來誤導使用者，例如DeepSeek AI的官網是deepseekcoder.com或GitHub的開源頁面，但駭客使用的是deepseek[.]org；又或者WPS Office的官網是wps.com或wps.cn，但駭客使用了wpsice[.]com；搜狗輸入法的官網為sogou.com，駭客使用的是sogoucom[.]org。</p> <p>一旦使用者依照指示執行有問題的安裝程式，駭客於使用者系統上植入遠端木馬程式Sainbox RAT，這是Gh0stRAT的變種，將允許駭客取得系統的完整控制權，以下載並執行其他有效載酬，或是擷取螢幕畫面、記錄鍵盤或竊取檔案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sucuri.net/2025/06/stealthy-wordpress-malware-drops-windows-trojan-via-php-backdoor.html">WordPress惡意軟體透過PHP後門散布木馬程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/blind-eagle-uses-proton66-hosting-for.html">駭客組織Blind Eagle利用防彈主機代管服務Proton66從事網釣，意圖攻擊哥倫比亞銀行</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/giftedcrook-malware-evolves-from.html">竊資軟體GiftedCrook威脅加劇，從瀏覽器竊密成為情資收集工具</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169822"><strong style="font-size: 22px;">WinRAR修補目錄穿越漏洞，防止攻擊者濫用解壓縮植入惡意程式</strong></a></p> <p>WinRAR官方釋出7.12版本，修補目錄穿越漏洞CVE-2025-6218。該漏洞可能使攻擊者透過特製壓縮檔，在Windows系統上植入惡意程式碼威脅用戶安全。此問題僅影響Windows平臺，Unix及Android等其他作業系統版本則不受影響。</p> <p>CVE-2025-6218漏洞由資安研究人員whs3-detonator通報，官方公告指出，此漏洞主要影響WinRAR、RAR、UnRAR、UnRAR.dll及其Windows版可攜原始碼。攻擊者可透過特製壓縮檔案，操控檔案於解壓縮時的儲存路徑，進而將檔案寫入目標系統中的敏感目錄，像是Windows啟動資料夾。當使用者在未察覺情況下開啟並解壓縮這類特製檔案時，惡意程式可能被寫入Windows啟動資料夾，導致於下次開機時自動執行。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bluetooth-flaws-could-let-hackers-spy-through-your-microphone/">藍牙晶片存在資安漏洞，近30款音訊設備恐遭監聽</a></strong></p> <p></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-d-link-router-flaws/">生命週期已結束的D-Link路由器存在重大漏洞，攻擊者恐用於遠端執行任意程式碼</a></strong></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169823"><strong style="font-size: 22px;">加拿大以國家安全為由，終止海康威視當地業務，政府機關與國有企業停用該廠牌設備</strong></a></p> <p>近年來美國以國家安全為由要求多個中國品牌的資訊產品，以最近的例子而言，他們傳出在去年底打算禁用TP-Link路由器，理由是這類設備被中國駭客納入殭屍網路用於攻擊行動，今年眾議院兩黨也以國家安全為由，聯手禁止聯邦政府公務設備使用DeepSeek AI，如今加拿大也打算對中國品牌採取類似措施，引起外界關注。</p> <p>根據Bleeping Computer、Dark Reading、SecurityWeek等多家新聞媒體報導，6月28日加拿大工業部長Mélanie Joly透露，該國政府根據加拿大投資法案（Investment Canada Act）進行國家安全審查的結果，下令海康威視加拿大分公司（Hikvision Canada Inc.）終止所有在加拿大的營運，並關閉在加拿大的業務，原因是他們認為該公司若持續在加拿大營運，將有可能損害加拿大的國家安全。海康威視加拿大分公司也發布聲明，證實在27日收到相關命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169805"><strong style="font-size: 22px;">政府簡訊發送平臺升級，新增用戶手機末三碼、機關名稱提升辨識度</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/uyakkjmx_j4v.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/uyakkjmx_j4v.jpg" style="width: 300px; float: right;" /></a>為了防堵詐騙集團假冒政府機關的名義寄送簡訊從事詐騙，2023年數位發展部推出政府專用的111短碼簡訊發送平臺，藉由發送來源號碼是111的簡訊供民眾識別，如今數發部針對這項簡訊防詐機制進行升級。</p> <p>數發部表示自6月起他們強化111平臺的防詐識別機制，作法是在訊息開頭加入接收者手機號碼末三碼、政府機關名稱，藉由「來源號碼」、「手機末三碼」與「機關具名」等3種識別機制，來增加政府簡訊的辨識度，以提升社會對政府的信任。</p> <p>針對要增加這些識別項目的原因，數發部指出與詐騙集團會使用非法2G基地臺蓋臺手法有關，歹徒會藉此偽冒政府的名義發送111簡訊，因此他們決定整合111政府簡訊平臺服務內容，推動「政府簡訊安心辨識三步驟」來因應。</p> <p><a href="https://www.ithome.com.tw/news/169614"><strong style="font-size: 22px;">臺灣金融資安新里程碑：台新銀行成臺灣首家以銀行名義加入FIRST的業者</strong></a></p> <p>在全球網路威脅日益嚴峻、攻擊手法不斷翻新的今日，資安聯防已從「選擇」走向「必要」。在法規遵循與資安事件頻傳的雙重驅動下，臺灣金融業正積極強化資安防護能力。其中，台新銀行於 2024 年 11 月下旬正式宣布加入國際資安事件應變小組論壇（Forum of Incident Response and Security Teams，FIRST），成為臺灣首家、也是迄今唯一一家，加入此一全球最大資安事件應變與協作組織的銀行業者。這不僅為臺灣金融資安聯防樹立了全新的里程碑，更展現台新銀行致力提供客戶更安全、便捷且可信任的數位金融服務的堅定決心。</p> <p>台新銀行也加入臺灣金融業者自發組成的F-ISAC（金融業資安情資共享與分析中心），台新銀行資安長陳詰昌表示，選擇另外以台新銀行TSB-CSIRT的名義加入FIRST，除了代表該銀行的資安事件應變能力獲得國際承認，該公司也成為全球資安信任與情報共享網路的一份子，他認為，台新銀行加入FIRST的作為，除了具有戰略價值外，也同時面臨組織與資源上的挑戰。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169807"><strong>【6月30日】微軟Exchange伺服器遭大規模攻擊鎖定，臺灣是前三大目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169773"><strong>【6月27日】思科修補ISE兩項滿分資安漏洞受到高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169742"><strong>【6月26日】勒索軟體Dire Wolf鎖定臺灣、美國、泰國而來，科技與製造產業是主要標的</strong></a></p> </div></div></div>
2025/7/1 17:22作者周峻佑https://www.ithome.com.tw/news/169833
外傳蘋果打算推出採用iPhone晶片的MacBook，準備踩進AI眼鏡市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/mingchikuo/status/1939558413459177897" target="_blank">熟悉蘋果供應鏈的產業分析師郭明錤周一（6/30）表示</a>，蘋果即將於2025年底或2026年初推出搭載A18 Pro處理器的13吋MacBook，讓它成為蘋果最便宜的筆電，也計畫於2027年推出沒有顯示器的智慧眼鏡，向Meta與Google看齊。</p> <p>蘋果目前最低階的MacBook是採用M4晶片的MacBook Air，售價為999美元；至於A18 Pro處理器最初是被應用在蘋果於2024年發表的iPhone 16 Pro系列。<a href="https://9to5mac.com/2025/06/30/cheaper-macbook-iphone-chip-kuo/" target="_blank">9to5Mac引用了Geekbench的測試結果</a>，指出A18 Pro的單核跑分僅稍微落於後M4，但其多核跑分約為8780，與M1表現相近，但仍遠低於M4的多核跑分，後者接近15000分。</p> <p>郭明錤說，這款新的入門級MacBook將有銀色、藍色、粉紅色及黃色等選項，蘋果希望新款裝置能將MacBook的銷售量拉抬至與 COVID-19疫情時相當，在2026年達到2,600萬臺的出貨量，且估計A18 Pro版MacBook可望占到500~700萬臺。今年蘋果可望售出2,000萬臺MacBook。</p> <p>另一個受到關注的議題是智慧型眼鏡（Smart Glasses）。根據郭明錤的說法，蘋果將會在2027年推出沒有顯示器，但支援音訊播放、拍照、錄影與AI環境感知功能的AI眼鏡；蘋果正在測試鏡框與鏡腳的各種材質，並嘗試採用利用3D列印技術進行生產，目標是在2027年達成300~500萬付的出貨量。</p> <p><a href="https://www.ithome.com.tw/news/160942" target="_blank">蘋果在2024年1月推出要價高達3,499美元的Vision Pro頭戴裝置</a>，儘管體驗者嘖嘖稱奇，但市場並不埋單，<a href="https://www.ithome.com.tw/news/166804" target="_blank">今年初更傳出蘋果已停產Vision Pro的消息</a>。</p> <p>郭明錤的分析意謂著蘋果將效法Meta與Google的AI眼鏡模式，生產不再強調VR、AR、XR或MR的智慧型眼鏡，像是<a href="https://www.ithome.com.tw/news/169677" target="_blank">Meta與EssilorLuxottica合作的AI眼鏡系列</a>，或者是Android XR的轉型。這些新一代AI眼鏡的共同特色就是「看起來像一般眼鏡，卻有拍照、攝影、喇叭、麥克風及AI功能。」</p> <p>Android XR是Google與三星在2024年12月共同發表的擴增實境（XR）平臺，原本是要用來支援XR裝置，但<a href="https://blog.google/products/android/android-xr-glasses-demo-io-2025/" target="_blank">Google在今年5月發布Android XR的重大更新</a>，將其拓展至眼鏡領域，指出基於該平臺的眼鏡將整合AI模型Gemini，內建攝影機與麥克風，讓Gemini能觀察和聆聽周圍環境，同時透過喇叭提供AI語音回應、音樂播放或通話功能。而顯示器則為選購配件，可私密呈現實用資訊，並可與手機連動，讓使用者在雙手自由的狀態下操作各種應用程式。</p> <p><a href="https://www.ithome.com.tw/news/155990" target="_blank">經歷過Google Glass的失敗</a>，<a href="https://blog.google/products/android/android-xr-gemini-glasses-headsets/" target="_blank">如今的Google坦承</a>，只有使用者願意整天配戴的眼鏡才能真正發揮作用，並決定與時尚眼鏡品牌Gentle Monster及Warby Parker合作。</p> </div></div></div>
