iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Apache軟體基金會否認OpenOffice專案資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.bleepingcomputer.com/news/security/apache-openoffice-disputes-data-breach-claims-by-ransomware-gang/" target="_blank">Apache軟體基金會本周駁斥</a>上周駭客宣稱已竊取其員工及軟體資料的消息。</p> <p><a href="https://www.ithome.com.tw/news/172027" target="_blank">Akira駭客組織10月底在資料公布網站中聲稱</a>，即將上傳其取得的Apache OpenOffice開發維護單位的23GB資料，包含地址、電話號碼、出生日期、駕照、社會安全碼及信用卡資訊等員工個資，以及財務資料、機密文件、與應用程式漏洞和開發問題相關的多項報告。不過沒有第三方研究人員證實駭客說法的真假。</p> <p>上周沒有回應的Apache軟體基金會（Apache Software Foundation，ASF）發言人，本周稍早對Bleeping Computer表示，對此不知情。基金會稱很重視專案的安全性，目前已進行調查，但沒有聽說基金會或是Apache OpenOffice專案接獲勒贖訊息。</p> <p>Apache軟體基金會表示，Apache OpenOffice是開源軟體，沒有貢獻者是該專案或基金會的支薪員工，他們甚至沒有駭客宣稱的那些資料。因此基金會認為歹徒指的可能不是基金會或OpenOffice專案的基礎架構。此外，由於OpenOffice是開源軟體，在開發人員mailing list上以公開透明方式打造，所有功能和臭蟲也都是公開的，意謂駭客所謂軟體問題的報告資料被公開並非嚴重事件。</p> <p>Apache軟體基金會昨日又說，調查確認沒有發現任何資料外洩證據，因此他們也沒有聯繫執法機關或任何安全專家。</p> <p>資安媒體分析，基於OpenOffice的開源特性，已安裝的用戶應該不用太擔心。</p> </div></div></div>
2025/11/5 10:57作者林妍溱https://www.ithome.com.tw/news/172044
VS 2022 17.14升級Copilot，加入記憶功能讓AI學習團隊開發風格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-october-update/">Visual Studio 2022 17.14更新</a>，重點圍繞GitHub Copilot的專案感知與可預測性，新增記憶機制與規畫功能，同時擴充模型選項並改善聊天對話管理。此次更新讓開發者可透過Azure Foundry導入與管理偏好的模型，同時提供集中最新動態與學習資源的Visual Studio Hub入口。</p> <p>記憶機制可讓Copilot理解並應用團隊既有規範。當使用者在聊天中更正產出、標準或要求記住時，系統會偵測偏好並提示保存，分類寫入專案的說明檔，成為可被團隊共享的開發慣例描述，後續回應可維持跨工作階段的一致性。</p> <p>Copilot Chat加入規畫功能，處理跨多檔案的大型改動。當提出複雜需求時，系統會產生一份Markdown計畫檔，列出待辦、預計修改的檔案與採用的脈絡，並在執行過程持續更新進度與策略，讓動作可追蹤且邏輯透明。計畫檔預設為暫時性，當需重複使用或分享可將其存入儲存庫。</p> <p>此次也引入指令檔（Instruction Files）做為專案內的區域化設定來源。開發者可在儲存庫中建立專屬的說明檔，描述特定資料夾或檔案應遵循的程式開發規範與風格，當使用者在Copilot Chat進行提示時，系統會自動辨識相關指令並引用，使不同元件間能維持一致的實作準則與風格。</p> <p>模型選擇部分，聊天視窗新增支援Anthropic的Claude Sonnet 4.5與Claude Haiku 4.5，為開發者提供更多具推理能力與回應風格差異的模型選項。針對需要更高自主性的企業團隊，微軟同時宣布透過Azure Foundry整合自帶模型功能，讓組織能在自有控管環境中使用偏好的模型，供Copilot Chat直接呼叫。</p> <p>聊天管理還新增/clear與/clearAll兩項指令，分別可重置當前對話或清除所有舊對話紀錄，以減少歷史脈絡干擾並維持工作專注。</p> </div></div></div>
2025/11/5 07:43作者李建興https://www.ithome.com.tw/news/172034
群暉備份伺服器支援Proxmox的VM保護與Wasabi雲端儲存
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/apm_1.1-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/review/166954">去年底</a>群暉正式推出備份應用設備ActiveProtect，這套解決方案採用的系統軟體平臺ActiveProtect Manager（APM），今年10月釋出1.1更新版，當中將支援更多類型工作負載、提供更安全的資料存取方式、增強法規遵循能力，以及擴充儲存分層選項，協助企業與組織提升網路安全韌性。</p> <p>ActiveProtect能保護多種類型的系統，以虛擬化環境而言，群暉的備份應用設備支援VMware vSphere的5.0版至8.0版，微軟Windows Server Hyper-V的2016版至2022版，<a href="https://kb.synology.com/zh-tw/APM/tutorial/ActiveProtect_back_up_restore_Proxmox">APM 1.1新增支援開放原始碼虛擬化平臺Proxmox Virtual Environment</a>，能夠針對Proxmox VE 8.0至8.4，以及9.0版系統執行的Windows或Linux虛擬機器，提供備份與還原功能。</p> <p>基本上，用戶可透過腳本自動化下載安裝ActiveProtect代理程式，能夠將代理程式大量（批次）部署至Proxmox VE承載的虛擬機器，後續可透過備份整機實體伺服器的方式運作，群暉表示，在管理主控臺介面上，不會顯示Proxmox的圖示或字樣。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APM 1_1-features proxmox.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APM%201_1-features%20proxmox.jpg" style="width: 600px;" /></a></p> <p>關於資料存取的防護，APM新增「允許存取模式（Allow Access Mode）」，能夠更精細地控管網路存取，例如，在備份作業執行期間，僅允許列於白名單的IP位址連入系統，一旦備份工作完成或提前結束，系統會自動轉換為完全隔離模式，藉此確保備份資料的安全性。群暉在此提供氣隙隔離（air-gap）設定選項，能限定備份伺服器只能在接到備份副本或處於儲存分層作業實，才能啟動資料傳輸專用的網路介面卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APM 1_1-features Air Gap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APM%201_1-features%20Air%20Gap.jpg" style="width: 600px;" /></a></p> <p>在備份資料分散風險的部分，APM 1.1支援多站點（multi-site）、橫跨多個地理區域的備份（multi-geo），使備份資料能存放在多個指定的地理位置，符合資料須存放在本地的法規要求。ActiveProtect可以建立叢集（站點），納入不同地理位置的備份伺服器，達到集中管理的目的，協助企業做到橫跨多地理位置的資料保護，以及資料落地的合規需求。而在雲端服務的部分，APM 1.1也支援<a href="https://learn.microsoft.com/zh-tw/microsoft-365/enterprise/microsoft-365-multi-geo?view=o365-worldwide">Microsoft 365多地理位置環境</a>的資料備份與復原，群暉這套備份系統可辨識啟用此功能的M365資料，並完成備份與還原。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APM 1_1-features Multisites.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APM%201_1-features%20Multisites.jpg" style="width: 600px;" /></a></p> <p>關於備份目的地的儲存分層（遠端儲存）應用上，APM既有版本可支援群暉自家的儲存設備，像是已安裝ActiveProtect Vault套件的NAS設備、SA系列與HD系列，以及雲端物件儲存服務，如AWS的Amazon S3、群暉C2 Object Storage。到了新登場的APM 1.1，額外支援Wasabi Cloud Object Storage、其他相容於S3的儲存系統，以及特定XS/XS+型號的群暉NAS設備，可針對資料長期保存與釋放備份伺服器儲存空間的需求，提供更多選擇彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APM 1_1-features Remote Storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APM%201_1-features%20Remote%20Storage.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/APM%20Support%20Wasabi1.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">群暉ActiveProtect Manager 1.1</span></strong><br /> ●原廠：群暉科技<br /> ●建議售價：廠商未提供<br /> ●適用產品機型：DP7400為2U、12槽（10臺20 TB硬碟+2臺3,840 GB SSD），DP7200為2U、12槽（10臺12 TB硬碟+2臺2.5吋1,920 GB SSD），DP340為桌上型、4槽（4臺8TB硬碟+2臺400 GB SSD），DP320為桌上型、2槽（2臺8 TB硬碟）<br /> ●可保護的工作負載：<br /> 實體伺服器（Windows Server 2008 R2至2022，Linux為Debian、Ubuntu、RHEL、CentOS、Fedora）、<br /> 個人電腦（Windows 7 SP1至11，macOS 10.15.7至15）、<br /> 檔案儲存伺服器（SMB、NetApp ONTAP 9.11.1至9.15.1、Nutanix Files 3.6.5、群暉NAS）、<br /> 虛擬機器（VMware vSphere 5.0至8.0，Microsoft Hyper-V 2016至2022）、<br /> 資料庫（SQL Server 2017至2022，Oracle Database 18c至21c）、<br /> 雲端服務（Microsoft 365，涵蓋Exchange、OneDrive、SharePoint、Microsoft Teams）<br /> ●最大同時備份數量：實體伺服器與個人電腦為60臺，虛擬機器與檔案伺服器為10臺，雲端應用程式為60個</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/11/4 19:02作者李宗翰https://www.ithome.com.tw/review/171996
【資安日報】11月4日，新型態惡意軟體濫用OpenAI的API隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著企業組織對於資安越來越重視，駭客也透過以合法掩護非法的策略，隱匿攻擊活動以免東窗事發，其中針對遠端透過C2控制受害電腦的手段，最近幾年最常見的是濫用合法雲端服務來達到目的，但這樣的情況本週出現變化，在今天有兩個相關資安事故消息，其中一個是惡意軟體SesameOp的攻擊行動，駭客運用了OpenAI的特定API來達到目的；另一起事故是惡意軟體Airstalk活動，國家級駭客攻擊行動CL-STA-1009濫用裝置管理平臺Workspace ONE Unified Endpoint Management的API而得逞。</p> <p>今天新聞當中，鎖定裝置管理平臺下手的現象也相當值得關注，除了前述的Workspace ONE Unified Endpoint Management，本週有資安業者揭露裝置管理平臺Lanscope Endpoint Manager重大資安漏洞CVE-2025-61932被用於實際攻擊的情況，中國駭客組織Bronze Butler用於入侵受害企業組織。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172025"><strong style="font-size: 22px;">惡意軟體SesameOp濫用OpenAI的API從事攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SesameOp-fig21.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SesameOp-fig21.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避偵測，駭客經常濫用合法雲端服務建置C2通訊，然而最近有人對AI助理的API下手，以此隱匿行蹤而不被發現。</p> <p>微軟事件回應團隊指出，他們在今年7月發現名為SesameOp的後門程式，其中最特別的地方，就是濫用OpenAI Assistants API作為C2通道。針對這項發現，微軟強調此事並非漏洞或配置錯誤所致，他們與OpenAI分享調查結果，並聯手進行後續處置，OpenAI停用攻擊者的API金鑰及相關帳號。兩家公司進一步調查此事，確認SesameOp僅有運用有限的API呼叫，並未與OpenAI的模型或服務進行互動。</p> <p>微軟是在調查一起複雜的資安事故時，發現這支惡意程式，當時攻擊者已在受害企業組織的網路環境活動數個月。微軟看到駭客設置結構複雜的Web Shell，這些作案工具的用途，就是用來執行攻擊者下達的命令。相關命令透過戰略性設置的惡意處理程序進行中繼處理，而這些處理程序的運作方式，是濫用多個已遭惡意程式庫滲透的Visual Studio公用程式，攻擊者透過名為.NET AppDomainManager注入的手法來啟動，從而達到迴避偵測的目的。</p> <p><a href="https://www.ithome.com.tw/news/172026"><strong style="font-size: 22px;">國家級駭客散布惡意軟體Airstalk，鎖定業務流程外包業者從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-231110-163077-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-231110-163077-5.png" style="width: 300px; float: right;" /></a></p> <p>駭客以合法服務掩蓋網路犯罪的情況，其中一種就是利用雲端服務來充當C2通訊管道，不過，在最近一起供應鏈攻擊裡，攻擊者竟是透過受害組織的裝置管理平臺來達到目的。</p> <p>資安業者Palo Alto Networks揭露國家級駭客攻擊行動CL-STA-1009，駭客運用名為Airstalk的惡意程式，鎖定業務流程外包業者（BPO）從事供應鏈攻擊，企圖從受害電腦竊取瀏覽器存放的敏感資料，包括Cookie、上網記錄，以及書籤，再者，該惡意程式還能讓攻擊者對受害電腦進行螢幕截圖。</p> <p>此惡意程式的獨特之處，在於駭客濫用VMware的裝置管理平臺Workspace ONE Unified Endpoint Management（原名AirWatch）特定API，來建立C2通道，主要遭到濫用的功能，包含管理自定型態裝置的屬性，以及檔案上傳機制。