2025/7/1 17:03作者陳曉莉https://www.ithome.com.tw/news/169832
WinRAR修補目錄走訪漏洞，防止攻擊者濫用解壓縮植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.win-rar.com/singlenewsview.html?&L=0">WinRAR官方釋出7.12版本</a>，修補目錄走訪漏洞<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-409/">CVE-2025-6218</a>。該漏洞可能使攻擊者透過特製壓縮檔，在Windows系統上植入惡意程式碼威脅用戶安全。此問題僅影響Windows平臺，Unix及Android等其他作業系統版本則不受影響。</p> <p>CVE-2025-6218漏洞由資安研究人員whs3-detonator通報，官方公告指出，此漏洞主要影響WinRAR、RAR、UnRAR、UnRAR.dll及其Windows版可攜原始碼。攻擊者可透過特製壓縮檔案，操控檔案於解壓縮時的儲存路徑，進而將檔案寫入目標系統中的敏感目錄，像是Windows啟動資料夾。當使用者在未察覺情況下開啟並解壓縮這類特製檔案時，惡意程式可能被寫入Windows啟動資料夾，導致於下次開機時自動執行。</p> <p>這項漏洞僅影響Windows作業系統相關版本，其他平臺如Unix、Android並未受到影響。值得注意的是，漏洞需經由使用者操作如開啟或解壓縮來源不明的壓縮檔案才能被濫用，並非自動觸發型攻擊。</p> <p>WinRAR官方已針對該漏洞進行修補，並在7.12版本同步解決另一項產生報表功能的HTML標籤注入問題。此外，7.12更新也提升了備份容錯機制及跨平臺檔案時間精度的處理能力，有助於用戶強化檔案備份與管理的完整性。官方公告呼籲Windows上的WinRAR用戶，盡速下載並安裝最新版本，以防範未經授權的程式碼執行風險。</p> </div></div></div>
2025/7/1 13:59作者李建興https://www.ithome.com.tw/news/169822
德國宣稱DeepSeek非法將個資傳送至中國，要求蘋果與Google將其下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.datenschutz-berlin.de/pressemitteilung/berliner-datenschutzbeauftragte-meldet-ki-app-deepseek-in-deutschland-bei-apple-und-google-als-rechtswidrigen-inhalt/" target="_blank">一名德國資料保護專員Meike Kamp上周五（6/27）表示</a>，由於中國AI聊天機器人DeepSeek違法將使用者資料傳送至中國，已要求當地的Google Play與App Store將該程式下架。</p> <p>DeepSeek是2023年7月於中國杭州創立的AI新創，並在2025年1月發表同名的聊天機器人，同時釋出支援Android及iOS的行動程式。</p> <p>Kamp說，雖然DeepSeek並未於德國設立分公司或辦公室，但提供德語版，應受《歐盟通用資料保護規則》（GDPR）的約束；另一方面，DeepSeek服務自稱處理大量的使用者個人資料，包括所有的文字輸入、聊天紀錄、上傳的文件，以及使用者所在位置、所使用的裝置及網路資訊。該服務還將所蒐集的個人資料傳至中國處理器，並將它們存放於中國伺服器上。</p> <p>依據GDPR的規定，就算要將個人資料轉移至其它國家，也必須維持歐盟的高資料保護標準，Kamp指出，DeepSeek並未證明德國用戶存放在中國的資料，所受到的保護程度與歐盟相當，而且中國當局擁有向中國公司獲取個人資料的廣泛權利，再加上位於中國的德國用戶資料並無法受到歐盟法令的保障，因而要求兩大行動程式市集封鎖DeepSeek。</p> <p>這並非Kamp第一次採取行動。他說，在意識到DeepSeek違反GDPR之後，他在5月6日便要求DeepSeek自行自德國應用程式商店下架，而且不再將用戶資料傳送至中國，但DeepSeek並未遵守，使得他在6月27日才轉向蘋果與Google投訴。</p> </div></div></div>
2025/6/30 12:22作者陳曉莉https://www.ithome.com.tw/news/169798
DevOps快報第4期：AI開發技術競爭，戰場從IDE、專用模型延伸到CLI，從拼功能到現在開始比成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/5/1～6/25 精選DevOps與開發新聞</strong></p> <p><span style="color:#0000FF;"><strong>五六月是科技巨頭展現年度新產品的季節，Google、微軟、蘋果都有不少開發者相關的產品和發表。這期DevOps快報，要回顧過去兩個月重要的開發和DevOps新聞。三款軟體開發專用LLM，AI輔助開發的競爭從IDE蔓延到命令列工具，效能依舊是重量級編譯器和開發語言每次改版的重點。</strong></span></p> <h3><strong><span style="color:#FF0000;">開發AI代理和專用模型的競爭</span></strong></h3> <p><strong><span style="color:#0000FF;">#JetBrains #程式碼專門模型</span><br /> 第一款程式碼專用模型Mellum開源，擅長理解和補全主流開發語言的程式碼</strong></p> <p>老牌開發工具JetBrains團隊近日開源了第一個針對程式碼完成任務設計的語言模型Mellum，JetBrains團隊從零開始訓練了這款模型，而非基於現有開源模型進行微調。Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C</p> <p><strong><span style="color:#0000FF;">#軟體工程LLM #Windsurf</span><br /> Windsurf發表專為軟體工程師建置的SWE-1模型，目標完成各種軟體工程任務</strong></p> <p>不只老牌工具聚焦開發專用模型，AI開發工具新創Windsurf也在5月中釋出了他們第一款可以針對整套軟體工程任務進行優化的一套模型家族SWE-1。這是一款可以完成所有軟體工程任務的概念性驗證模型。<br /> Windsurf解釋，閱讀或撰寫程式碼只是軟體工程的一小部分，真正的挑戰在於實現能夠長期擴展的解決方案，該公司的目標是將軟體開發速度提高99%。SWE-1基於Windsurf Editor的用戶互動資料，建立了共享時間軸，以捕捉工程中的不完整狀態與跨表面任務；另也具備流程感知能力，能與人類無縫協作，即時觀察及修正彼此行動。</p> <p><strong><span style="color:#0000FF;">#單機部署 #程式設計AI代理模型 #Mistral</span><br /> Mistral公布240億參數程式設計代理人模型Devstral，特色是可以單機本地部署</strong></p> <p>法國AI新創Mistral推出軟體工程任務的AI代理模型Devstral，這是他們與開源 AI程式設計師專案OpenHands開發商合作開發的模型，可以部署到單機上，號稱軟體工程支援能力比GPT-4.1mini、Deepseek-V3還強。Devstral是從Mistral-Small 3.1微調成240億參數的模型，具備最高128k字詞的輸入長度。具有工具使用能力，能用工具來探索codebase、編輯多個檔案，支援軟工（SWE）代理人。目前只支援文字輸出輸入。由於Devstral僅240億參數，使其適合執行在單一GPU 如Nvidia GeForce RTX 4090或32MB RAM的Mac電腦上，很適合在本地機器上的部署。<br /> 根據Mistral測試，在OpenAI的軟體解題能力評測SWE-Bench verified得分上，Devstral獲得46.8，高於同級參數量的模型，如GPT-4.1-mini、Claude 3.5 Haiku和SWE-smith-LM 32B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Devstral%E8%A9%95%E6%B8%AC.jpeg" /></p> <p><strong><span style="color:#0000FF;">#主動型AI開發代理 #非同步執行</span><br /> Google開發AI代理Jules開放公測，整合GitHub可以自動執行版本升級、測試、重構和修補</strong></p> <p>Google新的AI開發代理Jules開放公測，這款軟體開發助手可以非同步地處理整個開發專案的多種任務輔助。Jules可以直接與 GitHub上的專案整合，將程式碼庫複製到安全的Google Cloud虛擬機器中執行，來理解完整的專案脈絡，也能自主執行一系列軟體開發任務，包括了版本升級、專寫測試程式、建構新功能和修復程式碼錯誤等。Jules採取計畫、審查和執行的三階段的開發任務交付方法，可以在原本的GitHub開發工作流程中，在背景自動執行任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Google-jules.jpeg" /><br /> <br /> <strong><span style="color:#0000FF;">#AI輔助軟體開發 #Codex</span><br /> ChatGPT推出了程式碼開發代理Codex，可以幫忙寫程式和除錯</strong></p> <p>AI大廠紛紛卡位軟體開發輔助需求，連ChatGPT都推出了程式撰寫代理Codex的研究預覽版，可以用來幫忙撰寫程式、回答問題、並且為程式除錯。<br /> Codex採用了以o3模型針對軟體工程優化後的codex-1模型，可以模仿真人工程師的行為，像是拉取偏好撰寫功能程式碼、回答codebase問題、除錯、並建議檢查的pull request。它會確實遵守指示，還能反覆測試直到獲得程式通過的結果。每項任務都在各自雲端沙箱環境分開執行。透過開發人員程式庫中的AGENTS.md檔可以引導Codex的行為，在其中指示Codex如何跑程式codebase、執行測試、遵循專案的標準作業。和人類一樣，提供了開發環境配置、穩定的測試設定和明確的文件，Codex代理人效果會更好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-OpenAI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#模型免費額度超多 #命令列AI工具</span><br /> 從功能戰打到成本戰，Gemini CLI主打業界免費額度最高，一天千次請求</strong></p> <p>最近Google開源了命令列AI工具Gemini CLI ，整合了程式開發助理工具Gemini Code Assist，可用來存取Gemini 2.5 Pro及其100萬個Token的脈絡視窗，目前仍為預覽版。Gemini CLI擅長各種程式碼任務，包括理解程式碼、撰寫程式碼、操作檔案、執行命令，以及動態故障排除等，允許使用者透過自然語言來撰寫程式碼、除錯與簡化工作流程。更內建了許多進階工具，包括可利用Google搜尋來強化回應，藉由MCP協定或擴充功能來延伸能力，可客製化提示與說明，也可將Gemini CLI整合到自動化的腳本程式中。Google它號稱提供了業界最高的免費額度，每分鐘最多可支援60次的請求，每天支援1,000次請求。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gemini%20CLI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#MCP #AWS #資料庫開發</span><br /> Amazon Q Developer CLI 支援MCP，更擅長讀取資料庫結構來優化SQL查詢</strong></p> <p>AWS旗下生成式AI開發工具Amazon Q Developer命令列工具日前也開始支援MCP協定，來提升開發人員在本地環境與資料來源互動的靈活性與準確度。支援MCP後，Q Developer可以存取外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理專案外部的資料結構，例如資料表關聯與欄位命名，來提升模型對開發專案脈絡的理解深度。對需要頻繁與資料庫互動的開發人員，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。