</p> <p><a href="https://www.ithome.com.tw/news/172029"><strong style="font-size: 22px;">裝置管理工具Lanscope存在重大漏洞，中國駭客Bronze Butler用於散布後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BRONZEBUTLER2510-fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BRONZEBUTLER2510-fig2.png" style="width: 300px; float: right;" /></a></p> <p>10月20日日本電腦緊急應變中心（JPCERT/CC）提出警告，當地軟體業者Motex旗下的裝置管理平臺Lanscope Endpoint Manager存在重大資安漏洞CVE-2025-61932（CVSS風險評為9.8分），該漏洞已被用於攻擊行動，最早可追溯到今年4月，呼籲用戶要儘速套用修補程式，後續美國網路安全暨基礎設施安全局（CISA）將其加入已遭利用的漏洞名冊（KEV），本週有資安業者公布相關攻擊活動的情形。</p> <p>資安業者Sophos指出，被稱為Bronze Butler、Tick的中國駭客組織，將此漏洞用於實際攻擊，他們在今年中旬看到駭客以此取得初始存取管道，然後在受害組織的網路環境提升權限並橫向移動。過程中，使用名為Gokcpdoor的惡意程式，並透過能公開取得的AD資訊轉存工具goddi、遠端桌面連線，以及壓縮軟體7-Zip，進行橫向移動並將竊得的資料傳送到外部。</p> <p>惡意程式Gokcpdoor主要的功能是當作後門，可用來與C2伺服器建立代理伺服器連線來接收命令。但除了運用Gokcpdoor，Sophos也看到Bronze Butler在部分受害主機改用C2框架Havoc。</p> <p><a href="https://www.ithome.com.tw/news/172027"><strong style="font-size: 22px;">Apache OpenOffice員工、程式碼資料疑遭Akira勒索軟體駭客竊取</strong></a></p> <p>根據Cyber Press、Cyber Security News報導，勒索軟體Akira上周宣稱取得開源生產力軟體Apache OpenOffice開發組織的內部資料，包含員工個資、程式碼及漏洞資料，檔案容量共約23 GB。</p> <p>Akira駭客組織10月底在其資料公布網站中聲稱，即將上傳其取得的Apache OpenOffice開發維護單位資料，包括員工個資如實體地址、電話號碼、出生日期、駕照、社會安全碼，以及信用卡資訊。此外，駭客宣稱還握有財務資料、機密文件、以及涉及應用程式漏洞和開發問題的多項報告。</p> <p>不過，目前沒有研究人員證實駭客說法的真實性。Apache軟體基金會發言人拒絕回應此事。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=190702&SPOKE_DATE=20251103&COMPANY_ID=8411"><strong style="font-size: 22px;">金屬包裝容器業者福貞旗下子公司遭網路攻擊</strong></a></p> <p>11月3日金屬包裝容器業者福貞發布資安重訊，指出他們位於福建的子公司發生部分資訊系統遭到網路攻擊的情況。該公司根據目前評估，表示無個資、機密，以及重要文件外洩的情況，對公司營運無重大影響。</p> <p>這則資安重訊很有可能與近期勒索軟體Radar聲稱對其下手有關，威脅情報平臺FalconFeeds.io指出，<a href="https://x.com/FalconFeedsio/status/1985360231728382125">11月3日Radar聲稱入侵Kingcan Holdings Limited</a>，並將該公司列於受害者名單。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/184076/security/old-linux-kernel-flaw-cve-2024-1086-resurfaces-in-ransomware-attacks.html">近兩年前揭露及修補的Linux核心漏洞CVE-2024-1086，已被用於勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/cybercriminals-exploit-remote.html">物流與貨運業者遭到鎖定，歹徒利用遠端管理工具入侵網路環境，竊取貨物牟取經濟利益</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/claude-ai-apis-can-be-abused-for-data-exfiltration/">研究人員揭露濫用Anthropic Claude的API竊取資料的攻擊手法</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172021"><strong style="font-size: 22px;">DNS伺服器軟體BIND存在高風險資安漏洞，迄今仍有超過6千臺系統尚未修補</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3HEzgMvnG3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3HEzgMvnG3.png" style="width: 300px; float: right;" /></a></p> <p>10月22日網際網路系統協會（ISC）發布DNS伺服器軟體BIND更新，修補3項高風險資安漏洞CVE-2025-40778、CVE-2025-40780，以及CVE-2025-8677，這些漏洞一旦遭到利用，攻擊者有機會遠端進行快取中毒攻擊，或是造成服務中斷（DoS）的現象。由於BIND是目前最普遍使用的DNS伺服器軟體，因此，相關漏洞的處理，茲事體大，用戶應儘速升級9.16.50、9.18.41、9.20.15，或9.21.14版因應。ISC強調，這些漏洞沒有其他替代緩解措施能夠因應。</p> <p>值得留意的是，事隔一週，仍有6千至8千臺BIND伺服器存在相關漏洞。Shadowserver基金會提出警告，他們在10月30日看到8898臺BIND主機尚未修補CVE-2025-40778，到了11月1日降至6653臺。我們實際檢視相關資料，11月2日又出現增加的現象，共有8223臺DNS解析器曝險，其中亞洲地區最多，有3555臺，歐洲與美洲居次，分別有2063臺與1674臺。從國家來看，美國有約1300臺最多，俄羅斯、伊朗，以及法國居次，分別有637、598、547臺。在臺灣，有71臺BIND伺服器尚未修補而曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/googles-ai-big-sleep-finds-5-new.html">Google旗下AI資安代理Big Sleep再度立功，於Safari找到5項資安漏洞</a></strong></p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/172028"><strong style="font-size: 22px;">資安專家參與勒索軟體攻擊，遭美國司法部起訴</strong></a></p> <p>美國司法部上個月起訴了涉及散布勒索軟體並向受害組織敲詐的3名駭客：Ryan Goldberg、Kevin Martin，以及另一名未具名的共謀C，根據芝加哥太陽報（Chicago Sun-Times）本周披露，Goldberg是以色列資安業者Sygnia的跨國企業事件回應經理，而Martin則是美國加密貨幣支付暨反詐欺監控服務供應商DigitalMint的勒索軟體威脅談判專家，C同樣也任職DigitalMint。</p> <p>根據起訴書，這3名被告在2023年5月至2025年4月間總計入侵了5家美國企業，包括醫療器材公司、製藥公司、醫療診所、工程公司，以及無人機製造商，部署了ALPHV BlackCat勒索軟體，再索討30萬至1,000萬美元不等的贖金，當中只有被勒索1,000萬美元的醫療器材公司低頭，交出了127萬美元的贖金。</p> <p>這些專家是否濫用其原本職務權限或客戶資訊來發動攻擊，起訴書中並未說明。Sygnia執行長Guy Segal向TechCrunch證實，在公司得知Goldberg涉嫌參與勒索軟體攻擊，已將他解聘。另外兩名被告在執行攻擊行動時，都擔任DigitalMint員工，但皆於今年離職。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171867"><strong style="font-size: 22px;">Mozilla開始要求Firefox擴充程式開發者揭露資料蒐集作法</strong></a></p> <p>Mozilla宣布，自今年11月3日起，所有新提交的Firefox擴充程式都必須在manifest.json檔案新增「browser_specific_settings.gecko.data_collection_permissions」欄位，明確揭露它們是否蒐集或傳輸個人資訊。</p> <p>manifest.json是Google在2009年為Chrome擴充程式所設計的設定檔，用於描述擴充程式的名稱、版本、權限與行為，後被Mozilla採納並應用於Firefox上。「browser_specific_settings.gecko.data_collection_permissions」是Mozilla新建置的欄位，舉凡新擴充程式都必須增設該欄位，就算不蒐集或傳輸個人資料，也要於該欄位中表明「無需資料蒐集權限」。</p> <p>因此，當使用者開始安裝擴充程式時，該資訊將與擴充程式所請求的任何權限一同呈現。倘若該擴充程式公開上架，那麼資料蒐集資訊也會顯示在addons.mozilla.org（AMO）上；若是擴充程式支援桌面版Firefox 140或是Android版Firefox 142以前的版本，那麼開發人員必須在使用者安裝之後，馬上提供一個方法來控制該擴充程式的資料蒐集與傳輸。</p> <p><a href="https://www.ithome.com.tw/news/171723"><strong style="font-size: 22px;">【從AI發現漏洞到自動修補的資安革新】解析美國DARPA AIxCC競賽，高品質修補成決賽勝出重點</strong></a></p> <p>用AI挖掘漏洞今年邁入新里程，相關重要發展，可追溯至2023年，美國白宮宣布舉行AI網路挑戰賽（AIxCC），當時共有42支隊伍報名參賽，目標是設計AI驅動的網路推理系統（Cyber Reasoning System，CRS），發展可自動發現與修補漏洞的解決方案。</p> <p>這項賽事歷經兩年的比拚，今年8月，美國國防高等研究計畫署（DARPA）公布最終成績，並揭示決賽帶來的重大成果，自動修補能力更是成為最新關注焦點。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/mitre-attack/attack-v18-8f82d839ee9e">MITRE發布第18版資安框架ATT&CK，大幅調整偵測層面，遷移至結構化及行為為中心的策略</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172013"><strong>【11月3日】澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171989"><strong>【10月31日】駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171973"><strong>【10月30日】NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測</strong></a></p> </div></div></div>
2025/11/4 16:44作者周峻佑https://www.ithome.com.tw/news/172032
微軟WSUS漏洞掃瞄活動遽增遭濫用植入Skuld竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟10月中修補的WSUS重大漏洞已被研究人員觀察到掃瞄活動大增，而且也被實際用於植入Skuld竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/171857" target="_blank">微軟在10月的安全更新修補</a>Windows Server Update Services (WSUS)遠端程式碼執行（RCE）漏洞CVE-2025-59287，兩周前傳出有人根據已經公布的概念驗證程式碼（PoC），企圖將這項漏洞用於攻擊行動。</p> <p><a href="https://isc.sans.edu/diary/Scans+for+Port+85308531+TCP+Likely+related+to+WSUS+Vulnerability+CVE202559287/32440/" target="_blank">系統網路安全協會(SANS)本周發佈報告</a>，顯示攻擊活動似乎遽增。SANS的感測器通報防火牆紀錄偵測到上周以來，針對8530/TCP(non-TLS)及8531/TCP(TLS)二個通訊埠的掃瞄活動大幅增加。通報量來到3000到3200起，為前幾周的4倍左右。</p> <p>SANS研究人員Johannes B. Ullrich警告只要經由8530和8531 port連結到有漏洞的WSUS伺服器，攻擊者就能濫用CVE-2025-59287漏洞。一般而言，一開始攻擊者會進行網路偵察活動，接著就會發動實際攻擊。</p> <p><a href="https://x.com/Shadowserver/status/1982517428820251030" target="_blank">根據ShadowServer的偵測</a>，目前存在CVE-2025-59287的伺服器裝置，810多個位於美國，而法國、英國也有100多部系統。</p> <p>同時間<a href="https://www.darktrace.com/blog/wsus-exploited-darktraces-analysis-of-post-exploitation-activities-related-to-cve-2025-59287" target="_blank">資安廠商Darktrace則發現</a>這已不是預測，已經有實際漏洞濫用。10月24日CISA將本漏洞納入已知遭濫用(KEV)清單同一天，該公司也有客戶遭到攻擊。</p> <p>第一起是美國資訊及通訊業公司。10月24日到26日間，一個不知名人士濫用本漏洞連結了一臺對外連線的WSUS伺服器，進而存取內部網路上的合法工具Velociraptor連結C2伺服器。這家企業的配置顯示其使用的Velociraptor為0.73.4版本，該版軟體可能存在CVE-2025-6264（權限提升漏洞）漏洞而被濫用。</p> <p>攻擊者最終下載了竊密程式Skuld Stealer。此一惡意程式具有竊取加密貨幣電子錢包、檔案、系統資訊、瀏覽器資料和token的能力，而且包含防範除錯及Anti-VM邏輯，並能繞過使用者帳戶控制(UAC)。</p> <p>第二起受害者是美國教育產業機構，時間點也約在10月24日到27日之間。研究人員未發現已下載竊資程式的紀錄，但由於觀察到和前一家企業相同的活動跡象，如早期的PowerShell與cURL行為向webhook[.]site傳送資料，資安業者不排除有其他本地化攻擊或後續竊資活動。</p> <p>資安廠商及微軟強烈建議WSUS用戶應及早更新到最新版本以確保系統安全。</p> </div></div></div>
2025/11/4 16:41作者林妍溱https://www.ithome.com.tw/news/172031