</p> <p><strong><span style="color:#0000FF;">#Cursor #氛圍開發</span><br /> 知名AI輔助開發工具Cursor終於推出1.0正式版，可以自動審查程式碼</strong></p> <p>氛圍開發（Vibe Coding）者愛用的Cursor終於推出1.0正式版，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p><strong><span style="color:#0000FF;">#AI代理開發 #Fireba</span>se<br /> Google正式推出雲端AI代理開發環境Firebase Studio </strong></p> <p>Google將線上開發工具專案Project IDX改名為Firebase Studio，變成了一款AI代理的雲端開發環境。採用自家Gemini 2.5模型，可以在短短幾分鐘內建立包含前後端的全端應用程式。或是直接匯入設計工具Figma的設計稿，透過Firebase中的Gemini助手，將設計稿轉換為應用程式的新功能。內建的應用原型代理可以偵測應用程式所需的後端，並自動完成設置和資源配置。</p> <p><strong><span style="color:#0000FF;">#程式碼生成 #AI開發工具</span><br /> Google AI Studio大更新，原生內建AI程式碼生成能力</strong></p> <p>近日Google AI Studio更新，最大特點在於內建了人工智慧程式碼生成能力。開發者現在可於AI Studio進行程式撰寫、預覽、調整，並可在建置分頁一鍵部署至Google Cloud Run等雲端服務。開發人員僅需輸入簡要描述，無論為文字、圖片或影片，模型便會在AI Studio中直接產生符合需求的前端或後端程式碼。相較以往僅能產生程式碼片段，需另行串接外部IDE的情境，此次原生整合大幅簡化開發流程。新版也提供檔案結構瀏覽、版本比較和即時回溯等功能，開發者可在人工智慧協助下檢視與比對程式碼異動，並透過對話式程式碼反覆調整功能，快速回到先前的檢查點進行修正。</p> <p><strong><span style="color:#0000FF;">#VS Code #AI開發 #MCP</span><br /> 微軟開放GitHub Copilot Chat原始碼，將整合到VS Code編輯器核心，更強化MCP支援</strong></p> <p>微軟不斷強化VS Code的AI代理協作和開發能力，日前宣布以MIT授權開放GitHub Copilot Chat擴充功能原始碼，並計畫分階段將部分人工智慧相關元件從擴充功能中重構，整合至VS Code核心程式碼庫中。在VS Code 1.100版中支援用Markdown撰寫的Instructions指令檔與Prompt提示詞兩種設定檔，來統一內建AI助手的環境配置和設定，可以用來統一多人團隊的AI開發規範。Instructions指令檔用來定義開發規範，例如程式風格或指定使用的框架，而提示詞檔則可儲存完整的任務指令，例如產出元件、執行安全檢查等特定請求。這些檔案可依專案或檔案類型自動套用，助團隊建立可重複使用的人工智慧工作流程，也可透過VS Code的設定同步功能，在多臺裝置間保持一致的協作環境。另外在6月推出的VS Code v1.101則聚焦MCP協定整合，可以支援MCP認證規範，涵蓋GitHub、Entra等主要帳號授權與管理，用戶可在VS Code內管理、指定、移除MCP伺服器存取權限，以符合企業對多帳號、多平臺開發環境的安全需求。</p> <p><strong><span style="color:#0000FF;">#蘋果 #AI開發助手 #XCode</span><br /> XCode 26新版終於導入AI助理，增強自動化開發與多平臺支援</strong></p> <p>在WWDC登場的Xcode 26終於將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與編寫API註解。Xcode可以協助生成符合DocC規範的註解內容，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-xcode26-ai.jpeg" /><br /> <strong><span style="color:#FF0000;">開發語言、編譯器和開發框架進展</span></strong></h3> <p><strong><span style="color:#FF8C00;">#多語言編譯器 #Rust #COBAL</span><br /> GCC近年最大改版，新版納入Rust和COBAL，邁向多語言編譯核心</strong></p> <p>GCC編譯器在四月底發布了近年最大一次的改變，從傳統C編譯器轉型為多語言編譯核心的發展方向，不僅更換C語言的預設標準，也正式將Rust與COBOL納入支援。在語言相容性、靜態分析能力與平台支援上的全面強化，提供更現代化、多元且可擴充的開發環境選擇。<br /> GCC 15.1是GCC 15系列的第一個穩定版本。預設語言標準由gnu17切換為gnu23，導入多項語言現代化設計，如#embed指令、命名迴圈、位元操作內建函式與型別診斷改善，GCC也同步改進錯誤訊息，提供具修正建議的提示。<br /> 新版增加了Rust與COBOL的原生支援。Rust前端gccrs已能正確處理Rust 1.49語法與標準函式庫，但尚未支援較新的語法與完整std函式庫，進一步替GCC納入Linux核心子系統中的Rust元件鋪路。新引入的gcobol編譯器遵循ISO/IEC 1989:2023標準，在x86-64與AArch64架構上可通過大部分測試項目，可供企業用於維運COBOL老舊系統。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #Ruby #大型Web應用</span><br /> Ruby 3.5新版的物件配置速度翻六倍，有助於高流量Web服務場景</strong></p> <p>新版Ruby 3.5導入物件配置效能最佳化，在實測效能中比前一版本提升達6.5倍。對於大量產生物件的應用情境，特別是在現代Web服務或API設計中，效能提升幅度明顯。物件配置是Ruby執行環境中頻繁且基礎的作業之一，無論是新建資料模型、執行運算邏輯，或框架底層運作，都需大量使用。新版針對Class#new方法的實作機制調整，大幅提高了效能。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #GO #TypeScript</span><br /> 微軟用以Go語言重寫TypeScript編譯器，編譯速度快10倍</strong></p> <p>TypeScript團隊從2024年開始推動，以Go語言重寫編譯器與工具鏈的原生計畫，最近宣布開放了TypeScript Native預覽版，TypeScript編譯器首次以原生程式語言重寫，針對效能與大型專案開發需求進行架構層級調整。根據官方公開的實測資料，Native預覽版於多項主流開源專案的型別檢查與編譯速度，可達現有JavaScript版本的10倍以上，大幅縮短專案建置與開發周期。來因應雲端原生、人工智慧應用與現代前端工程規模化的需求，也解決大型TypeScript專案效能的瓶頸。 </p> <p><strong><span style="color:#FF8C00;">#載入速度提升 #V8 #JavaScript</span><br /> V8引擎支援預編譯註解標籤，大型網頁應用載入速度再提升</strong></p> <p>JavaScript引擎V8引入一項名為Explicit Compile Hints的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。官方實驗，測試 20個熱門網站時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> <p><strong><span style="color:#FF8C00;">#程式碼品質 #Rust</span><br /> 問世滿十周年的Rust推新版，調整安全函式庫設計和新增匿名管道支援</strong></p> <p>1.0版釋出滿十年的Rust語言，近日推出了1.87.0版，新版特色之一是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的stdarch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用，這項變更讓高效能運算的開發更安全，也讓程式維護更容易。另外，標準函式庫也正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單。</p> <p><strong><span style="color:#FF8C00;">#語法擴充 #C#語言</span><br /> C# 14推出擴充成員語法，可以讓現有型別擴充屬性和靜態成員</strong></p> <p>新版C# 14預覽版增加了擴充成員（Extension Members）語法，進一步擴充原有擴充方法（Extension Methods）的設計，讓開發者能以類似擴充方法的方式，替現有型別加入屬性與靜態成員。目前語法已支援方法與屬性，後續版本預期將持續擴充可支援的成員類別。# 14讓開發者除了定義擴充方法，還可以加上像是IsEmpty這樣的擴充屬性，甚至支援靜態方法與靜態屬性，並透過新的extension(...)語法指定要擴充的型別。<br /> 這讓過去不容易透過擴充方法實現的功能，例如無參數的屬性存取，變得更容易實作，也有助於整理擴充邏輯，減少重複程式碼並提升維護效率。在語法設計上，新的擴充區塊語法與既有的this參數寫法可以並存。對開發者來說，無論使用哪種語法定義擴充方法，呼叫方式都一致，不需要重新學習。</p> <p><strong><span style="color:#FF8C00;">#行動開發 #AI代理框架 #Kotlin</span><br /> Kotlin發布2.2，不只改善易用性更聚焦Kotlin生態與AI開發整合</strong></p> <p>JetBrains團隊近日發表Kotlin 2.2新版，除了著重語言易用性與安全性強化之外，也搭配人工智慧開源框架與多平臺工具的更新，來擴大Kotlin於行動、網頁、伺服器端與人工智慧應用場景的影響。新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。另外，JetBrains開源旗下Koog人工智慧代理框架，可提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署，可以協助開發者用Kotlin打造可組合、高可靠性的人工智慧代理應用。JetBrains 要讓Kotlin生態更容易整合AI開發生態圈。</p> <p><strong><span style="color:#0000FF;">#JavaScript框架 #Deno</span><br /> JavaScript執行環境Deno強化編譯功能，更容易發布獨立執行檔來簡化部署</strong></p> <p>這款新興的JavaScirpt執行環境Deno近日釋出2.3新版，原生編譯功能有不少強化，開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。2.3版本也開放透過deno.json設定，匯入本地資料夾中的模組。對開發NPM套件者來說特別實用，不用發布到套件資料庫也能進行測試與驗證。</p> <p><strong><span style="color: rgb(0, 0, 255);">#JavaScript框架 #Node.js</span><br /> Node.js強化非同步追蹤機制，上下文管理更穩定，今年10月進入LTS</strong></p> <p>另一款老牌JavaScript開發框架Node.js也釋出24主要版本，正式將非同步上下文追蹤機制，改為預設採用AsyncContextFrame實作，取代過往AsyncLocalStorage較低效率的架構。這項調整雖非外部API上的破壞性改動，卻對底層行為與效能有實際影響，特別是在需要精確追蹤請求流程與狀態傳遞的應用情境，能大幅提升穩定性與追蹤準確性。另外，24版也升級了V8 JavaScript引擎至13.6版，支援如Float16Array、RegExp.escape與Error.isError等新語法，並同步將NPM升級至11版，強化依賴管理效能與安全性。開發者熟悉的URLPattern也首度進入全域命名空間，無需額外匯入即可使用。</p> <p><span style="color:#0000FF;"><strong>更多新聞</strong></span></p> <ul> <li>Google發表Android 16用的新一代設計語言Material 3 Expressive</li> <li>Android Studio新增Android與iOS共享的模組範本，簡化跨平臺共用業務邏輯的維護</li> <li>Jenkins揭露眾多外掛程式漏洞，包括CVSS風險評分高達9.8的身分驗證外掛漏洞</li> <li>Angular v20改用新控制流程語法，全面棄用結構指令</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：</b>Mistral、Google、OpenAI、Apple</p> </div></div></div>