全球電信基礎設施供應商Ribbon遭國家級駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球電信基礎設施供應商<a href="https://www.sec.gov/Archives/edgar/data/1708055/000170805525000035/rbbn-20250930x10q.htm#:~:text=Cybersecurity%20Incident%20Disclosure" target="_blank">Ribbon Communications在提交給美國證券交易委員會（SEC）的季報（10-Q）中揭露</a>，它們在2025年9月發現有未經授權的國家級駭客組織入侵了該公司的網路。</p> <p>Ribbon為全球電信營運商與公共基礎設施供應商，提供語音、資料、光傳輸、核心網路及安全解決方案，它雖然是家小公司，市值還不到6億美元，但包括美國國防部、各城市政府、Verizon、BT、德國電信（Deutsche Telekom）與軟體銀行（SoftBank）都是它的客戶。</p> <p>在發現資安意外之後，Ribbon即聘請了包括聯邦執法部門在內的多位第三方網路安全專家進行調查，初步顯示駭客最早可能在2024年12月就入侵了該公司的系統，儘管沒有任何證據顯示駭客存取了任何重要資訊，不過，駭客似乎存取了在主網路之外、存放於兩臺筆記型電腦上的多個客戶文件。Ribbon已通知受到影響的客戶。</p> <p>Ribbon向SEC揭露此一資安事件，並說還在繼續調查中，目前該事件尚未對財務或業績帶來重大影響，未來將採取額外的措施來強化網路安全，相關成本將反映於第四季的財報中。</p> <p><a href="https://www.reuters.com/business/media-telecom/us-company-with-access-biggest-telecom-firms-uncovers-breach-by-nation-state-2025-10-29/" target="_blank">路透社（Reuters）引用Palo Alto Networks國家安全專案總監Pete Renals的看法指出</a>，替政府或關鍵組織提供網路與IT服務的企業日益成為國家級駭客的目標，在許多情況下，駭客的主要目的是長期進駐，以展開全球間諜活動，Ribbon便是一個典型的例子。</p> </div></div></div>
2025/11/4 16:46作者陳曉莉https://www.ithome.com.tw/news/172033
裝置管理工具Lanscope存在重大漏洞，中國駭客Bronze Butler用於散布後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月20日日本電腦緊急應變中心（JPCERT/CC）<a href="https://www.jpcert.or.jp/newsflash/2025102001.html">提出警告</a>，當地軟體業者Motex旗下的裝置管理平臺Lanscope Endpoint Manager存在重大資安漏洞CVE-2025-61932（CVSS風險評為9.8分），該漏洞已被用於攻擊行動，最早可追溯到今年4月，呼籲用戶要儘速套用<a href="https://www.motex.co.jp/news/notice/2025/release251020/">修補程式</a>，後續美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2025/10/22/cisa-adds-one-known-exploited-vulnerability-catalog">將其加入已遭利用的漏洞名冊（KEV）</a>，本週有資安業者公布相關攻擊活動的情形。</p> <p>資安業者Sophos指出，被稱為Bronze Butler、Tick的中國駭客組織，<a href="https://news.sophos.com/en-us/2025/10/30/bronze-butler-exploits-japanese-asset-management-software-vulnerability/">將此漏洞用於實際攻擊</a>，他們在今年中旬看到駭客以此取得初始存取管道，然後在受害組織的網路環境提升權限並橫向移動。過程中，使用名為Gokcpdoor的惡意程式，並透過能公開取得的AD資訊轉存工具goddi、遠端桌面連線，以及壓縮軟體7-Zip，進行橫向移動並將竊得的資料傳送到外部。</p> <p>惡意程式Gokcpdoor主要的功能是當作後門，可用來與C2伺服器建立代理伺服器連線來接收命令。而在這起活動當中，Bronze Butler運用的Gokcpdoor大致可根據運作模式分成兩種，一種是執行伺服器模式，這種版本的Gokcpdoor會監聽流入的連線流量，部分運用38000埠進行通訊，但也有透過38002埠的情況。</p> <p>另一種Gokcpdoor是執行用戶端模式，透過寫死的位址與C2伺服器連線，並建立隧道通訊。但除了運用Gokcpdoor，Sophos也看到Bronze Butler在部分受害主機改用C2框架Havoc。這群駭客之所以被Sophos發現，主要是因為攻擊者使用Gokcpdoor或Havoc的過程，同時運用另一款惡意程式Oaed Loader，該組織曾在兩年前的活動運用此惡意程式載入工具。</p> </div></div></div>
2025/11/4 15:08作者周峻佑https://www.ithome.com.tw/news/172029
國家級駭客散布惡意軟體Airstalk，鎖定業務流程外包業者從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客以合法服務掩蓋網路犯罪的情況，其中一種就是利用雲端服務來充當C2通訊管道，不過，在最近一起供應鏈攻擊裡，攻擊者竟是透過受害組織的裝置管理平臺來達到目的。</p> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/new-windows-based-malware-family-airstalk/">國家級駭客攻擊行動CL-STA-1009</a>，駭客運用名為Airstalk的惡意程式，鎖定業務流程外包業者（BPO）從事供應鏈攻擊，企圖從受害電腦竊取瀏覽器存放的敏感資料，包括Cookie、上網記錄，以及書籤，再者，該惡意程式還能讓攻擊者對受害電腦進行螢幕截圖。</p> <p>此惡意程式的獨特之處，在於駭客濫用VMware的裝置管理平臺Workspace ONE Unified Endpoint Management（原名AirWatch）特定API，來建立C2通道，主要遭到濫用的功能，包含管理自定型態裝置的屬性，以及檔案上傳機制。</p> <p>Palo Alto Networks一共看到兩種型態的Airstalk，其中一種是PowerShell型態的惡意軟體，另一種則是以.NET開發而成。兩者在建立C2通訊的方法相同，都是濫用MDM平臺的API來達到目的，不過，其中.NET版本具備較多功能，而且，C2通訊協定與鎖定的瀏覽器與PowerShell版本相比，也有所不同。</p> <p>究竟CL-STA-1009如何濫用相關的API？Palo Alto Networks拆解PowerShell版Airstalk指出，此惡意程式濫用API端點/api/mdm/devices/與攻擊者通訊，並透過自訂裝置屬性的功能儲存連線資訊，以及充當隱密交換的管道（Dead Drop）。</p> <p>Dead Drop源自間諜術語，意指情報員與聯絡人的秘密通訊方法，在雙方不直接解觸的情況下，交換情報或是物品。而這樣的用語延伸到資安領域，通常會運用非同步通訊機制，透過API或特定管道留下訊息，以便攻擊者後續存取。</p> <p>此外，Airstalk還會運用另一個API端點/api/mam/blobs/uploadblob，作為上傳檔案的管道。</p> <p>該後門程式的主要功能，就是從Chrome搜括用戶的各式資料及Cookie。</p> <p>後續Palo Alto Networks發現.NET版本的Airstalk，該後門程式同時能對Chrome、Edge，以及<a href="https://www.ithome.com.tw/news/168103">新興企業瀏覽器Island Browser</a>下手，再者，.NET版本後門採用特定應用程式簽章及中繼資料，來偽裝成VMware應用程式。附帶一提的是，此後門可透過多執行緒進行C2通訊，並具備Beacon的功能。</p> </div></div></div>
2025/11/4 12:59作者周峻佑https://www.ithome.com.tw/news/172026
Rust 1.91將Windows Arm64平臺提升為第一層級支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊發布<a href="https://blog.rust-lang.org/2025/10/30/Rust-1.91.0/">Rust 1.91.0</a>，重點在將aarch64-pc-windows-msvc目標提升為第一層級，並新增針對從區域變數產生原始指標的預設警告。該版本更新重點在於強化平臺可用性與底層安全防護，對採用Windows Arm64的開發者而言，支援等級與測試保障將與既有主要平臺看齊。</p> <p>Rust提到，所謂第一層級支援，指的是對該目標的每一項變更在合併進編譯器主分支之前必須通過完整測試，官方並提供預編譯二進位，屬於最高等級的可運作保證。這代表工具鏈供應與品質保證有明確承諾，適合作為日常開發與建置的主要環境。</p> <p>對Windows Arm64使用者而言，第一層級支援代表Rust編譯器與標準函式庫的發行節奏、測試覆蓋與錯誤回報處理，將與x86_64-windows等核心目標保持一致，而這有助於專案在跨架構的一致性驗證，減少CI與發行流程中因平臺差異導致的風險，同時也讓團隊在規畫長期支援時，有可依循的官方保障框架。</p> <p>安全面向上，本版新增名為dangling_pointers_from_locals的警告，當函式嘗試回傳指向區域變數的原始指標時，編譯器會以警告（Warn）層級提示可能造成懸掛指標。官方強調，這類程式本身並非不安全（Unsafe），真正的危險在於於函式返回後對該指標進行解參照。此變更目的在提早暴露潛在問題，降低在不安全（Unsafe）或與C介面互動時的失誤可能。</p> </div></div></div>
2025/11/4 13:33作者李建興https://www.ithome.com.tw/news/172023
Apache OpenOffice員工、程式碼資料疑遭Akira勒索軟體駭客竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cyberpress.org/akira-ransomware-group/" target="_blank">媒體報導</a>，勒索軟體Akira上周宣稱取得開源生產力軟體Apache OpenOffice開發組織的內部包含員工個資、程式碼及漏洞資料約23GB。</p> <p>Akira是勒索軟體即服務（ransom-as-a-service），最早於2023年3月初開始活躍。駭客發展出Windows及Linux/ESXi版本，並濫用各種軟體或設備漏洞來植入Akira，藉此加密受害企業資料並勒索，它也會威脅洩露勒索不成的受害企業的機密資料。遭其濫用漏洞的設備包括<a href="https://www.ithome.com.tw/news/168657" target="_blank">Hitachi Vantara</a>、<a href="https://www.ithome.com.tw/news/171413" target="_blank">SonicWall</a>、<a href="https://www.ithome.com.tw/news/158411" target="_blank">Cisco VPN</a>、甚至<a href="https://www.ithome.com.tw/news/167737" target="_blank">網路攝影機</a>。</p> <p>Akira駭客組織10月底在其資料公布網站中聲稱，即將上傳其取得的Apache OpenOffice開發維護單位的23GB資料，包括員工個資如實體地址、電話號碼、出生日期、駕照、社會安全碼及信用卡資訊。此外，駭客宣稱還握有財務資料、機密文件、以及涉及應用程式漏洞和開發問題的多項報告。</p> <p>不過目前沒有第三方研究人員證實駭客說法的真假。不過<a href="https://cybersecuritynews.com/apache-openoffice-data-breach/" target="_blank">Cybersecurity News報導</a>，Apache軟體基金會發言人拒絕回應此事。</p> <p>被洩露員工個資可能引發對員工的社交工程攻擊，或損及Apache軟體基金會名譽，而軟體漏洞或開發問題的檔案也會使其程式碼曝光。</p> <p>不過<a href="https://cyberpress.org/akira-ransomware-group/" target="_blank">Cyber News分析</a>，基於OpenOffice的開源碼本質，程式碼早已公開，被社群研究及確保，因此OpenOffice的使用者應該不會有立即風險，但是使用者仍需小心可疑通訊。</p> </div></div></div>
2025/11/4 13:40作者林妍溱https://www.ithome.com.tw/news/172027
資安專家參與勒索軟體攻擊，遭美國司法部起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.documentcloud.org/documents/26212429-indictment-of-ransomware-negotiators/?mode=document" target="_blank">美國司法部上個月起訴了</a>涉及散布勒索軟體並向受害組織敲詐的3名駭客：Ryan Goldberg、Kevin Martin，以及另一名未具名的共謀C，結果<a href="https://chicago.suntimes.com/the-watchdogs/2025/11/02/crytpo-cryptocurrency-crime-chicago-digital-mint-ransom-ransomware-hack" target="_blank">芝加哥太陽報（Chicago Sun-Times）本周披露</a>，Goldberg是以色列資安業者Sygnia的跨國企業事件回應經理，而Martin則是美國加密貨幣支付暨反詐欺監控服務供應商DigitalMint的勒索軟體威脅談判專家，C同樣也任職DigitalMint。</p> <p>根據起訴書，這3名被告在2023年5月至2025年4月間總計入侵了5家美國企業，包括醫療器材公司、製藥公司、醫療診所、工程公司，以及無人機製造商，部署了ALPHV BlackCat勒索軟體，再提出30萬至1,000萬美元不等的贖金要求，當中只有被勒索1,000萬美元的醫療器材公司最終交出了127萬美元的贖金。</p> <p>ALPHV BlackCat採用勒索軟體即服務（RaaS）模式，負責開發用於竊取與加密受害者資料的惡意程式，而其聯盟成員（被告）則負責實際的入侵，以及部署勒索軟體。上述每個案件的模式都是一樣的，被告未經授權進入受害者網路，先竊取資料，再加密其伺服器，繼之要求贖金。</p> <p>起訴書中並明說明被告是否利用其原本職務的存取權或客戶資訊來發動攻擊，但<a href="https://techcrunch.com/2025/11/03/doj-accuses-us-ransomware-negotiators-of-launching-their-own-ransomware-attacks/" target="_blank">Sygnia執行長Guy Segal向TechCrunch證實</a>，在該公司得知Goldberg涉嫌參與勒索軟體攻擊之後，即已將他解聘。同樣的，其它兩名被告在執行攻擊行動時，也都具有DigitalMint員工身分，但也皆於今年離職。</p> <p><a href="https://cyberscoop.com/incident-response-ransomware-professionals-charged-attacks/" target="_blank">CyberScoop引用法院紀錄報導</a>，Goldberg承認自己是受到同謀招募，因為他需要償還債務而同意了，在唯一成功的那次勒索中，他分到了20萬美元。</p> <p>這3名被告面臨了蓄意破壞受保護電腦、勒索干擾商業，以及勒索共謀等罪名，其最高刑期分別是10年、20年與20年，再加上必須支付犯罪所得或罰金，標準的得不償失。</p> </div></div></div>
2025/11/4 14:00作者陳曉莉https://www.ithome.com.tw/news/172028
DNS伺服器軟體BIND存在高風險資安漏洞，迄今仍有超過6千臺DNS伺服器尚未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月22日網際網路系統協會（ISC）發布DNS軟體伺服器BIND更新，修補3項高風險資安漏洞<a href="https://kb.isc.org/docs/cve-2025-40778">CVE-2025-40778</a>、<a href="https://kb.isc.org/docs/cve-2025-40780">CVE-2025-40780</a>，以及<a href="https://kb.isc.org/docs/cve-2025-8677">CVE-2025-8677</a>，這些漏洞一旦遭到利用，攻擊者有機會遠端進行快取中毒攻擊，或是造成服務中斷（DoS）的現象。由於BIND是目前最普遍使用的DNS伺服器軟體，因此，相關漏洞的處理，茲事體大，用戶應儘速升級9.16.50、9.18.41、9.20.15，或9.21.14版因應。ISC強調，這些漏洞沒有其他替代緩解措施能夠因應。</p> <p>根據CVSS風險評分，較危險的是CVE-2025-40778與CVE-2025-40780，這兩個漏洞都能導致快取中毒，其中CVE-2025-40778在特定的情況下，BIND對於收到的答案檢查過於寬鬆，使得攻擊者能在快取注入偽造的資料；另一個漏洞CVE-2025-40780，出現在偽隨機數生成器（Pseudo Random Number Generator，PRNG），攻擊者有機會推測來源連接埠與BIND使用的ID，這些漏洞的CVSS風險評分都達到8.6分（滿分10分）。</p> <p>第三個漏洞CVE-2025-8677，攻擊者可透過格式錯誤的DNSKEY，導致BIND伺服器資源耗盡，CVSS風險為7.5。</p> <p>值得留意的是，事隔一週，仍有6千至8千臺BIND伺服器存在相關漏洞。<a href="https://x.com/Shadowserver/status/1984984056824553481">Shadowserver基金會提出警告</a>，他們在10月30日看到8898臺BIND主機尚未修補CVE-2025-40778，到了11月1日降至6653臺。我們實際檢視相關資料，<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=7&source=dns&source=dns6&tag=cve-2025-40778%2B&dataset=unique_ips&limit=100&group_by=geo&stacking=stacked&auto_update=on">11月2日又出現增加的現象</a>，共有8223臺DNS解析器曝險，其中亞洲地區最多，有3555臺，歐洲與美洲居次，分別有2063臺與1674臺。從國家來看，美國有約1300臺最多，俄羅斯、伊朗，以及法國居次，分別有637、598、547臺。在臺灣，有71臺BIND伺服器尚未修補而曝險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/jZIsIjULj5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jZIsIjULj5.png" style="width: 580px;" /></a></p> </div></div></div>
2025/11/4 10:13作者周峻佑https://www.ithome.com.tw/news/172021
微軟分別向IREN及Lambda購買AI算力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從礦場轉型為AI雲端與資料中心的<a href="https://www.globenewswire.com/news-release/2025/11/03/3178993/0/en/IREN-Secures-9-7bn-AI-Cloud-Contract-with-Microsoft.html" target="_blank">IREN周一（11/3）宣布</a>，已與微軟簽署5年的合作協議，提供Nvidia GB300 GPU的使用權限，合約價值約為97億美元，包含20%的預付款。同一天AI運算基礎設施<a href="https://lambda.ai/blog/lambda-announces-multibillion-dollar-agreement-with-microsoft-to-deploy-ai-infrastructure-powered-by-tens-of-thousands-of-nvidia-gpus" target="_blank">Lambda亦宣布</a>，微軟與其簽署了類似的合約。</p> <p>2018年創立的IREN總部位於澳洲，初期定位為比特幣挖礦與基礎設施營運商，但主要於北美市場營運，且2021年就登上了美國那斯達克（Nasdaq）股市。由於看準AI運算需求上升，IREN自2023年全面轉型，把旗下的再生能源礦場、土地、電力合約與資料中心能力，全部轉為AI GPU叢集及液冷資料中心，提供AI雲端與AI資料中心服務。</p> <p>這批GPU預計於2026年前分階段部署在德州Childress的750MW園區，搭配新建的液冷數據中心，可支撐200MW的AI運算負載。</p> <p>至於成立於2012年的Lambda可說是AI的先驅，當時該公司便提供GPU工作站與深度學習（DL）工具，主要服務學生、研究機構及大學，並因應市場的需求從工作站、小型GPU伺服器，一路升級到大型機架式方案，一直到2021年才轉型至AI雲端，提供大規模GPU的租用，從硬體研究公司搖身一變成為AI基礎設施供應商。</p> <p>Lambda表示，與微軟所簽署的多年協議涉及數十億美元與數萬顆的Nvidia GPU，將進一步擴大企業及開發者取得雲端加速運算資源的能力。此外，其實Lambda與微軟已合作8年，該公司認為這次的合作是雙方關係的重要躍升。</p> <p>不過，此次的消息是由IREN及Lambda各自發布，微軟並未特別揭露。</p> </div></div></div>
2025/11/4 11:33作者陳曉莉https://www.ithome.com.tw/news/172024
惡意軟體SesameOp濫用OpenAI的API從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迴避偵測，駭客經常濫用合法雲端服務建置C2通訊，然而最近有人對AI助理的API下手，以此隱匿行蹤而不被發現。</p> <p>微軟事件回應團隊指出，他們在今年7月<a href="https://www.microsoft.com/en-us/security/blog/2025/11/03/sesameop-novel-backdoor-uses-openai-assistants-api-for-command-and-control/">發現名為SesameOp的後門程式</a>，其中最特別的地方，就是濫用OpenAI Assistants API作為C2通道。針對這項發現，微軟強調此事並非漏洞或配置錯誤所致，他們與OpenAI分享調查結果，並聯手進行後續處置，OpenAI停用攻擊者的API金鑰及相關帳號。兩家公司進一步調查此事，確認SesameOp僅有運用有限的API呼叫，並未與OpenAI的模型或服務進行互動。</p> <p>微軟是在調查一起複雜的資安事故時，發現這支惡意程式，當時攻擊者已在受害企業組織的網路環境活動數個月。微軟看到駭客設置結構複雜的Web Shell，這些作案工具的用途，就是用來執行攻擊者下達的命令。相關命令透過戰略性設置的惡意處理程序進行中繼處理，而這些處理程序的運作方式，是濫用多個已遭惡意程式庫滲透的Visual Studio公用程式，攻擊者透過名為.NET AppDomainManager注入的手法來啟動，從而達到迴避偵測的目的。</p> <p>微軟根據Visual Studio公用程式載入不尋常的程式庫進行追查，找出其他有問題的檔案，並了解Web Shell的內部結構與外部通訊方式，從而確認這個異常活動，攻擊者以此持續在受害裝置活動，並從事秘密管理，目的是從事網路間諜活動。</p> <p>整組感染鏈的組成，涵蓋惡意程式載入工具Netapi64.dll，以及採用.NET為基礎的後門程式OpenAIAgent.Netapi64，並將OpenAI的API充當C2通道。</p> <p>其中，Netapi64.dll透過名為Eazfuscator.NET的工具進行混淆處理，用途是透過OpenAI Assistants API進行通訊；此DLL檔案會透過.NET AppDomainManager注入手法載入於受害主機的特定執行檔，並根據.config配置運作。</p> <p>後門程式SesameOp的主要元件OpenAIAgent.Netapi64，功能就是從OpenAI Assistants API截取命令，然後將其解密並執行，完成工作後再將結果回傳。</p> </div></div></div>
2025/11/4 11:34作者周峻佑https://www.ithome.com.tw/news/172025
OpenAI與AWS簽署7年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/aws/aws-open-ai-workloads-compute-infrastructure" target="_blank">OpenAI與AWS（Amazon Web Services）周一（11/3）宣布</a>，雙方已簽署了為期7年、總價380億美元的策略合作，OpenAI將使用AWS的運算資源，包括數十萬顆最先進的Nvidia GPU，以及可擴充至數千萬顆的CPU，以快速擴展代理人式的工作負載。消息曝光後Amazon股價上漲了4%，以254美元作收。</p> <p>AWS表示，AI的快速發展帶來前所未有的運算能力需求，隨著模型水準不斷攀高，愈來愈多的模型因著效能、規模與安全而轉至AWS；OpenAI將立即開始使用AWS的運算資源，所有容量都將在2026年底前部署完畢，並具備在2027年及之後進一步擴展的能力。</p> <p>AWS替OpenAI所建置的基礎架構採用了精密的設計，以最大化AI處理效率及效能，透過Amazon EC2 UltraServers在同一網路上部署GB200與GB300等Nvidia GPU叢集，可實現互連系統間的低延遲，讓OpenAI可高效運行工作負載並達到最佳效能。</p> <p>相較於OpenAI與其它業者所簽署的合作協議，這次與AWS的合作規模並不算太大，例如<a href="https://www.ithome.com.tw/news/171123" target="_blank">OpenAI與甲骨文</a>的合約高達3,000億美元，<a href="https://www.ithome.com.tw/news/171923" target="_blank">與微軟Azure</a>的合約則是2,500億美元。</p> </div></div></div>
2025/11/4 10:23作者陳曉莉https://www.ithome.com.tw/news/172022
YouTube因AI重組開始優退美國員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI興起，Google旗下YouTube上周宣布組織調整，並啟動美國員工自願離職方案。</p> <p><a href="https://sources.news/p/youtube-announces-ai-reorg-and-layoffs" target="_blank">Sources引述消息人士報導</a>，YouTube執行長Neal Mohan上周透過內部信件宣布此事，也獲得官方證實。</p> <p>Mohan在內部備忘錄中指出，未來YouTube下一領域是AI，AI具有潛力改造平臺的方方面面，而YouTube必須要讓自己更能把握這個契機。他說，這是對YouTube核心領導結構十年來的第一次更新。</p> <p>伴隨這次宣布YouTube啟動美國員工的自願離職方案。此外，YouTube也宣布產品部門將切分成三個團隊，全部直接向Mohan報告。三個部門分別是訂閱產品，包括YouTube Music & Premium及OTT；Viewer產品主要在使用者體驗的改善，包含YouTube App、YouTube Kids、Learning等；以及創作者&社群，主要任務為支援創作者和維運社群。</p> <p>最新宣布顯示YouTube計畫裁減中間管理職，藉由組織扁平化加速作業效率。而其他科技巨擘也都在今年基於AI到來，而採取加速組織運作、預算集中AI的人員精簡行動，包括<a href="https://www.ithome.com.tw/news/169864" target="_blank">微軟</a>裁員9000人、<a href="https://www.ithome.com.tw/news/171831" target="_blank">Meta</a>重組AI部門、<a href="https://www.ithome.com.tw/news/171911" target="_blank">Amazon</a>因為要減少中間層級而裁減1.4萬人、年初<a href="https://www.ithome.com.tw/news/167215" target="_blank">Google</a>對硬體及Android部門進行優退等。</p> </div></div></div>
2025/11/3 20:35作者林妍溱https://www.ithome.com.tw/news/172014
【資安日報】11月3日，澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前的資安漏洞造成的災情，迄今仍尚未完全緩解！上週澳洲網路安全中心（ACSC）指出，利用思科網路設備作業系統IOS XE滿分漏洞CVE-2023-20198滲透路由器的惡意程式BadCandy，迄今當地仍有約150臺設備感染，雖然相較於兩年前漏洞攻擊爆發時超過400臺受害已降低不少，但有些設備在他們通報並清除惡意程式後，又再度遭到感染，呼籲企業要採取相關措施因應。</p> <p>半年前公布的Windows捷徑檔（LNK）零時差漏洞ZDI-CAN-25373（CVE-2025-9491）近日再度出現在新聞版面而受到關注，資安業者Arctic Wolf發現，中國駭客UNC6384加入漏洞利用的行列，由於微軟表明不會修補這項漏洞，再加上中國駭客攻擊全球外交單位的情況頻傳，這樣的態勢有可能會讓國際局勢變得更加緊張。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172011"><strong style="font-size: 22px;">BadCandy鎖定思科IOS XE滿分漏洞，澳洲目前仍有1百多臺路由器遭駭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badcandy_graph.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/badcandy_graph.png" style="width: 300px; float: right;" /></a></p> <p>兩年前思科公布的網路設備作業系統IOS XE滿分漏洞CVE-2023-20198，最近有資安機構提出警告，相關漏洞利用活動仍持續進行。</p> <p>10月31日澳洲網路安全中心（ACSC）提出警告，駭客試圖在思科IOS XE設備植入名為BadCandy的惡意程式，相關攻擊行動最早可追溯到2023年10月，但在2024至2025年又再度出現，受害設備存在共通點，就是管理者尚未修補CVE-2023-20198，根據ACSC在今年7月的監控，有超過400臺設備受害，截至10月下旬，仍有超過150臺被BadCandy滲透，由於相關活動很可能是國家級駭客所為，因此，ACSC呼籲企業組織儘速採取行動來因應。</p> <p>值得留意的是，ACSC特別提及有可能重複感染的現象，他們指出，兩年前漏洞利用大爆發的時候，澳洲有超過400臺設備受害，到今年7月下旬已降至200臺以下，但ACSC觀察到數量出現波動的現象，原因是攻擊者有可能再度利用漏洞，重複對受害設備發動攻擊，其中部分是該組織已經通知的受害企業。對此，他們認為攻擊者有辦法偵測BadCandy是否遭到移除，然後再次利用漏洞進行感染。</p> <p><a href="https://www.ithome.com.tw/news/172003"><strong style="font-size: 22px;">Windows捷徑零時差漏洞遭中國駭客UNC6384濫用，目標是歐洲多國外交官</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc6384-fig05b.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc6384-fig05b.png" style="width: 300px; float: right;" /></a></p> <p>今年3月趨勢科技揭露Windows捷徑檔（LNK）零時差漏洞ZDI-CAN-25373（後來登記為CVE-2025-9491），由於當時已被用於實際攻擊，該公司旗下的Zero Day Initiative（ZDI）向微軟通報此事之後，微軟認為未達服務條件而不予修補，此事後續也廣泛受到高度關注。事隔半年，又有新的駭客組織加入漏洞利用行列，再度讓此問題浮上檯面。