2025/6/27 16:56作者王宏仁https://www.ithome.com.tw/news/169783
【資安日報】6月27日，思科修補ISE兩項滿分資安漏洞受到高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科、Citrix、IBM都發布資安公告，修補Identity Services Engine（ISE）、NetScaler、WebSphere Application Server重大層級的漏洞，其中又以思科公布兩項滿分的漏洞最受到關注，而Citrix則是在不到10天裡兩度修補NetScaler重大漏洞，也引起資安圈的注意。</p> <p>除了上述的漏洞揭露，另一項AMI的BMC韌體滿分漏洞CVE-2024-54085，也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用的漏洞名單（KEV）而同樣值得留意。此外，資安業者Positive Technologies揭露專門的鎖定Exchange伺服器的攻擊行動，當中提及臺灣是駭客主要攻擊的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169695"><strong style="font-size: 22px;">北韓駭客組織Kimsuky濫用GitHub、Dropbox服務，對韓國發動APT攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FppkyPRzGkX4qOQJESQEq0J8VE.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FppkyPRzGkX4qOQJESQEq0J8VE.jpg" style="width: 300px; float: right;" /></a></p> <p>韓國再度成為北韓駭客組織Kimsuky的攻擊目標，根據資安公司ENKI揭露，3月起Kimsuky濫用GitHub私有儲存庫與Dropbox雲端服務，發動高度針對性的攻擊行動，將開源雲端平臺轉為攻擊與資料洩漏基礎設施。這波攻擊以魚叉式網釣郵件為開端，誘導受害者下載執行PowerShell惡意程式，最終在受害系統植入XenoRAT遠端存取木馬，持續收集和竊取敏感資訊。</p> <p>本次事件的攻擊鏈起始於偽裝成韓國本地法律或金融機構的釣魚郵件，攻擊者會針對目標身分量身設計文件，例如債務通知或授權書等，文件中不僅包含受害者個人資料，內容設計也極具真實感，使收件人降低戒心。郵件附件通常為加密壓縮檔，解壓密碼直接附於郵件內文，受害者一旦點擊壓縮檔內的捷徑或文件，系統即會執行嵌入的PowerShell腳本，首先從Dropbox下載偽裝為.docx或.pdf的惡意檔案，接著進行特殊檔案頭改寫與解壓縮，最終釋放並執行.NET格式的XenoRAT惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/169771"><strong style="font-size: 22px;">CISA將AMI的BMC韌體滿分漏洞列入KEV</strong></a></p> <p>本週美國網路安全暨基礎設施安全局（CISA）將3項資安弱點納入已遭利用的漏洞名單（KEV），並要求聯邦機構於7月16日完成修補，其中，最受到關注的是風險值達到滿分的CVE-2024-54085。</p> <p>這項漏洞最早在今年3月由資安業者Eclypsium揭露，存在於American Megatrends（AMI）基板管理控制器（BMC）系統MegaRAC，一旦攻擊者成功利用，就有機會遠端控制伺服器，造成主機板BMC或UEFI元件損壞，甚至無限循環地重開機，而且，該漏洞的影響範圍並非單一伺服器，攻擊者可透過資料中心環境發送惡意命令，導致所有伺服器集體受害。4月下旬華碩對於4款工作站主機板發布新版韌體，修補這項漏洞。</p> <p>究竟這項漏洞如何遭到利用，CISA並未進一步說明，有待後續研究人員公布相關調查結果。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/new-supercard-malware-using-hacked-android-phones/">惡意軟體SuperCard挾持安卓手機，意圖將用戶金融卡資料轉送給駭客</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169766"><strong style="font-size: 22px;">思科揭露兩項網路存取控制平臺ISE滿分資安漏洞</strong></a></p> <p>6月25日思科發布資安公告，針對旗下網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）修補風險值達到滿分（10分）的重大層級漏洞CVE-2025-20281、CVE-2025-20282，並指出若不盡快解決相關問題，攻擊者就能在未經授權的情況下，遠端於作業系統底層以root的身分發出命令。由於本月初思科才對ISE修補危險程度達到9.9分的重大漏洞CVE-2025-20286，因此這批新漏洞的揭露，引起外界高度關注。</p> <p>這兩個漏洞都出現在ISE的特定API，皆為未經授權的遠端程式碼執行（RCE）漏洞。其中，CVE-2025-20281影響3.3版以上的ISE和ISE-PIC，CVE-2025-20282則影響3.4版以上的應用系統。值得留意的是，思科特別提及這些漏洞沒有其他緩解措施，企業IT人員應儘速套用相關更新因應。</p> <p><a href="https://www.ithome.com.tw/news/169755"><strong style="font-size: 22px;">Citrix修補NetScaler重大層級的記憶體溢位漏洞，並指出已有遭到利用的情況</strong></a></p> <p>6月25日Citrix發布資安公告，針對應用交付控制器NetScaler ADC、安全閘道NetScaler Gateway發布緊急更新14.1-47.46、13.1-59.19版，目的是修補重大層級的資安漏洞CVE-2025-6543，值得留意的是，Citrix在公告當中提及，此漏洞已有實際用於攻擊的情況。由於剛好有研究人員針對一週前公布的重大層級資安漏洞CVE-2025–5777提出警告，並指出與一年半前造成嚴重災情的Citrix Bleed同樣危險，因此這次Citrix公布的新漏洞，格外受到關注。</p> <p>附帶一提的是，他們特別提及這項漏洞可能還會影響零信任解決方案Secure Private Access，企業無論是採用內部環境建置或是混合雲模式部署，都會曝險，Citrix呼籲這些企業的IT人員也要更新搭配的NetScaler系統來因應。</p> <p><a href="https://www.ithome.com.tw/news/169768"><strong style="font-size: 22px;">IBM發布應用程式伺服器WebSphere更新，修補任意程式碼執行漏洞</strong></a></p> <p>6月25日IBM發布資安公告，指出應用程式伺服器WebSphere Application Server存在重大層級的CVE-2025-36038，影響9.0和8.5版，CVSS風險為9.0分（滿分10分）。值得留意的是，由於沒有其他的替代緩解措施，該公司呼籲企業IT人員應儘速處理。</p> <p>對於大型企業IT環境而言，WebSphere Application Server曾是相當重要的平臺，因為它是三大企業級 Java EE 應用程式伺服器之一，根據一些行銷科技公司的觀察，目前有兩千家企業採用。</p> <p>對於這項漏洞帶來的危害，IBM指出此漏洞能遠端利用，攻擊者若是透過序列化物件的序列（Sequence），就有機會讓在系統層級執行程式碼。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/winrar-patches-bug-letting-malware-launch-from-extracted-archives/">WinRAR修補高風險漏洞，若不處理恐被用於執行惡意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/firefox-140-launches-with-critical-code-execution-bug/">Mozilla發布Firefox、Thunderbird大改版140，修補高風險記憶體漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/teamviewer-for-windows-vulnerability/">Windows版TeamViewer存在高風險漏洞，攻擊者可利用SYSTEM權限刪除檔案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/amazon-eks-flaws-expose-aws-credentials/">Amazon EKS存在權限提升漏洞，恐曝露AWS帳密資料</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169742"><strong>【6月26日】勒索軟體Dire Wolf鎖定臺灣、美國、泰國而來，科技與製造產業是主要標的</strong></a></p> <p><strong style="color: rgb(7, 130, 193);">【6月25日】勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注</strong></p> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> </div></div></div>
2025/6/27 13:56作者周峻佑https://www.ithome.com.tw/news/169773
商用軟體AI化的競賽開跑
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年五月，科技巨頭微軟和Google都在同一周舉辦了年度產品大會，不約而同地瞄準了代理AI浪潮，發表了多項生成式AI產品和技術，我們也一連用兩期封面故事，各自來介紹這兩大公雲、同時也是AI技術領導廠商的最新產品布局。</p> <p>上周，<a href="http://www.ithome.com.tw/article/169649" target="_blank"><span style="color:#3366ff;">我們先介紹了Google IO大會</span></a>，尤其聚焦生成式AI如何全面加速開發的角度。軟體開發是生成式AI已知最成熟的應用領域，也是企業需求明確的第一個場景，成了傳統開發工具廠商的新競爭焦點。Google當然也不例外，Google揭露了一系列用GenAI模型加速企業開發的工具，這些工具來自Google內部實作經驗，再進一步發展成對外的產品和服務，尤其瞄準了4大場景，像是快速生成互動式UI的工具、原有AI開發工具開始支援快速生成Web App，也推出了程式開發代理Jules公測版，要讓大規模開發工作更加自動化，最後則是要將AI代理融入開發環境，來強化AI代理App的開發工具鏈。</p> <p>Google原有的開發技術也瞄準代理AI而有不少強化，像是Android機器學習開發套件ML Kits，增加了更多GenAI API，讓Android應用程式，更容易能在裝置本地端執行Gemini Nano模型。而行動開發工具Android Studio也增加新的開發AI代理能力，輔助寫測試和執行測試的Journeys代理，以及可協助更新套件相依性和SDK的版本升級AI代理，這都是原本開發日常中繁瑣但非做不可的例行工作，現在可以有AI 代理來幫忙。</p> <p>當然不只Google開始改造、升級原有的軟體技術和工具來瞄準新一波的AI代理需求，微軟在今年開發者大會Build上，更提出了新的AI代理發展願景「Open Agentic Web」，作為旗下技術和產品的新發展方向，<a href="http://www.ithome.com.tw/article/169777" target="_blank"><span style="color:#3366ff;">這正是本周的封面故事主題</span></a>。