</p> <p>資安業者Arctic Wolf指出，中國駭客UNC6384在今年9月至10月，利用上述漏洞攻擊匈牙利、比利時、塞爾維亞、義大利、荷蘭等歐洲外交機構，透過社交工程及釣魚郵件接觸目標，並濫用Canon印表機的驅動程式載入RAT木馬PlugX的變種Sogu.Sec。</p> <p>這些駭客通常會假借歐盟與北約會議為誘餌寄送釣魚信，並挾帶有問題的LNK檔案作為附件，一旦收信人開啟，就有可能觸發一系列的漏洞利用鏈，攻擊者透過零時差漏洞觸發埋藏在LNK的命令，並秘密執行，呼叫PowerShell下載Tar壓縮檔並解開內容，其中包含具備合法簽章的Canon印表機公用程式、惡意DLL檔案，以及經加密處理的有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/172012"><strong style="font-size: 22px;">安永會計師事務所資料庫雲端備份不設防，4 TB資料庫及機密資訊恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HTXW2xQrS6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HTXW2xQrS6.jpg" style="width: 300px; float: right;" /></a></p> <p>有許多資料的外洩源自資料庫系統本身的存取未設限，而且又曝露在網際網路上，導致任何人都能隨意存取，但如今有資料庫的雲端備份不設防，而導致資料曝險的情況。</p> <p>資安業者Neo Security指出，四大會計師事務所之一的安永（Ernst & Young），在Azure儲存桶存放能公開存取的BAK檔案，檔案大小高達4 TB，此為SQL Server的資料庫備份，不僅包含資料庫的結構描述，還有可能包含API金鑰、連線階段的權杖、使用者憑證、身分驗證快取權杖，以及服務帳號的密碼等機敏資訊。經過通報後，安永很快完成處理，並感謝Neo Security通報此事。</p> <p>究竟這些資料曝露了多久，該資安業者表示不清楚，但他們強調這種資料光是曝露5分鐘，就有可能造成相當嚴重的風險。</p> <p><a href="https://www.ithome.com.tw/news/171998"><strong style="font-size: 22px;">Oracle EBS零時差漏洞攻擊出現新的受害組織，工業設備巨擘Schneider、Emerson傳資料外洩</strong></a></p> <p>Oracle E-Business Suite（EBS）零時差漏洞CVE-2025-61882攻擊事件持續擴大，連工業自動化設備商施耐德電機（Schneider Electric）、艾默生電機（Emerson Electric）也成為受害者。</p> <p>以錢財為目的駭客組織FIN11日前在設立以Cl0p勒索軟體資料洩露網站公佈一批受害者及部份相關資料，包括這兩家大廠。上周資安研究人員Domini Alvieri透過X指出Schneider和Emerson成為CI0p資料外洩的受害者。</p> <p>同時間資安媒體SecurityWeek報導，操作Cl0p的FIN11駭客在網站上公佈分別指向Schneider的116GB資料夾，以及Emerson的2.7TB資料夾。巧合的是，資安媒體依據有限的檔案樹的metadata，也推斷這批資料來自甲骨文Oracle EBS。</p> <p><a href="https://www.ithome.com.tw/news/171988"><strong style="font-size: 22px;">美國業務外包業者Conduent遭駭竊取客戶資料，恐影響上千萬人</strong></a></p> <p>美國業務外包（BPO）知名業者Conduent近日證實，去年發生資料外洩事件，影響超過千萬名客戶。</p> <p>根據Conduent向美國緬因州檢察長辦公室提交的報告，該公司在今年1月13日發現公司部分網路發生入侵事件。公司在阻斷事件後，在外部資安專家協助下展開調查。經過調查，該公司判斷，2024年10月21日到2025年1月13日公司網路遭非授權存取，導致客戶資料外洩。外洩的資料包含客戶名字、社會安全碼、出生日期、健康保險資料或身分證號、以及醫療資訊等。</p> <p>根據Bleeping Computer報導，Conduent向多個州提報此事。其中奧勒岡州有1050萬客戶受影響，德州有400萬人、威斯康辛州有7600多人。此外，華盛頓州有7.6萬人、麻州有42062人，緬因州有300多人受影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/nation-state-hackers-deploy-new.html">國家級駭客散布惡意軟體Airstalk，疑涉供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/china-linked-hackers-exploited-lanscope-flaw-as-a-zero-day-in-attacks/">資產管理工具Lanscope存在零時差漏洞，中國駭客用於散布後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/open-vsx-rotates-tokens-used-in-supply-chain-malware-attack/">針對GlassWorm蠕蟲攻擊行動，OpenVSX公布調查結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-exploit-wsus-skuld-stealer-microsoft-patch/">WSUS遭零時差漏洞鎖定，駭客試圖植入竊資軟體Skuld Staler</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.linkedin.com/posts/the-shadowserver-foundation_cybercivildefense-cybersecurity-riskmanagement-activity-7390751005115596800-6Dm_?utm_source=share&utm_medium=member_desktop&rcm=ACoAABO49rEB_XcR5tLyq9lkQKvasoroFrBEYzI">BIND9資安漏洞仍有超過6千臺DNS伺服器尚未修補</a></strong></p> <p></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171975"><strong style="font-size: 22px;">明年10月Chrome將預設優先造訪HTTPS網站</strong></a></p> <p>為了確保使用者上網安全，Google預告，明年10月推出的Chrome 154版起，將預設啟用「永遠使用安全連線」（Always Use Secure Connections），優先存取HTTPS網站，碰到不熟悉的HTTP網站則發出核准要求。</p> <p>Google指出，當使用者瀏覽器連線未使用HTTPS，攻擊者可能攔截連線，迫使用戶載入任意或攻擊者控制的資源，導致使用者曝露於惡意軟體、目標濫用或社交工程攻擊。而且有時惡意HTTP網站很快就導引到HTTPS網站，使用者根本沒有機會看到Chrome瀏覽器標示「不安全連線」的警示。</p> <p>為解決這個問題，該公司在2022年首度推出「永遠使用安全連線」的設定，不過當時是作為隨選選擇，在Chrome 141時Google曾實驗對小部分用戶啟用公開網站預設使用，現在，Google認為全面部署時候到了。</p> <p><a href="https://www.ithome.com.tw/news/171983"><strong style="font-size: 22px;">壽險公會宣布「理賠服務全程無紙化」正式達成，結合FIDO驗證與電子簽章，申請保險理賠不用跑醫院</strong></a></p> <p>為解決民眾申請理賠時，必須往返多家醫院及保險公司，以及等待審查作業時間的痛點，在保險科技推動發展上，壽險公會近年響應政府推動政策，積極參與數位信任生態圈專案，並於10月29日舉辦數位信任成果發表會，宣布正式達成重要里程碑──理賠服務全程無紙化。</p> <p>在發表會上，壽險公會理事長陳慧遊說：「信任是保險業永恆的根基，而數位信任則是我們迎向下一個時代的鑰匙。」為了達成理賠服務全程無紙化，這些年來數項重要推動計畫陸續完成，才能串聯成為完整應用，成果得來不易。</p> <p>他並揭示各項進展所帶來的兩大關鍵突破，首先，是將國際標準的FIDO技術與電子簽章結合，實現理賠服務全程無紙化；其次，深化「保險理賠醫起通」服務，用戶只要線上授權，醫療院所即可透過區塊鏈技術，將診斷書與收據加密傳輸至指定保險公司。此外，2025年最新進展是將整套應用也能擴及保險經紀人通路，預計年底完成試辦。</p> <p><a href="https://www.ithome.com.tw/news/171870"><strong style="font-size: 22px;">AIxCC冠軍隊現身HITCON 2025，闡釋運用LLM自動發現修補漏洞的開發歷程</strong></a></p> <p>在今年8月舉行的台灣駭客年會HITCON 2025上，運用AI自動發現及修補漏洞的研究主題，成為全場最矚目的焦點，來自美國AI Cyber Challenge（AIxCC）競賽冠軍「Team Atlanta」的成員，剛剛結束這項競賽，就親自來臺分享他們奪冠的第一手資訊，參與臺灣資安社群的從業人員與學生們，雖然沒能加入這項競賽，卻也能藉此認識用AI改善漏洞問題的最新態勢。</p> <p>簡單來說，AIxCC挑戰賽是由美國國防高等研究計畫署（DARPA）主辦，目的是促進用AI處理漏洞解決方案的發展，讓參賽者開發出全自動的網路推理系統（CRS），並嘗試運用最新AI技術做到自動偵測漏洞、生成修補程式、分析漏洞報告。</p> <p>這場競賽一開始，連主辦單位DARPA也不確定能否成功，所幸Team Atlanta在競賽期間的自動發現漏洞這項挑戰，取得實質進展，後續這一隊更聚焦AI高品質漏洞修補的發展。最終，「Team Atlanta」設計的CRS系統，在70道漏洞題目中，以發現43個合成漏洞，並成功修補31個的成績獲得第一，另外還發現了6個零時差漏洞，其中3個存在於C語言，3個存在於Java語言。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171989"><strong>【10月31日】駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171973"><strong>【10月30日】NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171940"><strong>【10月29日】勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手</strong></a></p> </div></div></div>
2025/11/3 16:50作者周峻佑https://www.ithome.com.tw/news/172013
BadCandy鎖定思科IOS XE滿分漏洞，澳洲目前仍有1百多臺路由器遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159319">兩年前</a>思科公布的網路設備作業系統IOS XE滿分漏洞<a href="https://www.ithome.com.tw/tags/cve-2023-20198">CVE-2023-20198</a>，最近有資安機構提出警告，相關漏洞利用活動仍持續進行。</p> <p>10月31日<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/badcandy">澳洲網路安全中心（ACSC）提出警告</a>，駭客試圖在思科IOS XE設備植入名為BadCandy的惡意程式，相關攻擊行動最早可追溯到2023年10月，但在2024至2025年又再度出現，受害設備存在共通點，就是管理者尚未修補CVE-2023-20198，根據ACSC在今年7月的監控，有超過400臺設備受害，截至10月下旬，仍有超過150臺被BadCandy滲透，由於相關活動很可能是國家級駭客所為，因此，ACSC呼籲企業組織儘速採取行動來因應。</p> <p>對於BadCandy這支惡意程式，ACSC提到是以Lua語言打造的Web Shell，一旦攻擊者成功在IOS XE設備部署，他們還會利用臨時的修補程式，來掩蓋受害設備存在CVE-2023-20198的狀態。</p> <p>ACSC提及，假若受害設備重新啟動，BadCandy就會被清除，但要是駭客已經建立其他存取管道，或是竊得相關憑證，還是有機會持續存取受害設備。因此，企業組織除了要套用思科提供的修補程式，也要限縮能夠存取網頁介面的來源。</p> <p>值得留意的是，ACSC特別提及有可能重覆感染的現象，他們指出，兩年前漏洞利用大爆發的時候，澳洲有超過400臺設備受害，到今年7月下旬已降至200臺以下，但ACSC觀察到數量出現波動的現象，原因是攻擊者有可能再度利用漏洞，重複對受害設備發動攻擊，其中部分是該組織已經通知的受害企業。對此，他們認為攻擊者有辦法偵測BadCandy是否遭到移除，然後再次利用漏洞進行感染。</p> <p>基本上，CVE-2023-20198存在於IOS XE的網頁介面，一旦攻擊者成功利用，就能完全以管理員的權限存取受害裝置，思科公布這項資安漏洞後，罕見出現攻擊者疑似成功入侵後<a href="https://www.ithome.com.tw/news/159466">進行修補的現象</a>，去年中國駭客Salt Typhoon大規模攻擊美國電信業者，也<a href="https://www.ithome.com.tw/news/167390">傳出利用這項漏洞</a>的情況。</p> </div></div></div>
2025/11/3 15:40作者周峻佑https://www.ithome.com.tw/news/172011
安永會計師事務所資料庫雲端備份不設防，4 TB資料庫及機密資訊恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有許多資料的外洩源自資料庫系統本身的存取未設限，而且又曝露在網際網路上，導致任何人都能隨意存取，但如今有資料庫的雲端備份不設防，而導致資料曝險的情況。</p> <p>資安業者Neo Security指出，四大會計師事務所之一的安永（Ernst & Young），<a href="https://www.neosecurity.nl/blog/ey-data-leak-4tb-sql-server-backup">在Azure儲存桶存放能公開存取的BAK檔案</a>，檔案大小高達4 TB，此為SQL Server的資料庫備份，不僅包含資料庫的結構描述，還有可能包含API金鑰、連線階段的權杖、使用者憑證、身分驗證快取權杖，以及服務帳號的密碼等機敏資訊。經過通報後，安永很快完成處理，並感謝Neo Security通報此事。</p> <p>針對這起事故發生的原因，Neo Security認為與雲端環境架構相當複雜有關，一般的資安評估難以跟上步調。像安永擁有各式資源、資安團隊、完整的合規框架、ISO認證，以及充分的預算，仍可能不慎曝露SQL Server資料庫備份檔案，其他企業組織也有可能出現類似錯誤。</p> <p>究竟這些資料曝露了多久，該資安業者表示不清楚，但他們強調這種資料光是曝露5分鐘，就有可能造成相當嚴重的風險。</p> </div></div></div>
2025/11/3 16:43作者周峻佑https://www.ithome.com.tw/news/172012
Windows捷徑零時差漏洞遭中國駭客UNC6384濫用，目標是歐洲多國外交官
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月趨勢科技揭露Windows捷徑檔（LNK）<a href="https://www.ithome.com.tw/news/167944">零時差漏洞ZDI-CAN-25373</a>（後來登記為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-9491">CVE-2025-9491</a>），由於當時已被用於實際攻擊，該公司旗下的Zero Day Initiative（ZDI）向微軟通報此事之後，微軟認為未達服務條件而不予修補，此事後續也廣泛受到高度關注。事隔半年，又有新的駭客組織加入漏洞利用行列，再度讓此問題浮上檯面。</p> <p>資安業者Arctic Wolf指出，<a href="https://arcticwolf.com/resources/blog/unc6384-weaponizes-zdi-can-25373-vulnerability-to-deploy-plugx/">中國駭客UNC6384在今年9月至10月</a>，利用上述漏洞攻擊匈牙利、比利時、塞爾維亞、義大利、荷蘭等歐洲外交機構，透過社交工程及釣魚郵件接觸目標，並濫用Canon印表機的驅動程式載入RAT木馬PlugX的變種Sogu.Sec。</p> <p>這些駭客通常會假借歐盟與北約會議為誘餌寄送釣魚信，並挾帶有問題的LNK檔案作為附件，一旦收信人開啟，就有可能觸發一系列的漏洞利用鏈，攻擊者透過零時差漏洞觸發埋藏在LNK的命令，並秘密執行，呼叫PowerShell下載Tar壓縮檔並解開內容，其中包含具備合法簽章的Canon印表機公用程式、惡意DLL檔案，以及經加密處理的有效酬載，由於這樣的手法與<a href="https://www.ithome.com.tw/news/170854">Google兩個月前揭露的</a>大相逕庭，因此Arctic Wolf認為，這項發現代表UNC6384的手法出現重大變化。</p> <p>UNC6384利用的誘餌，都是即將舉辦的真實會議，例如：9月26日於布魯塞爾舉行的歐盟與西巴爾幹邊境會議、9月9日至11日於比利時舉行的聯合武器訓練和評估中心戰時國防採購研討會，以及10月1日至2日在哥本哈根舉行的歐洲政治共同體高峰會。此外，也有鎖定特定國家外交政策的誘餌，像是塞爾維亞10月NAJU飛行訓練計畫，是針對該國的航空單位而來，由於這項活動與塞爾維亞的外交政策有關，該國外交單位有可能因此降低戒心。</p> <p>雖然Arctic Wolf看到的活動大多針對外交單位，但他們也比對另一家資安業者StrikeReady觀察到的現象，認為UNC6384攻擊範圍，很可能擴及其他歐洲外交機構與政府機關。</p> <p>該公司也提及駭客積極開發相關工具的現象，其中一款名為CanonStager的惡意程式載入工具，攻擊者在兩個月內，將原本700 KB的檔案縮小到僅有4 KB。</p> <p>針對UNC6384的來歷，這是今年8月Google首度揭露的中國國家級駭客，這些駭客與另一組人馬Mustang Panda（也被稱為Earth Preta、RedDelta、TA416、TEMP.Hex）有關，當時Google指出他們在3月看到鎖定東南亞外交官的網路間諜活動，UNC6384濫用瀏覽器強制入口網站（Captive Portal）機制，意圖在受害電腦的記憶體內植入Sogu.Sec。</p> <p>針對CVE-2025-9491這項漏洞形成的原因，此為遠端程式碼執行（RCE）漏洞，起因是LNK檔案的使用者介面顯示問題，攻擊者若要利用這個弱點，前提在於必須和使用者互動，此漏洞CVSS評分ZDI起初評為7.0分，後來美國國家漏洞資料庫（NVD）認為有7.8分。值得留意的是，趨勢科技在公布這項漏洞的時候，指出這項漏洞曝露超過8年，至少有11個國家級駭客將其用於實際攻擊。</p> </div></div></div>
2025/11/3 12:42作者周峻佑https://www.ithome.com.tw/news/172003
【資安週報】1027~1031，加拿大示警水利與能源設施遭遠端操弄，社交工程持續成全球最嚴峻威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年10月第五星期的資安新聞中，針對關鍵CI的威脅態勢值得特別留意，加拿大網路安全中心10月29日示警，近期發生多起水利與能源設施遭受干擾事件，包括水廠的水壓數值遭竄改，石油天然氣的自動油槽量測系統ATG被操控，還有農場的穀物乾燥塔溫濕度也被修改，顯現駭客正鎖定可直接連網的工控系統進行操弄的態勢，我們呼籲各界強化監測與存取控制。</p> <p>AI瀏覽器的安全議題也備受關切！隨著OpenAI新發表瀏覽器Atlas，資安廠商NeuralTrust隨即揭露該瀏覽器存在弱點，指出其多功能網址列（Omnibox）可遭受越獄攻擊，原因是未對可信任使用者輸入和不可信賴內容設下嚴格界限，導致攻擊者可將指令偽裝成URL輸入Omnibox，使Atlas誤判並自動執行惡意指令。</p> <p>在其他重要威脅態勢方面，我們將重點關注社交工程攻擊與勒索軟體兩大類型，整理重點如下：<br /> ●數位發展部資安署警告，根據最新資安月報顯示，社交工程與資訊蒐集類威脅已占三成以上，提醒全民提高資安警覺。資安署強調，駭客常以社交工程郵件植入後門程式，並利用深偽（Deepfake）技術製造錯誤資訊詐騙民眾。<br /> ●CheckPoint指出，攻擊者盜用YouTube頻道帳號，上傳假破解軟體教學影片，引誘使用者下載暗藏竊資軟體的假破解工具、假外掛工具，今年這類社交工程詐騙是往年的3倍。<br /> ●勒索軟體Qilin攻擊事件大增，思科指出今年6月與8月攻擊者都聲稱有接近100家遭駭，受害數量明顯攀至高峰，且其入侵過程會濫用Cyberduck開源工具。<br /> ●崇越科技發布資安重訊，說明部份資訊系統遭受駭客網路攻擊，發現有不明人士於23日入侵伺服器主機，並將資料加密，導致系統無法使用。</p> <p>這一星期還有多起國家級駭客、商業間諜活動的揭露，其中三起事件，同樣突顯駭客利用社交工程手法誘騙受害者上當的威脅。<br /> ●經常鎖定臺灣的中國駭客組織UTA0388，開始嘗試濫用AI從事攻擊，資安業者Volexity指出，今年6月該組織針對北美、亞洲和歐洲發動魚叉式網釣，謊稱相關內容來自資深研究員和分析師，目標是透過社交工程傳遞有效酬載GoreShell。<br /> ●開源滲透測試框架AdaptixC2其實為駭客開發，資安業者Silent Push揭露攻擊者以社交工程手法偽裝合法紅隊工具，誘導研究人員與滲透測試人員下載執行。<br /> ●資安業者Koi Security揭露大規模NPM套件攻擊活動PhantomRaven，今年8月起上架126個惡意套件，誘使開發者安裝看似正常的套件，累計下載逾8.6萬次。<br /> ●中國駭客Storm-2603濫用開源資安鑑識工具Velociraptor發動勒索軟體攻擊，思科Talos指出，駭客濫用此工具是為了建立持續存取受害組織網路環境的管道。<br /> ●關於今年3月Google修補Chrome零時差漏洞CVE-2025-2783，發現與義大利間諜軟體開發公司Memento Labs有關。</p> <p>在漏洞利用消息方面，有兩則消息值得留意，包括：達梭系統（Dassault Systèmes）於8月修補製造營運管理軟體DELMIA Apriso的漏洞CVE-2025-6204、CVE-2025-6205，開源Wike系統與應用平臺XWiki修補在今年2月揭露的漏洞CVE-2025-24893，如今發現有攻擊者鎖定未修補用戶攻擊。</p> <p>此外，本月微軟修補的漏洞CVE-2025-55315，被稱為迄今最嚴重的ASP.NET Core漏洞。後續ASP.NET開發者Andrew Lock解釋其嚴重性，指出問題與Chunk Extensions與chunked transfer encoding對HTTP請求解析過於寬鬆有關，在特定情況下可能造成HTTP請求走私攻擊。</p> <p>在資安防禦方面，AI資安領域有重要進展，主要體現於解決漏洞問題的面向，這一星期我們報導AIxCC多支隊伍成員於HITCON 2025分享各自的研發經歷，印證2025年不只重視能自動發現漏洞，還同時強調要自動提供漏洞修補方案。在此同時，OpenAI發表可自動找漏洞及寫修補程式的AI代理Aardvark，強調可找出92%的已知與人工引入漏洞，並透露已在多個開源專案找出至少10個CVE漏洞。</p> <p>另一項重要消息是，壽險公會宣布「理賠服務全程無紙化」正式達成，指出這是多項重要計畫逐步落地的成果，從保險科技聯盟鏈、理賠醫起通、保險存摺到保險業身分驗證中心，特別是其過程導入FIDO身分驗證與電子簽章，讓保戶能線上完成同意與申請。此外，保險經紀人通路如今也正式加入這個生態圈。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171874"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月27日】微軟發布WSUS緊急更新，起因疑與漏洞攻擊活動有關</span></strong></a></h3> <p>上週五出現兩起已知漏洞的攻擊行動而受到各界關注，其中，最引人矚目的是Windows Server Update Services（WSUS）重大漏洞CVE-2025-59287被利用的情況，這起漏洞利用活動讓人注意的原因，在於微軟更新公告內容，要求IT人員儘速安裝他們發布的緊急更新。雖然微軟並未說明漏洞是否遭利用，但資安業者Eye Security與Huntress都發現有人用於實際攻擊。</p> <p>另一個也值得留意的漏洞利用活動，是Adobe在9月修補的重大層級漏洞CVE-2025-54236，這項漏洞存在於電子商務管理平臺Adobe Commerce及Magento，10月22日資安業者Sansec看到有人嘗試利用，並警告全球仍有超過半數的系統尚未修補，而面臨漏洞利用的資安風險。</p> <h3><a href="https://www.ithome.com.tw/news/171908"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月28日】OpenAI推出的AI瀏覽器存在設計瑕疵，攻擊者可用假網址下達惡意指令</span></strong></a></h3> <p>瀏覽器整合AI已是大勢所趨，不僅主要瀏覽器業者Google、微軟、Brave加入戰局，AI業者也推出瀏覽器解決方案來強化影響力，在<a href="https://www.ithome.com.tw/news/169969">Perplexity推出Comet</a>之後，上週OpenAI<a href="https://www.ithome.com.tw/news/171807">推出了Atlas瀏覽器</a>而受到高度關注。然而，有資安業者發現，該瀏覽器的多功能網址列（Omnibox）設計存在問題，使得攻擊者可將惡意指令偽裝成URL，讓Atlas誤以為是可信賴的文字而執行。值得留意的是，類似的弱點並非Atlas獨有，之前有資安業者成功<a href="https://www.ithome.com.tw/news/170746">誘騙Comet到冒牌購物網站</a>，在沒有使用者介入的情況下自動下單。</p> <p>勒索軟體Qilin的威脅態勢也相當值得關注，原因是這些駭客運用的新手法相當特別：他們在Windows電腦上執行Linux版加密工具，從而躲過防毒軟體與EDR系統的偵測，而且更可怕的是，他們運用同一支加密工具，透過SSH用戶端工具存取Linux主機，進行橫向感染。</p> <h3><a href="https://www.ithome.com.tw/news/171940"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月29日】勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手</span></strong></a></h3> <p>論及勒索軟體威脅，許多人第一個會想到<a href="https://www.ithome.com.tw/tags/lockbit">LockBit</a>，也有人可能會想到今年上半犯案連連的<a href="https://www.ithome.com.tw/tags/dragonforce">DragonForce</a>，然而，與上述兩個勒索軟體<a href="https://www.ithome.com.tw/news/171615">結盟</a>的<a href="https://www.ithome.com.tw/tags/qilin">Qilin</a>，他們的活動也不斷出現在近期新聞版面，例如：該組織於8月底宣稱<a href="https://www.ithome.com.tw/news/170849">入侵日產汽車旗下設計公司CBI</a>，9月底傳出朝日啤酒遭勒索軟體，<a href="https://www.ithome.com.tw/news/171609">Qilin也表明是他們所為</a>。在上週<a href="https://www.ithome.com.tw/news/171904">趨勢科技公布這些駭客的攻擊手法</a>後，本週思科威脅情報團隊Talos公布最新調查結果，指出這些駭客曾在6月及8月，都入侵接近100個企業組織，其中又以製造業受害的情況，最為嚴重。</p> <p>最近兩年的商業間諜軟體活動，相關攻擊多半鎖定行動裝置，但最近有一項Chrome零時差漏洞的調查結果引起關注，半年前發現Chrome零時差漏洞CVE-2025-2783攻擊行動的資安業者卡巴斯基，指出這起事故是一度消聲匿跡的Hacking Team東山再起，他們成立名為間諜軟體開發公司Memento Labs，並發起這波攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/171973"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月30日】NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測</span></strong></a></h3> <p>NPM套件攻擊行動相當氾濫，無時無刻都有事故傳出，然而在一個月前出現<a href="https://www.ithome.com.tw/news/171263">會自我散播的蠕蟲</a>之後，本週有新的活動揭露，其中，又以資安業者Koi Security公布的攻擊行動PhantomRaven相當特別，因為攻擊者藏匿惡意程式碼的手法極為罕見，令人意外的是，他們用於存放惡意程式碼的相依套件，存放在自己控制的伺服器，不僅這種套件的資訊不會在NPM網頁顯示，一般的資安掃描工具或是相依性分析工具，都不會分析這個相依套件，並忽略其存在。</p> <p>另一起攻擊事故也非常引起關注，因為駭客攻擊的範圍涵蓋三大作業系統的開發人員，而且他們對惡意程式碼採取4層混淆處理的手段，竟然在NPM套件儲存庫上架4個月後，才被資安業者Socket發現異狀並進行舉報。</p> <h3><a href="https://www.ithome.com.tw/news/171989"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月31日】駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具</span></strong></a></h3> <p>駭客濫用滲透測試工具的情況，現在已從商業軟體轉向開源專案，但最近有一種滲透測試框架接連被用於攻擊行動的情況相當不同，有資安業者根據他們掌握的線索進行調查後發現，開發者的身分並不尋常，他曾積極在駭客論壇活躍，而且特別鎖定俄羅斯駭客進行宣傳，換言之，這並非原本用於合法的工具遭到濫用，而是駭客以開源專案掩護打造犯罪工具的事實。</p> <p>國家級駭客的攻擊行動同樣大幅占據今天的新聞版面，其中，俄羅斯駭客Sandworm旗下團體以寄生攻擊手法，針對烏克蘭企業組織從事網路間諜活動，以及北韓駭客BlueNoroff專門針對Web3和區塊鏈領域，散布惡意軟體的攻擊活動，還有加拿大指出當地的關鍵基礎設施的工控設備，也遭到國家級駭客入侵而影響運作。</p> <p style="margin: 0px;"> </p> </div></div></div>
2025/11/3 12:56作者羅正漢https://www.ithome.com.tw/news/172000