</p> <p>微軟想像的未來網際網路，將充滿了各式各樣不同能力的AI代理，來執行企業與個人交代的工作。這些AI代理可以處理複雜的任務、存取不同類型的資料來源，甚至與其他AI代理協同合作。</p> <p>微軟想要善用開源的框架與開源工具來促成這個願景，除了擴大支援熱門的模型通訊協定MCP和跨代理協作框架A2A之外，微軟還發表了兩個新的開源專案TypeAgent和NLWeb。前者的目標是要強化AI代理記憶能力做法，後者則是為了簡化AI代理存取網站內容的門檻。</p> <p>還在發展初期的TypeAgent專案，提出了一個新的結構式RAG（Structured RAG）做法，來強化AI代理的記憶能力和回想完整度，並且進一步降低生成式AI產生幻覺的機率。</p> <p>NLWeb專案瞄準了全球2億個網站的內容，結合既有網頁標準如RSS，加上搜尋技術和LLM技術，提供了一套可以支援網站資料索引、自然語言查詢處理、LLM呼叫、向量資料庫呼叫，及站內搜尋處理等作業的技術框架，可以讓網站主很快的打造出站內的自然語言搜尋機制，也可以讓AI代理更容易讀取第三方的網站內容。這是一個瞄準真人查詢需求和AI代理檢索網站內容的通用框架。</p> <p>微軟也將邁向Open Agentic Web的相關技術和策略，開始導入到自家產品、工具和平臺的發展上。</p> <p>不只這兩大科技巨頭，開始將LLM技術和AI代理戰略，整合到既有軟體產品和工具，SAP（<a href="https://www.ithome.com.tw/news/169716" target="_blank"><span style="color:#3366ff;">請見：SAP大揭各產品線AI發展藍圖</span></a>）、SAS、紅帽今年的產品大會，也都有不少原有產品擁抱AI代理或用生成式AI技術來強化的新功能。</p> <p>隨著眾人看好企業大規模生成式AI、AI代理的落地部署需求，科技大廠紛紛動起來，今年開始加速企業級產品的AI化，也掀起了新的商用軟體AI化競賽。</p> <p><a href="https://www.ithome.com.tw/article/169777" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1240-feng_mian_p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=31nBv0Tw" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169649" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1239-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=pGaxwcVs" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169412" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1237-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Ss4z5qIo" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169264" target="_blank"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1236-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=Tnr9qAlS" style="width: 550px;" /></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BB%A3%E7%90%86ai">代理AI</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/google-io%E5%A4%A7%E6%9C%83">Google IO大會</a></div><div class="field-item odd"><a href="/tags/mcp">MCP</a></div><div class="field-item even"><a href="/tags/open-agentic-web">Open Agentic Web</a></div><div class="field-item odd"><a href="/tags/build%E5%A4%A7%E6%9C%83">Build大會</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%A7%E6%9C%83">開發者大會</a></div><div class="field-item odd"><a href="/tags/%E5%95%86%E7%94%A8%E8%BB%9F%E9%AB%94ai%E5%8C%96">商用軟體AI化</a></div></div></div>
2025/6/27 14:50作者王宏仁https://www.ithome.com.tw/voice/169778
Swift程式語言將Android納入官方支援平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://forums.swift.org/t/announcing-the-android-workgroup/80666" target="_blank">Swift官方論壇（Swift Forums）周四（6/26）宣布</a>成立了Android工作小組（Android Workgroup），以推動Android成為Swift官方支援的平臺，可望簡化行動程式開發人員同時建置iOS與Android程式的流程。</p> <p>蘋果是在2014年正式推出Swift來取代Objective-C，以開發iOS、macOS、iPadOS、watchOS、tvOS以及visionOS等蘋果平臺的應用程式，並在隔年將它開源，接著於2020年釋出的Swift 5.3開始支援Windows與其它Linux發行版本。</p> <p><a href="https://www.swift.org/android-workgroup/" target="_blank">此一Android工作小組的主要工作內容</a>包括改善及維護Swift官方版本對Android的支援；改善Foundation與Dispatch等核心Swift套件，讓它們更適合在Android環境下運作；與平臺指導小組共同制定平臺支援等級標準，並努力讓Android獲得相對應的支援；確定所要支援的Android API版本；建立持續整合系統，以於Swift專案的提交審查過程中加入Android測試；制定Swift與Android Java SDK之間的最佳整合實務，以及如何將Swift函式庫打包到Android應用程式中；開發在Android上替Swift程式除錯的工具；以及協助各種社群Swift套件新增對Android的支援。</p> <p>有一派開發人員認為，此一宣布最大的影響在可於Android及iOS程式之間共享程式碼，最終可能會取代JetBrains替跨平臺所撰寫的Kotlin Multiplatform（KMP）。亦有另一派Kotlin（Google推薦的Android程式開發語言）的支持者認為，他們還是會使用Kotlin與KMP開發。</p> <p>身為Android Workgroup推手及跨平臺開發者的Marc Prud說明，在Android程式中使用Swift的程度取決於專案的需求，開發人員可以全面採用Swift，或是簡單地將它當作一種比C++更容易攜帶及維護的底層語言。</p> <p>要讓Swift融入Android體系還有許多挑戰尚待克服，例如可能會使得APK體積爆增、需重新撰寫使用者介面，以及若是要讓Swift及Java互相呼叫，必須透過複雜且成本較高的JNI（Java Native Interface），不若KMP簡單。</p> </div></div></div>
2025/6/27 12:09作者陳曉莉https://www.ithome.com.tw/news/169769
【資安日報】6月26日，勒索軟體Dire Wolf鎖定臺灣、美國、泰國而來，科技與製造產業是主要標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定臺灣而來的資安威脅與日俱增，我們前天（24日）曾報導將臺灣視為主要目標之一的<a href="https://www.ithome.com.tw/news/169697">ORB網路LapDogs</a>，期還有其他新興的勒索軟體駭客組織，也是如此，研究人員正密切觀察當中。</p> <p>國內上市櫃公司熒茂光學、黑松發布資安重訊的消息，後續影響值得觀察；另外，有研究人員揭露新型態的網釣手法FileFix，號稱整個攻擊過程都會在瀏覽器進行，有鑑於這名研究員先揭露的ClickFix已被駭客廣泛運用，FileFix可能很快會有人試圖用在實際攻擊行動，使用者切勿掉以輕心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169740"><strong style="font-size: 22px;">勒索軟體Dire Wolf鎖定科技業、製造業而來，攻擊範圍涵蓋臺灣等11個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 13_ Victims published on Dire Wolf Data Leak Site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%2013_%20Victims%20published%20on%20Dire%20Wolf%20Data%20Leak%20Site.jpg" style="width: 300px; float: right;" /></a></p> <p>新興勒索軟體不斷竄出，且在短時間就引起資安界關注的情況持續上演，我們先前介紹的CrazyHunter、NightSpire、Anubis都是如此，其中CrazyHunter、NightSpire都在臺灣發動攻擊，如今有新的駭客組織也將臺灣視為主要的攻擊目標，而相當值得留意。</p> <p>資安業者Trustwave揭露自今年5月開始活動的勒索軟體駭客組織Dire Wolf，此組織專門針對全球的製造業與科技業發動攻擊，目前號稱在臺灣等11個國家當中，對16個企業組織下手。研究人員指出，根據受害組織的數量，駭客偏重在美國、泰國、臺灣發動攻擊。</p> <p>這些駭客向受害組織勒索的策略，也與大部分駭客相同，採用雙重勒索來進行，不僅加密檔案，也竊取機密資料向受害組織施壓。研究人員從惡意軟體分析平臺VirusTotal取得勒索軟體程式，指出駭客使用Go語言開發，並透過UPX加殼來混淆分析。雖然目前他們只有看到Windows版本的檔案，但由於Go語言的跨平臺特性，研究人員認為，不久之後，這支勒索軟體可能也會發展出能在其他平臺執行的版本。</p> <p><a href="https://www.ithome.com.tw/news/169733"><strong style="font-size: 22px;">研究人員揭露新型態網釣手法FileFix，攻擊者濫用檔案上傳視窗執行惡意指令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/filefix-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/filefix-1.jpg" style="width: 300px; float: right;" /></a></p> <p>最近兩年駭客在網路釣魚攻擊頻頻使用ClickFix的攻擊手法，他們在釣魚網頁當中假借系統錯誤、圖靈驗證等名義為誘餌，要求使用者點選特定按鈕，然後依照指示以快速鍵開啟執行視窗、貼上等操作來「修正」問題，但實際上，這麼做是將剛才暗中複製的惡意命令貼上並執行，使得駭客得以對受害電腦上下其手。如今這類手法出現變化，攻擊者有機會讓這種攻擊變得更加隱密。</p> <p>資安研究員Mr.d0x揭露名為FileFix的網釣手法，攻擊者可濫用瀏覽器的檔案上傳機制，要求使用者依照指示點選網站上的按鈕並開啟對話視窗，再使用快速鍵（Ctrl+L）或（Alt+D）選取網址列的內容，並貼上特定的內容，從而達到執行惡意命令的目的。研究人員指出，這種手法與他3年前提出的ClickFix手法有所不同，ClickFix必須引誘使用者離開瀏覽器並開啟執行視窗，但FileFix只需在瀏覽器的環境，就有機會讓攻擊者執行作業系統的命令。</p> <p>研究人員指出，這種手法不僅攻擊過程無須離開瀏覽器，若是在瀏覽器呼叫的檔案總管視窗執行惡意程式，還能突破Windows內建的Mark of the Web（MoTW）機制，此時攻擊者可正常啟動惡意酬載，該檔案的MoTW標記也會隨之消失。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175439&SPOKE_DATE=20250623&COMPANY_ID=4729"><strong style="font-size: 22px;">科技業者熒茂光學遭遇檔案加密攻擊</strong></a></p> <p>專精於光學鏡片、觸控面板技術研發的熒茂光學，於6月23日在股市公開觀測站發布重大訊息，表示他們的資安單位察覺檔案遭到加密檔案的情況，隨即啟動防禦機制與復原作業。</p> <p>而對於這起事故可能會帶來的影響，該公司根據初步評估，表示對公司營運無重大影響，也沒有個資、機密或重要文件資料外洩的跡象。但這起事故是否與勒索軟體有關，有待進一步釐清。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=141531&SPOKE_DATE=20250625&COMPANY_ID=1234"><strong style="font-size: 22px;">飲料製造商黑松內部郵件通訊錄遭竊</strong></a></p> <p></p> <p>駭客鎖定郵件伺服器發動攻擊的情況，近期不時有事故傳出，而最近有一則資安重訊疑似與這類系統遭到入侵有關，因為他們提及，攻擊者外流該公司的內部通訊錄。</p> <p>6月25日知名飲料製造商黑松發布資安重訊，指出他們遭到網路入侵，導致內部郵件通訊錄外流的情況，目前尋求外部資安顧問協助處理，調查此事發生的原因。針對這起事故可能造成的影響，根據他們的初步評估，對於公司的營運無重大影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/androxgh0st-botnet-expand-exploit-us-university-servers/">殭屍網路Androxgh0st擴大勢力範圍，鎖定美國大學伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-turn-screenconnect-into-malware-using-authenticode-stuffing/">遠端存取工具ScreenConnect遭濫用，駭客用於驗證碼填充攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/north-korean-hackers-pose-as-recruiters-target-developers/">北韓駭客假借徵才名義散布惡意NPM套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-turn-screenconnect-into-malware-using-authenticode-stuffing/">遠端存取工具ScreenConnect遭濫用，駭客用於驗證碼填充攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169739"><strong style="font-size: 22px;">Nvidia分散式訓練框架Megatron LM存在高風險漏洞，攻擊者可用於注入惡意程式碼</strong></a></p> <p>人工智慧當紅，相關的開發工具越來越重要，例如，訓練大型語言模型的工具一旦存在資安弱點，很有可能危害AI的運作。</p> <p>例如，6月24日Nvidia修補的分散式訓練框架Megatron LM，就是典型的例子，他們公布CVE-2025-23264、CVE-2025-23265兩個高風險的資安漏洞，它們都存在於特定的Python元件，攻擊者可藉由惡意檔案造成程式碼注入的現象，最終導致程式碼執行、權限提升、資訊洩露，或是資料竄改，CVSS風險為7.8分，影響0.12.0以前的所有版本，該公司發布0.12.1版Megatron-LM修補。</p> <p><a href="https://www.ithome.com.tw/news/169735"><strong style="font-size: 22px;">研究人員針對Citrix重大漏洞CVE-2025-5777提出警告，指出嚴重程度堪比Citrix Bleed</strong></a></p> <p>6月17日Citrix發布NetScaler ADC與NetScaler Gateway更新，修補重大層級的CVE-2025-5777（4.0版CVSS風險評為9.3），此為記憶體的越界讀取（OBR）弱點，起因是輸入驗證不充分造成，最近有研究人員公布更多細節，認為這項漏洞本質上與2023年揭露的Citrix Bleed（CVE-2023–4966）雷同，呼籲企業的IT人員要儘速採取行動因應。</p> <p>資安研究員Kevin Beaumont指出，CVE-2025-5777能讓攻擊者在特定組態的NetScaler設備上，讀取記憶體的內容，一旦NetScaler配置為Gateway或是驗證、授權、計費（AAA）虛擬伺服器，就會曝險。而對於攻擊者能挖掘的敏感內容，其中包含連線階段（Session）的Token，可被用於繞過多因素驗證（MFA）防護機制。而這種型態的弱點，本質上就和Citrix Bleed類似，因此Kevin Beaumont將CVE-2025-5777命名為「CitrixBleed 2」。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-kibana-flaws-enable-heap-corruption/">圖像化分析平臺Kibana存在重大漏洞，恐導致記憶體中斷、遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169405"><strong style="font-size: 22px;">以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium</strong></a></p> <p>知名的數位鑑識業者Cellebrite宣布，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>Cellebrite表示，此交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169715"><strong>【6月25日】勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> </div></div></div>
2025/6/26 16:09作者周峻佑https://www.ithome.com.tw/news/169742
Google開始測試能夠連續對話的Search Live語音搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/search-live-ai-mode/" target="_blank">Google周三（6/18）宣布</a>，已開始藉由搜尋實驗室（Search Labs）中的AI模式，測試具備語音輸入功能的Search Live，它允許Android及iOS平臺上的Google程式在搜尋時，能夠利用語音與系統連續對話，它會秀出逐字稿（Transcript），也會列出參考連結，亦可於背景使用。不過，目前僅開放美國市場參與測試。</p> <p>隨著大型語言模型的能力愈來愈強，科技業者正著手改善人們與AI模型之間的體驗，例如<a href="https://deepmind.google/models/project-astra/" target="_blank">Google DeepMind的Astra專案（Project Astra）</a>目標是建置一個可覆蓋所有Google產品的AI助理，目前正在開發自然語音的連續互動功能，或是使用各種工具替使用者完成任務，或是提供個人化答案等，並將它們應用在Gemini Live、Google搜尋或眼鏡等新裝置上。</p> <p>Google搜尋團隊解釋，AI模式中的Search Live採用一個具備先進語音能力的客製化Gemini模型，該模型是建立在擁有最佳品質及資訊的搜尋系統上，因此不管使用者從哪裡、用什麼方式發問，系統都能提供可靠且有幫助的回答。</p> <p>此外，Search Live的語音搜尋功能還採用了查詢扇出（query fan-out）技術，將一個查詢同時傳送到多個系統、模型或資料源，整合之後再予以回應，以呈現更多元的結果。</p> <p>於是Google程式用戶在搜尋中啟用Search Live時，得以用語音詢問問題，系統也會以語音回應，而且雙方可以不間斷地回應與互動，使用者也可查看對話的逐字稿，或是系統所提供的參考連結，也能進入AI模式的歷史紀錄查詢先前的對話內容。</p> <p>由於Search Live可於背景執行，因此就算螢幕鎖住了仍能繼續對話，也能在對話時使用其它程式。</p> <p>目前Google除了開放Gemini聊天機器人之外，在去年10月於全球搜尋服務中部署的<a href="https://www.ithome.com.tw/news/165747" target="_blank">AI Overviews</a>也已替使用者彙整並摘錄了重要資訊。</p> </div></div></div>
2025/6/19 14:42作者陳曉莉https://www.ithome.com.tw/news/169630
臉書即將支援Passkey登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/06/introducing-passkeys-facebook-easier-sign-in/" target="_blank">Meta周三（6/18）宣布</a>，很快就會在臉書（Facebook）的iOS及Android行動裝置上推出通行密鑰（Passkey），利用數位憑證來取代密碼以登入臉書服務，且未來幾個月就會延伸至Messenger。</p> <p>通行密鑰由一對金鑰對組成，公鑰用來註冊網站或行動程式，私鑰則存放在使用者裝置上，可能是指紋、人臉或PIN碼，並藉由它們來登入服務，無需再記住密碼，也更難遭駭客破解或入侵。</p> <p>該功能上線後，使用者即可透過設定中的Accounts Center來設定與管理通行密鑰，系統也會在使用者登入時秀出提示，不管有沒有設定通行密鑰，使用者依然可持續透過密碼來存取臉書帳戶。</p> <p>目前美國五大科技巨頭皆已開始支援通行密鑰，推動全球進入無密碼時代。蘋果的macOS、iOS與iPadOS都已支援Passkey；<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google及旗下Chrome瀏覽器與Android平臺</a>也已支援Passkey；<a href="https://www.ithome.com.tw/news/168721" target="_blank">微軟帳戶已預設支援</a>包括Passkey在內的各種無密碼登入方式；<a href="https://www.ithome.com.tw/news/159335" target="_blank">Amazon電子商務服務及WhatsApp</a>亦支援使用者以Passkey登入。</p> </div></div></div>
2025/6/19 10:17作者陳曉莉https://www.ithome.com.tw/news/169625
Android 16支援外接螢幕桌面模式，手機可雙螢幕獨立多工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html">釋出</a>Android 16第一季更新（QPR1）Beta 2測試版，啟用外接顯示器桌面模式（Connected Displays）開發者預覽。當支援裝置透過DisplayPort連接外部螢幕時，系統會依裝置型態提供不同桌面體驗，手機在外接顯示器上啟動獨立桌面，平板則將桌面延伸至兩個螢幕形成連續工作區。使用者可在兩螢幕同時執行不同應用程式，行動多工能力再度提升。</p> <p>Android 16桌面模式最大亮點，在於將手機外接螢幕功能，不只是單純鏡像螢幕畫面，而是更近一步靠向桌機體驗，並結合視窗化管理、多桌面切換與應用程式多開等桌上型電腦操作。對手機而言，主螢幕與外接螢幕各自運作互不干擾；平板則是透過延伸桌面，讓視窗與游標可在雙螢幕自由移動。外接螢幕呈現桌上型電腦操作環境，包括獨立工作列（Taskbar）、視窗任意調整與排列，以及同時執行多個應用程式。</p> <p>外接顯示器桌面模式建立於Android 16所引入的桌面視窗管理（Desktop Windowing）功能之上，該功能讓使用者於支援的平板或手機上，在外接螢幕自由調整與排列應用程式視窗，並可同時開啟多個桌面，依不同工作情境快速切換。針對多工使用需求，系統也支援應用程式多開，例如瀏覽器或記事本工具可同時開啟多個獨立視窗，桌面狀態、視窗位置與大小也能自動保存，方便用戶下次開機或切換桌面時快速回復工作環境。</p> <p>隨著Android 16第一季更新加入外接顯示器桌面模式，多工與彈性視窗管理的能力擴展至更多裝置與應用場景。</p> <p>Android 16針對相容性進行強化，以確保傳統應用在新桌面環境下依然能正常運作，透過自適應提升舊有應用在外接螢幕和桌面模式的視覺效果與操作流暢度。開發者可在Pixel系列等裝置搶先體驗，並針對彈性視窗大小、多螢幕與多桌面場景調整應用程式設計，提升相容性與使用體驗。</p> </div></div></div>