三星與Nvidia合作建置AI工廠，將部署5萬顆Nvidia GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/samsung-ai-factory" target="_blank">韓國三星（Samsung Electronics）與Nvidia上周宣布</a>，將共同建置全新的AI工廠，計畫部署逾5萬顆Nvidia GPU；該工廠將成為三星數位轉型的核心，讓AI全面嵌入其整個製造流程，加速下一代半導體、行動裝置與機器人的設計與量產。</p> <p><a href="https://news.samsung.com/global/samsung-teams-with-nvidia-to-lead-the-transformation-of-global-intelligent-manufacturing-through-new-ai-megafactory?utm_source=chatgpt.com" target="_blank">根據三星的說明</a>，此一AI工廠將整合半導體製造的所有環節，從設計、製程、設備、營運到品質控制，建立一個單一的智慧網路，由AI持續分析、預測與即時最佳化整體生產環境。</p> <p>此外，這座AI工廠也將超越傳統自動化，成為一個能夠串連並解讀晶片設計、製造及設備營運所產生之海量資料的智慧製造平臺。</p> <p>除了Nvidia GPU之外，三星也計畫導入各種Nvidia技術，涵蓋以Nvidia RTX PRO 6000 Blackwell Server Edition來推動製造自動化、人形機器與物理AI應用；以Nvidia Jetson Thor讓機器人可進行即時AI推理、任務執行及安全控制；將使用CUDA-X加速的Nvidia GPU基礎設施，提升晶片製程中的OPC光學微影與TCAD模擬；利用cuLitho微影計算提升20倍效能，加速形成準確的電路圖案；透過Omniverse函式庫建構可視覺化整座晶圓廠的虛擬模型；以Nvidia世界模型Cosmos結合機器人模擬與真實世界推理；雙方還將與其它合作夥伴共同開發新一代GPU加速EDA工具與設計技術。</p> <p>事實上，三星已在全球超過4億臺裝置上部署自家AI模型，也將相關模型導入內部製造系統，以提升整體生產的自動化。</p> <p>在此同時，三星亦參與了Nvidia、韓國電信業者及學術機構共同推動的AI-RAN（Radio Access Network，AI無線存取網路）。三星表示，把AI運算能力整合至行動網路，將讓代理型AI及物理AI在接近邊緣的位置進行即時感知、資料處理及推理，而AI-RAN將成為大規模部署物理AI所需的神經網路。</p> <p>Nvidia正在擴大全球AI-RAN生態的布局。除了與三星及韓國電信業者合作推動AI-RAN應用外，<a href="https://www.ithome.com.tw/news/171934" target="_blank">Nvidia亦於日前宣布</a>將以10億美元取得Nokia 2.9%的股份，協助Nokia將5G與6G的RAN軟體加速移植至Nvidia架構之上，打造AI原生的無線存取網路。外界也預期，AI-RAN未來可望成為新一代智慧製造、物理AI與6G時代的共同基礎。</p> </div></div></div>
2025/11/3 12:59作者陳曉莉https://www.ithome.com.tw/news/172004
解決Swift編譯過久，6.3將引入更聰明的多載判斷與常值求解策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Swift團隊<a href="https://forums.swift.org/t/roadmap-for-improving-the-type-checker/82952">公開</a>型別檢查器的發展路線，目標是減少表達式型別推論在多載情境下的高成本，緩解開發者常見的編譯器無法在合理時間內完成型別檢查的問題。這波更新的重心在編譯器內部演算法與資料結構，而非語言層面的大幅變更，預期從Swift 6.3起，改良的多載判斷選擇機制將使型別檢查更有效率，特別是對包含數學運算子與常值（Literal）的表達式的效果，進而縮短整體編譯時間。</p> <p>Swift的型別推論仰賴約束求解機制，當編譯器推理一個表達式的型別時，必須在多個可能的函式多載與泛型組合中找出正確解法。這種搜尋在最壞情況下時間複雜度會呈現指數成長，特別是在表達式過於複雜或多載函式數量龐大時，容易導致編譯時間暴增。為了防止耗費過多資源，編譯器會限制嘗試次數與記憶體使用量，一旦超出限制便中止檢查。</p> <p>前一版Swift 6.2已先針對回溯機制與圖演算法做底層最佳化。在一個重度使用多載與泛型的實務專案中，整體型別檢查時間由42秒降到34秒，也能更快對無效表達式產出錯誤訊息，雖然診斷文字本身尚未全面改善，等待時間已明顯縮短。</p> <p>接下來的Swift 6.3版本，官方將改進的重點轉向過載判斷與常值推論。新版採用更好的策略選擇機制，能在求解過程中，即時判斷哪些多載最有可能符合條件，避免浪費時間嘗試明顯錯誤的選項。這讓先前無法通過檢查的表達式，在新版能於數毫秒內完成推論。</p> <p>此外，主線開發快照另有一項約束求解器配置空間最佳化功能，避免在泛型多載上重複產生型別變數與約束，在相同無效表達式上，觸及限制的時間可降至約1.7秒，整體專案型別檢查時間也可由12秒降至10秒。此設定預設關閉需手動開啟，官方希望之後啟用。</p> <p>Swift團隊也在擴充測試套件，蒐集自使用者回報的慢速表達式案例，用以長期監測效能變化，防止回歸（Regression）。未來的開發方向包括重新設計型別變數的綁定邏輯，使陣列與字典等大型常值的推導速度更快，並逐步移除舊版遺留的特例化邏輯。團隊還在研究將現代SAT求解技術應用於型別推論，例如能記住過去矛盾條件以加速後續求解的子句學習機制。</p> </div></div></div>
2025/11/3 11:23作者李建興https://www.ithome.com.tw/news/172001
Perplexity測試能以自然語言搜尋專利的工具Perplexity Patents
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.perplexity.ai/hub/blog/introducing-perplexity-patents" target="_blank">AI新創Perplexity上周發表</a>了能夠以自然語言搜尋專利的工具Perplexity Patents，可提供即時引用，找出傳統關鍵字無法捕捉的先前技術，還能跨專利、論文及程式碼來源，降低專利搜尋門檻。Perplexity Patents目前處於測試（Beta）階段，可供所有使用者免費試用。</p> <p>Perplexity Patents定位為AI專利研究代理人。Perplexity說明，數十年來，專利搜尋一直仰賴需要精確關鍵字組合與複雜語法的系統；公開搜尋工具有限，而專業平臺昂貴且需要大量訓練，這些限制讓除了專家以外的其他人都被拒於門外。Perplexity Patents讓每個人都能快速獲得專利情報，而且可在多輪提問中保持脈絡一致，以創新的速度找到使用者所需的答案。</p> <p>有別於傳統搜尋主要基於關鍵字，而大多數AI則是根據模型的預測能力直接生成答案，Perplexity Patents採用以引用為優先（Citation-first）的方式，亦即先尋找引用的來源再給出答案，讓結果更加地透明與可信。</p> <p>使用者只需向它詢問「是否有任何語言學習AI的專利？」或「自2024年以來有哪些關鍵性的量子運算專利？」那麼Perplexity Patents即可自動理解與專利相關的查詢，在必要時回應相關的專利集合，並提供內嵌的專利檢視器及原始專利文件的連結。</p> <p>此外，Perplexity Patents還能夠挖掘出傳統關鍵字配對無法發現的關鍵現有技術，其搜尋範圍超越精確匹配，例如當使用者搜尋「健身追蹤器」時，傳統工具可能只會顯示包含其精確關鍵字的專利，但Perplexity Patents則能找到沒有該關鍵字、卻與其概念相關的運動手環、計步手錶及健康監測穿戴裝置等資訊。</p> <p>Perplexity解釋，Perplexity Patents的背後提一套先進的AI研究代理系統。該系統會將使用者的複雜問題拆解成多個資訊搜尋任務，並在其大規模專利索引庫上逐一執行。AI會依據搜尋結果持續延伸研究，最終以數十到數百個支撐文件完整回答使用者的查詢。</p> <p>Perplexity Patents不只會搜尋專利文獻，也會在必要時探索學術論文、公共軟體庫與其它首次出現新想法與突破的來源。</p> </div></div></div>
2025/11/3 11:10作者陳曉莉https://www.ithome.com.tw/news/172002
MySQL 8.0明年4月終止支援，Percona估計逾半數使用者仍未升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.oracle.com/en-us/iaas/mysql-database/doc/mysql-server-versions.html" target="_blank">甲骨文（Oracle）預計於明年4月終止MySQL 8.0的生命周期</a>，不過，<a href="https://www.theregister.com/2025/10/31/mysql_8_support_end/?td=rt-3a" target="_blank">The Register引用開源資料庫支援業者Percona的開源監控（PMM）數據</a>，還有58%的MariaDB資料庫正在使用MySQL 8.0，另有18.8%的部署仍然使用MySQL 5.7。</p> <p><a href="https://www.ithome.com.tw/news/122581" target="_blank">MySQL 8.0正式版是在2018年4月發表</a>，它的前一個主要版本為2015年10月MySQL 5.7。由於MySQL 8.0並無降級的選項，使得許多MySQL用戶一直到MySQL 5.7的生命周期於2023年10月結束之後，才漸次升級到MySQL 8.0。目前最新的長期支援版本為2024年4月發表的MySQL 8.4。</p> <p><a href="https://www.percona.com/blog/mysql-8-0-end-of-life-date/" target="_blank">Percona表示</a>，生命周期的結束意謂著2026年4月之後，甲骨文就不會再修復MySQL 8.0的安全漏洞或臭蟲，堅持使用舊版本的組織恐會面臨愈來愈脆弱的安全性，合規性也可能出現問題。屆時企業將有兩種選擇，分別是升級至MySQL 8.4或是尋求EOL（End of Support）之後的支援服務。</p> <p>Percona共同創辦人Peter Zaitsev向The Register表示，每一款複雜的軟體都可能含有尚未被發現的臭蟲，其中某些可能是安全漏洞，當生命周期結束時，它們將不會被修復；儘管使用者可能因擔心中斷而延後資料庫的遷移，但起碼從MySQL 8.0的升級到8.4並不像5.7升級到8.0那般地痛苦。</p> <p><a href="https://survey.stackoverflow.co/2025/technology#1-databases" target="_blank">Stack Overflow針對開發人員的調查顯示</a>，前五大最受歡迎的資料庫依序是PostgreSQL（55.6%）、MySQL（40.5%）、SQLite（37.5%）、Microsoft SQL Server（30.1%）及Redis（28%）。</p> <p>雖然MySQL 8.0社群版在生命周期結束後將失去甲骨文的官方維護，但使用者仍可透過第三方取得延伸支援。例如Percona提供自架MySQL的延伸安全更新，而AWS與微軟則分別針對其托管的RDS與Azure Database for MySQL推出延伸支援方案。</p> </div></div></div>
2025/11/3 08:57作者陳曉莉https://www.ithome.com.tw/news/171997
Oracle EBS漏洞攻擊工業設備巨擘Schneider、Emerson傳受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle E-Business Suite（EBS）漏洞攻擊事件持續擴大，連工業自動化設備商施耐德電機（Schneider Electric）、艾默生電機（Emerson Electric）也成為受害者。</p> <p>以錢財為目的駭客組織FIN11日前在設立以Cl0p勒索軟體資料洩露網站公佈一批受害者及部份相關資料，包括這兩家大廠。上周資安研究人員<a href="https://x.com/AlvieriD/status/1981105221762965786" target="_blank">Domini Alvieri透過X</a>指出Schneider和<a href="https://x.com/AlvieriD/status/1678728057475956736" target="_blank">Emerson</a>成為CI0p資料外洩的受害者。</p> <p><a href="https://www.securityweek.com/industrial-giants-schneider-electric-and-emerson-named-as-victims-of-oracle-hack/" target="_blank">同時間資安媒體SecurityWeek報導</a>，操作Cl0p的FIN11駭客在網站上公佈分別指向Schneider的116GB資料夾，以及Emerson的2.7TB資料夾。巧合的是，資安媒體依據有限的檔案樹的metadata，也推斷這批資料來自甲骨文Oracle EBS。</p> <p>研究人員相信，兩家工業自動化巨擘都是因為Oracle EBS的CVE-2025-61882零時差漏洞遭到駭客竊取資料。</p> <p>不過兩家廠商皆未對此回應媒體詢問。</p> <p>若消息屬實，這意謂Oracle EBS漏洞攻擊行動的受害者又再增加。之前，已經有哈佛大學、<a href="http://www.ithome.com.tw/news/171753" target="_blank">Envoy Air</a>及南非的<a href="https://iol.co.za/news/education/2025-10-17-wits-university-confirms-cyber-attack-on-oracle-e-business-system/" target="_blank">Wits大學</a>。</p> <p><a href="https://www.ithome.com.tw/news/166749" target="_blank">去年Schneider也被Grep駭客</a>在勒索軟體駭客組織地下網站公佈其專案、程式碼問題、以及客戶資料約40GB，駭客稱是竊自這家業者所使用的Atlassian Jira系統，並且很有創意地要求價值12.5萬美元的加密貨幣及法國長棍麵包作為贖金。</p> </div></div></div>
2025/11/3 09:08作者林妍溱https://www.ithome.com.tw/news/171998
Docker漏洞可讓駭客在主機內寫入檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.imperva.com/blog/cve-2025-62725-from-docker-compose-ps-to-system-compromise/" target="_blank">資安廠商Imperva發現</a>，Docker存在一項重大漏洞，可讓攻擊者在雲端容器寫入任意檔案。</p> <p>問題是出在Docker Compose，它可組合多個容器成為一個完整服務。Docker Compose支援眾多開發任務，它是在Docker Engine上的一層，能將數行YAML程式碼變成一個能執行的應用程式。</p> <p>2025年10月初Imperva在研究Docker Compose對OCI物件的支援時，發現它的高風險路徑遍歷（path traversal）漏洞。該漏洞能讓攻擊者逃出Compose的快取目錄，而在主機系統上寫入任意檔案。這項漏洞編號CVE-2025-62725，風險值CVSS 8.9，已經由Docker團隊修補。</p> <p>Docker Compose支援把OCI構件（artifact）推送到遠端儲存庫（registry），以便開發人員可在Docker儲存庫中執行Compose專案，再以include:指令在目標主機呼叫Compose參照該構件。在運作過程中，Compose會抓取OCI manifest，下載所有layers及標註（annotation）並在本地的快取目錄中重構出專案。根據這些標註，Compose將檔案寫到本地，甚至可延伸主要專案定義。</p> <p>但是Compose處理OCI layers時，是完全信任layer標註內的寫入目的地。研究人員解釋，這項漏洞出在Docker Compose pkg/remote/oci.go如函式（如pullComposeFiles、writeComposeFile、writeEnvFile）處理OCI layer標註時，是直接把標註值與本地快取路徑結合起來，而沒有做路徑正規化與邊界檢查。這使得惡意標註可能超出快取目錄，導致Compose把檔案寫在它有權限寫入的任何地方。在OCI構件中的標註寫入指令，像是docker compose ps，或docker compose config，即可讓Compose在本地重構，而觸發漏洞。</p> <p>研究人員設計了一項概念驗證攻擊手法。攻擊者設立OCI儲存庫來誘使Compose參照包含路徑遍歷layer的有害OCI構件，讓受害者執行Compose指令，在其快取目錄下寫入YAML碎片，得以覆寫~/.ssh/authorized_keys植入攻擊者公鑰取得SSH存取。另外，本手法也可以覆寫其他系統或應用程式檔案，進一步造成RCE或持久性後門。</p> <p>受此漏洞影響的包括Docker Desktop、Linux standalone Compose、CI/CD runner、雲端開發環境等會解析遠端OCI構件的環境</p> <p>Docker團隊已經於10月底解決漏洞，在Docker v2.40.2加入正規化和驗證標註路徑的函式，可拒絕在快取目錄外解析，或包含絕對路徑的構件。研究人員強烈建議用戶升級到該版本以後。</p> </div></div></div>