2025/6/18 08:15作者李建興https://www.ithome.com.tw/news/169596
川普家族成立Trump Mobile，將推出499美元的美國製手機T1 Phone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）的長子Donald Trump Jr.及次子Eric Trump周一（6/16）與Trump Mobile團隊共同揭露了<a href="https://www.trump.com/media/trump-mobile-launches-a-bold-new-wireless-service" target="_blank">T1 Mobile行動服務</a>，並準備於今年8月推出在美國設計與製造的智慧型手機T1 Phone，規格堪比iPhone，但售價只有499美元。</p> <p>儘管該新聞稿中特別聲明，Trump Mobile及其產品與服務，並非由川普集團或其附屬公司或負責人所設計、開發、製造或經銷，Trump Mobile只是取得Trump的名稱與商標，隨時可終止及撤銷，企圖切割Trump Mobile與川普集團的關係。然而，該消息是由川普集團（Trump Organization）所發布，再加上川普兩名兒子的站臺，外界一面倒地認為這是川普集團的新業務，代表川普家族將進軍電信市場。</p> <p>Trump Mobile將與美國三大行動電信商Verizon、T-Mobile及AT&T合作，旗艦產品為每月47.45美元的The 47 Plan方案，提供無限的資料傳輸、簡訊及通話服務，還可免費撥打國際電話至逾100個國家，且不必綁約，支援各種手機。</p> <p>Trump Mobile也準備在今年8月推出智慧型手機<a href="https://trumpmobile.com/t1-phone" target="_blank">T1 Phone</a>。T1 Phone採用6.8吋螢幕，內建Android 15作業系統，配備12GB記憶體，256GB儲存空間，5,000萬畫素的主相機，以及1,600萬畫素的自拍相機，還有5000mAh容量的電池。</p> <p>雖然沒有揭露處理器，但T1 Phone的其它硬體規格堪比蘋果最新的<a href="https://www.apple.com/iphone/compare/" target="_blank">iPhone 16系列</a>，售價卻只要499美元，還標榜是在美國設計與製造。</p> <p>不過，<a href="https://www.wsj.com/tech/trump-t1-phone-components-features-2415c7cd" target="_blank">華爾街日報（WSJ）認為</a>，T1 Phone若是要在8月上市，就絕不可能是在美國製造。該報引用供應鏈專家的看法，指出美國需要數年及數十億美元才能建立起與中國產量相當的工廠及技術組合，且其勞動力與基礎設施成本也將是天文數字，手機生產成本將是iPhone的好幾倍，因而揣測T1 Phone初期很可能來自中國。</p> </div></div></div>
2025/6/17 14:36作者陳曉莉https://www.ithome.com.tw/news/169587
Graphite間諜軟體利用iOS零點擊漏洞攻擊記者，Apple已緊急修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple針對部分iOS用戶發出罕見威脅通知，指稱其裝置遭遇高階間諜軟體攻擊，提醒受影響用戶提高警覺。根據資安研究團隊Citizen Lab最新調查，經技術鑑識後，首次有法證證據確認，至少兩名歐洲記者的iPhone遭濫用iOS零點擊漏洞入侵，悄悄植入以色列Paragon Solutions開發的Graphite間諜軟體。Apple目前已針對該漏洞CVE-2025-43200發布安全更新並加強防護。</p> <p>Citizen Lab公布的<a href="https://citizenlab.ca/2025/06/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/">調查結果</a>顯示，收到Apple通知的受害者包括一名歐洲知名記者及義大利媒體Fanpage.it主編。團隊對兩臺受害iPhone進行系統日誌及網路流量鑑識，發現這兩臺裝置於2025年1月至2月間，在iOS 18.2.1版本下連線至一個與Graphite間諜軟體基礎設施有關的C2伺服器，並留下攻擊者特徵帳號ATTACKER1的iMessage訊息紀錄。研究團隊比對伺服器指紋及既有行為模式，高度確信攻擊來自Paragon Solutions的Graphite產品，且屬於零點擊攻擊，也就是無須用戶互動即可遠端入侵。</p> <p>iOS零點擊攻擊已成為高價傭兵間諜軟體主要入侵管道，相關技術門檻與漏洞價值均高。此次攻擊所用的CVE-2025-43200，經Apple確認已於iOS 18.3.1修補，Apple同步主動通知疑似受害用戶，建議盡快升級系統並尋求專業協助。Citizen Lab指出，受害裝置中的關鍵證據，如惡意伺服器連線紀錄及攻擊帳號，均指向同一間諜軟體操作方，顯示攻擊可能由單一客戶針對多個目標，並有系統性監控新聞機構之情形。</p> <p>Graphite間諜軟體過去已在歐洲多國，被揭露用於監控人權工作者、政治異議人士及新聞從業人員。義大利國會委員會今年6月初發布調查報告，承認國安單位曾購買並運用該軟體於特定案件，但對於Fanpage.it媒體相關人員遭駭一事，未明確說明責任歸屬。Paragon Solutions雖表示願意協助義大利政府調查，但因國安考量遭婉拒，雙方說法不一。</p> <p>Graphite等產品具備高度模組化，支援iOS與Android等多種平臺，並結合分散式基礎設施與反鑑識技術。即便作業系統業者積極修補漏洞，仍難以完全杜絕此類攻擊。各國立法、監管與資安社群已多次呼籲強化商業間諜軟體管理，但由於供應鏈跨國、授權方不明及技術查核難度高，後續追蹤及責任釐清存在挑戰。</p> </div></div></div>
2025/6/16 08:10作者李建興https://www.ithome.com.tw/news/169558
Android 16正式發布先提供Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-16/" target="_blank">Google宣布Android 16正式發布</a>，已優先推向Pixel手機用戶，提供全新設計語言、新通知介面、Log紀錄，以及支援平板分割螢幕等功能。</p> <p>Android 16也是近幾年來公布最早的重大更新。而除了Pixel手機用戶，接下來也會逐步推向三星、小米、OnePlus、Motorola及其他Android手機。</p> <p>Android 16介面採用最新的Material 3 Expressive設計語言。Android 16也提供了多項新功能及功能更新。首先是即時通知（Live Updates），可即時顯示相容第三方服務的更新狀態，不必每5分鐘點開App查看一次。第一批相容服務是叫車類及餐點外送。Google並說，會逐步將這功能推向其他Android手機業者開發的通知，如三星的Now、OPPO和OnePlus的Live Alerts。此外Android 16也會將單一App的通知自動集結起來以減少資訊量過載。</p> <p>其次為輔助（accessibility）功能。Android 16將可改善助聽器使用經驗；現有使用藍牙LE Audio的助聽器，是以內建前向式麥克風來收聽來自前方的聲音，但無法收聽使用者本身的聲音。現在在嘈雜環境中，用戶可以用Android 16手機的麥克風取代助聽器。Android 16加入原生的助聽器控制功能，允許在手機上控制助聽器音量。</p> <p>Android 16現在加入進階防護（Advanced Protection）功能，號稱是Google最強行動裝置安全功能，可協助防護線上攻擊、有害App、惡意網站、詐騙電話等。<a href="https://security.googleblog.com/2025/05/advanced-protection-mobile-devices.html" target="_blank">根據Google網頁</a>，進階防護功能可運用於Chrome、Google Message、Phone by Google等，Google也計畫未來整合第三方App。</p> <p>Google也推出Android裝置專用，號稱業界第一個入侵紀錄（Intrusion Logging）。它將裝置log加密防護保存，只有用戶可以存取，這可在裝置遭駭時，提供鑑識分析。</p> <p>Android 16另外新增平板專用的電腦分割視窗（desktop windowing）。這是Google和三星合作，以三星DeX為基礎開發，可在單一Android平板上開啟多個應用程式視窗並調整大小，一如在桌機上，</p> <p>本項功能也會在今年推向其他相容裝置。此外Google預告今年內還會推出自訂鍵盤快速鍵，以及工作列溢位管理（taskbar overflow），後者方面工作列開滿時快速找到想要的App。此外，<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html" target="_blank">Google也正在公測</a>連結Android手機/平板和外接顯示器的功能。</p> <p>Google預告今年內還會為Android 16及Wear OS 6，加入更多Material 3 Expressive設計更新。</p> <p>除了Android 16，<a href="https://blog.google/intl/zh-tw/products/devices-services/pixel-drop-june-2025/" target="_blank">Google同時也釋出</a>Pixel手機功能更新（Pixel Drop），包括放大鏡支援搜尋、Pixel VIP聯絡人小工具等、新增的照片編輯能力、以及能消除背景噪音的錄音工具等。</p> </div></div></div>
2025/6/12 10:16作者林妍溱https://www.ithome.com.tw/news/169493
【資安日報】6月11日，微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169469"><strong style="font-size: 22px;">健康食品批發龍頭United Natural Foods遭網路攻擊，出貨受影響</strong></a></p> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p>UNFI在提交美國證管會的報告指出，該公司今年6月5日在部分IT系統發現未授權活動，立即採取應變，關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家的協助，進行評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也實作替代方案，以便交付訂單。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=122607&SPOKE_DATE=20250609&COMPANY_ID=3450"><strong style="font-size: 22px;">針對駭客兜售內部資料的情況，聯鈞光電發布資安重訊說明，指出在著手強化防禦過程再度遭到攻擊</strong></a></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況進行說明，他們提及1月19日<a href="https://www.ithome.com.tw/news/167064">遭受勒索軟體攻擊</a>後，就尋求外部資安業者協助，強化網路與資安架構，但在尚於著手改善的過程裡，又於5月16日面臨另一勒索軟體入侵的情況。針對這起事故可能造成的影響，聯鈞表示根據他們的評估，對公司營運無重大影響，但他們提及有疑似資料外洩的情況，將進行深入調查。</p> <p>究竟聯鈞提及的報導為何？我們推測很有可能是民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025607W0132">於6月7日的報導</a>，當中提及於今年1月駭客組織Akira對聯鈞光電發動攻擊，他們當時在駭客論壇兜售90 GB資料，號稱內含大量保密協議（NDA）、公司機密授權文件，開價1千美元。</p> <p>另一組聲稱攻擊聯鈞的勒索軟體駭客組織是Crypto，這批歹徒於5月28日表示手上握有700 GB聯鈞內部資料。但聯鈞遭遇的資安事故是否就是這些勒索軟體駭客所為，該公司並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fin6-hackers-pose-as-job-seekers-to-backdoor-recruiters-devices/">駭客組織FIN6假借求職名義從事社交工程攻擊，意圖散布惡意軟體More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://FBI: BADBOX 2.0 Android malware infects millions of consumer devices">針對綁架全球逾百萬臺連網裝置的殭屍網路BadBox 2.0，FBI警告用戶要加強防範，以免裝置被綁架用於網路犯罪</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169471"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被實際利用的WebDAV零時差漏洞</strong></a></p> <p>6月10日微軟發布本月例行更新（Patch Tuesday），修補67個漏洞，數量較上個月78個有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報，對於漏洞發現的過程，Check Point表示，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司。</p> <p><a href="https://www.ithome.com.tw/news/169478"><strong style="font-size: 22px;">兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" style="width: 300px; float: right;" /></a>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺Salesforce下手，竊取其中的內容，一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以資安研究員Tobia Righi公布的零時差漏洞引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，找到21項與組態配置有關的弱點，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p><a href="https://www.ithome.com.tw/news/169474"><strong style="font-size: 22px;">SAP修補NetWeaver重大層級漏洞</strong></a></p> <p>本週二（6月10日）SAP發布6月份Security Patch Day每月例行更新，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞CVE-2025-31324、CVE-2025-42999（CVSS風險值為10分、9.1分），由於上述事故的發生，使得與這套應用程式伺服器相關的嚴重漏洞，近期特別受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/adobe-releases-patch-fixing-254.html">Adobe發布6月例行更新，修補254個漏洞創下今年新高</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/211341">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於憑證注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-workspace-control-hardcoded-key-flaws-expose-sql-credentials/">Ivanti Workspace Control存在寫死金鑰弱點，搭配的SQL資料庫恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169470"><strong style="font-size: 22px;">F5買下代理程式型態AI的資安新創Fletch</strong></a></p> <p>資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch，期望降低資安管理的複雜性。</p> <p>對於併購案金額，雙方並未透露相關資訊。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性，在買下Fletch後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> </div></div></div>
2025/6/11 17:19作者周峻佑https://www.ithome.com.tw/news/169486
【資安日報】6月10日，中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月底傳出<a href="https://www.ithome.com.tw/news/169308">營運中斷</a>的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169453"><strong style="font-size: 22px;">中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" style="width: 300px; float: right;" /></a></p> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露有多組人馬針對他們而來的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，公布更完整的調查結果。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169451"><strong style="font-size: 22px;">惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" style="width: 300px; float: right;" /></a>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露自5月中旬出現的網釣攻擊活動，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p><a href="https://www.ithome.com.tw/news/169448"><strong style="font-size: 22px;">駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露針對React Native Aria生態系統的NPM供應鏈攻擊，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/169394"><strong style="font-size: 22px;">Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤，引發資安疑慮</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" style="width: 300px; float: right;" /></a>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同發表研究，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化（de-anonymizing）追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>研究人員發現，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現網頁與應用程式間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能監聽相關連接埠，衍生更多資安與個資外洩風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/malicious-apps-google-play-users-for-seed-phrases/">逾20款惡意App上架Google Play市集，意圖加密貨幣錢包的竊取通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-rust-developed-infostealer/">以Rust打造的竊資軟體鎖定Chromium瀏覽器而來，企圖竊取敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hunt.io/blog/pasteee-xworm-asyncrat-infrastructure#XWorm_and_AsyncRat_Indicators_of_Compromise_IOCs">程式碼共享平臺Paste.ee遭濫用，駭客意圖散布XWorm和AsyncRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-strikes/">北韓駭客Kinsuky同時藉由臉書、電子郵件、Telegram從事網釣攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/169422"><strong style="font-size: 22px;">Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入</strong></a></p> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組修補一系列資安弱點，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞。最嚴重的資安漏洞是CVE-2025-4517，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/169449"><strong style="font-size: 22px;">Google用戶的電話號碼驚傳可被暴力破解</strong></a></p> <p>資安研究人員BruteCat周一（6月9日）揭露，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。研究人員在今年4月將漏洞報告提交給Google，獲得5,000美元獎金，而Google則於本月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，結果發現，帳戶復原服務竟然可正常執行。BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著利用自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼需20分鐘，找到一個英國號碼只要4分鐘，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/">HPE修補備份平臺StoreOnce重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> </div></div></div>
2025/6/10 16:47作者周峻佑https://www.ithome.com.tw/news/169459