2025/11/3 09:18作者林妍溱https://www.ithome.com.tw/news/171999
與時俱進之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼花蓮縣光復鄉因為堰塞湖溢流成為全國焦點之後，臺中市梧棲區的非洲豬瘟疫情從10月下半開始，成為每天國內新聞的焦點。10月21日上午11時44分，農業部接獲臺中市動物保護防疫處送檢梧棲區1養豬場死亡豬隻檢體，經檢驗非洲豬瘟病毒核酸呈陽性反應，隔天於農業部動植物防疫檢疫署臺中分署成立前進應變所，臺中市政府也兩度召開非洲豬瘟緊急應變小組會議。</p> <p>這段期間，有幾個狀況令外界難以理解。例如，根據媒體報導，臺中市政府20日首次送檢體時採用宅配方式，後來親送活豬樣本。23日立法委員林楚茵在臉書公布疑似宅配檢體的單據，根據上面的樣式、單號、寄件人與收件人資訊顯示，可能透過超商的宅配寄送。弔詭的是，此舉明顯違反物流業者的寄送規定，然而，農業部獸醫研究所所長表示，目前無規範動物檢體送檢必須宅配或親送。25日有醫檢師發布影片表示，臺灣有感染性物質運輸的指引與規定，她認為應該由受過相關訓練的人員，以專車運送的方式進行，若要交由託運業者運送，也應該是點對點的專車運送。</p> <p>關於處理狀況的獸醫身分，市府的說法竟然一變再變，但大家目前還是不知道是哪位獸醫的判斷延誤通報。</p> <p>10月22日市府聲稱，14日動保處人員與豬農特約獸醫在場；24日豬農紀姓特約獸醫表示未到案場、未開藥，市府承認是新聞稿誤植，14日僅動保處獸醫到場，後來又說豬農表示另聘獸醫投藥；25日市府說農業局連絡的獸醫姓王，而非紀姓獸醫；26日市府起初表示王姓獸醫是豬農另聘獸醫，後面改口王姓人員為獸醫佐、無獸醫執照，而這位有獸醫佐證書的人，其實是藥廠業務，豬農表示是他們自行注射藥物，王姓人員沒開處方與診斷；27日市府表示，紀姓獸醫、王姓獸醫佐均未到案場，現場狀況由動保處獸醫轉述；28日市府說明，具獸醫師身分的動保處賴姓技佐13日聯繫豬農，14日前往案場疫調，20日賴姓技佐與另一位獸醫到場採樣。</p> <p>用廚餘養豬的問題，也引發一些爭議。臺中市政府22日表示，豬隻在199頭含以下，不得飼餵廚餘，若是門檻以上可合法餵食，而這家養豬場飼養頭數約300頭，他們依照中央頒布相關法令執行。</p> <p>然而，即使能以廚餘養豬，但豬農仍要遵守廢棄物清理法相關規定：廚餘直接餵飼豬隻再利用者，應具有高溫蒸煮方式辦理，高溫蒸煮時應持續攪拌，並維持中心溫度攝氏90度以上、蒸煮至少1小時以上，以避免因廚餘養豬造成疫病傳染。</p> <p>除此之外，環境部曾函文請各地方環保機關，輔導轄內取得廚餘再利用之養豬場，應每日至「廚餘蒸煮申報系統」上傳蒸煮廚餘照片或影片，環境部26日表示，案發場5月傳送24次廚餘資料，6月8次、7月1次、8月是0次，臺中市政府5月和7月各查核過1次，6月及8月並未執行稽查，不符合規範指引，隔天發布新聞強調上傳照片僅為輔助管理工具，真正的重點在於落實稽查，以避免業者未確實高溫蒸煮而造成防疫破口。</p> <p>關於為何無法配合規定，市府26日表示業者年長不熟悉網路操作，曾多次電話提醒，稽查人員每次訪查均特別提醒與加強輔導，後續8、9月未依規上傳照片，也透過電話多次提醒。29日環境部研議全面加裝溫度探針及監視器，取代現行的人工上傳照片或影片方式。</p> <p>綜上所述，我們可以看到業者疏失與公務機關監督不力，顯然相關的輔導、稽核、通報、調查機制仍有許多不足之處，再次突顯農畜牧業的發展困境，許多措施都必須與時俱進，就連業者不擅用智慧型手機通報的這類狀況，都要考量在內，提供更多便民機制、使其能夠遵守法律規範，而非只能透過督導人員的口頭提醒。同時，各種政令不只要宣導，更要從各種層面落實，大家一起努力，才能提升因應疫情與天災的韌性。</p> </div></div></div>
2025/11/1 08:15作者李宗翰https://www.ithome.com.tw/voice/171994
【資安日報】10月31日，駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用滲透測試工具的情況，現在已從商業軟體轉向開源專案，但最近有一種滲透測試框架接連被用於攻擊行動的情況相當不同，有資安業者根據他們掌握的線索進行調查後發現，開發者的身分並不尋常，他曾積極在駭客論壇活躍，而且特別鎖定俄羅斯駭客進行宣傳，換言之，這並非原本用於合法的工具遭到濫用，而是駭客以開源專案掩護打造犯罪工具的事實。</p> <p>國家級駭客的攻擊行動同樣大幅占據今天的新聞版面，其中，俄羅斯駭客Sandworm旗下團體以寄生攻擊手法，針對烏克蘭企業組織從事網路間諜活動，以及北韓駭客BlueNoroff專門針對Web3和區塊鏈領域，散布惡意軟體的攻擊活動，還有加拿大指出當地的關鍵基礎設施的工控設備，也遭到國家級駭客入侵而影響運作。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171978"><strong style="font-size: 22px;">駭客聲稱提供開源滲透測試框架AdaptixC2，實際上是發展犯罪工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/adaptix-image-5-ralfhacker-teleg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/adaptix-image-5-ralfhacker-teleg.png" style="width: 300px; float: right;" /></a></p> <p>合法的滲透測試工具遭到駭客濫用的情況不時傳出，近期駭客又特別偏好功能強大的開源工具，例如：中國駭客Storm-2603將資安鑑識工具Velociraptor用於勒索軟體活動，但如今卻出現有歹徒反向操作，假借打造開源滲透測試框架的名義，明目張膽地發展犯罪工具。</p> <p>資安業者Silent Push指出，最近幾個月傳出遭到濫用的滲透測試工具AdaptixC2，背後實際上的主要開發者是駭客。該公司根據上個月揭露的惡意軟體載入工具CountLoader的攻擊行動裡，犯案的俄羅斯勒索軟體駭客會一併運用AdaptixC2進行通訊，其中不尋常的跡象是，AdaptixC2的有效酬載竟透過CountLoader的基礎設施提供，於是他們進一步根據C2的IP位址等資料循線追查，發現AdaptixC2開發者的身分並不單純。</p> <p>而且，在GitHub儲存庫提交的AdaptixC2程式碼，幾乎都來自名為RalfHacker的人士，雖然他自稱是滲透測試員及紅隊操作人士，但實際上是惡意軟體的開發者。</p> <p><a href="https://www.ithome.com.tw/news/171985"><strong style="font-size: 22px;">俄羅斯駭客Sandworm透過寄生攻擊隱匿行蹤，對烏克蘭大型商業服務及地方政府機關下手</strong></a></p> <p>隨著軍事行動持續進行，俄羅斯對烏克蘭企業組織的網路攻擊接連傳出，最近又有資安業者揭露相關事故，並指出駭客廣泛運用寄生攻擊（LoL）與常見合法工具，真正自己打造的惡意軟體並不多，這樣的情況使得企業組織更難察覺異狀。</p> <p>資安業者賽門鐵克指出，他們近期發現疑似與Sandworm有關的俄羅斯駭客組織，攻擊一家大型商業服務公司，以及地方政府部門，分別入侵長達兩個月及一週，目的是收集情報。對於接觸受害組織的管道，駭客很可能鎖定能從網際網路存取的伺服器，藉由尚未修補的已知漏洞而得逞，隨後就在伺服器部署LocalOlive等Web Shell，而這正是他們判斷與Sandworm有關的依據。</p> <p>鎖定商業服務公司的攻擊，最早可追溯到6月27日，當時駭客嘗試在伺服器部署Web Shell，得逞後進行偵察並收集受害主機的系統資訊，並執行PowerShell命令竄改防毒軟體Microsoft Defender設定，將下載資料夾加入白名單，這麼做應該是為了避免相關下載檔案遭到攔截。</p> <p><a href="https://www.ithome.com.tw/news/171987"><strong style="font-size: 22px;">北韓駭客BlueNoroff從事GhostCall與GhostHire攻擊行動，鎖定Web3及區塊鏈領域而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bluenoroff-apt-campaigns3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bluenoroff-apt-campaigns3.jpg" style="width: 300px; float: right;" /></a></p> <p>北韓駭客鎖定加密貨幣及區塊鏈產業發動攻擊的情況，不時有相關事故傳出，過往他們多半針對Windows用戶下手，現在這樣的策略出現變化。</p> <p>例如，被稱為BlueNoroff、Sapphire Sleet，以及APT38的北韓駭客組織，資安業者卡巴斯基揭露這些駭客的最新攻擊手段，他們持續針對區塊鏈開發人員、高階主管，以及Web3與區塊鏈業界的經理下手，從事GhostCall與GhostHire兩種型態的攻擊活動，過程中使用相同的惡意程式，攻擊流程的結構也有相似之處，但與過往不同的是，駭客鎖定的平臺出現變化，並透過AI強化攻擊的效果，使得受害者更難察覺異狀。</p> <p>這兩種型態的攻擊行動當中，其中又以假視訊會議來欺騙使用者的GhostCall最受到關注，卡巴斯基提到這種活動的最大轉變，就是駭客原本鎖定Windows電腦用戶，現在全面轉向攻擊macOS作業系統。</p> <p><a href="https://www.ithome.com.tw/news/171977"><strong style="font-size: 22px;">加拿大警示駭客濫用公開工控系統，多起水利與能源設施遭干擾</strong></a></p> <p>加拿大網路安全中心發布警訊AL25-016，提醒駭客正利用可直接從網路連線的工業控制系統發動干擾。近幾星期已出現多起個案，包括水利設施的水壓數值遭竄改，而導致供水服務品質下降，石油天然氣公司自動油槽量測系統ATG被操控引發誤報。還有一處農場的穀物乾燥筒溫濕度被修改，要是未及時發現，可能導致不安全狀態。</p> <p>事件顯示只要工控設備暴露在網際網路上，就可能被有意博取聲量的駭客行動主義者（Hacktivist）濫用，進而影響公共服務的正常運作。</p> <p>警訊內容指出，受影響面向涵蓋可程式化邏輯控制器PLC、遠端終端單元RTU、人機介面HMI、監控與資料採集系統SCADA、安全儀表系統SIS、建築管理系統BMS與工業物聯網裝置。</p> <p><a href="https://www.ithome.com.tw/news/171984"><strong style="font-size: 22px;">社交工程利用信任，擊潰臺灣資安防線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/uwjoziud_ls2-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/uwjoziud_ls2-1.jpg" style="width: 300px; float: right;" /></a></p> <p>數位發展部資通安全署日前召開記者會，針對當前日益嚴峻的社交工程威脅發出最嚴正的警告。數位發展部資安署署長蔡福隆更表示，面對目前各種層出不窮的資安攻擊，提升全民資安意識，是守護國家安全體系中最關鍵的一環。</p> <p>目前臺灣整體資安情勢嚴峻，遭受各種層面的攻擊非常多，這些攻擊除了針對政府機關的網站或是相關的重要個資，蔡福隆指出，社交工程是其中一項主要的威脅。根據《資通安全署資安月報》統計，目前威脅來源中，屬於社交工程或資訊收集類別的比例，已超過三成以上。</p> <p>他更進一步提醒，駭客往往透過社交工程郵件，將後門程式植入機關內部，這是資安署看到最容易、也是最常看到的入侵途徑。在未來，由於深偽（Deepfake）AI技術的發展，駭客更容易產製相關的圖像或影片，以錯誤的內容來詐騙民眾。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/major-telecom-services-provider-ribbon-breached-by-state-hackers/">跨國電信業者Ribbon證實網路環境遭到國家級駭客入侵，相關活動可追溯至去年12月</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/akira-ransomware-stole-apache-openoffice-data/">勒索軟體Akira聲稱對開源辦公室套件專案Apache OpenOffice下手，竊得23 GB內部資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-ai-targeted-cloaking-attack-tricks.html">AI瀏覽器底層模型可被操縱，資安業者揭露能讓AI爬蟲引用錯誤訊息的攻擊手法</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/redishell-rce-vulnerability/">滿分漏洞RediShell迄今仍有超過8,500臺Redis主機尚未修補</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-brash-exploit-crashes-chromium.html">研究人員揭露鎖定排版引擎Blink的攻擊手法，只需單一惡意URL就能讓瀏覽器當機</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171980"><strong style="font-size: 22px;">OpenAI發表資安研究AI代理Aardvark，可自動找漏洞及寫修補程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Aardvark-MViYHisKc6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aardvark-MViYHisKc6.png" style="width: 300px; float: right;" /></a></p> <p>OpenAI於10月30日發表了基於GPT-5的AI資安工具Aardvark，它能像人類資安專家一樣分析程式碼、找出漏洞並自動提出修補方案。</p> <p>Aardvark的核心設計是以LLM推理為基礎，而非傳統工具如fuzzing或軟體組件分析。它能讀懂整個程式庫的架構、建立威脅模型，並以逐行理解的方式發現邏輯錯誤、未完整修補的歷史問題與隱私相關漏洞。當儲存庫被連結後，Aardvark會先全面掃描歷史，之後持續監控每一次提交，並在程式碼變動時即時偵測新漏洞。</p> <p>整個漏洞處理流程包含四大階段：首先進行程式碼庫的分析，建立威脅模型；其次，對每次提交進行比對與掃描；第三步在沙盒（Sandbox）環境中嘗試實際觸發漏洞，確認可利用性並降低誤報；最後，Aardvark會透過Codex生成修補程式碼，並附上一鍵提交Pull Request的選項。OpenAI表示，這能讓工程團隊在不打斷開發速度的情況下，快速採用高品質修補。</p> <p><a href="https://www.ithome.com.tw/news/171970"><strong style="font-size: 22px;">守住多元與包容原則，Python基金會退出美國NSF提供的150萬美元補助案</strong></a></p> <p>Python軟體基金會（PSF）本周宣布，該基金會原本已通過美國政府國家科學基金會（National Science Foundation，NSF）針對開源系統所提供150萬美元安全補助專案，卻因該專案要求他們在獲得補助的期間，不得推動任何歧視性的平等意識型態（Discriminatory Equity Ideology，DEI）計畫，而決定退出。</p> <p>PSF在今年1月提出了申請，期望取得補助以解決Python與PyPI的結構性漏洞，這是PSF首次申請政府補助，且他們認為該提案非常適合Safe-OSE專案，儘管PSF專案首次申請就成功的機率只有36%，但PSF很順利地獲得了推薦。</p> <p>然而，當PSF仔細檢查補助條款與條件時，赫然發現相關條款要求確認受款人不得在補助期間內，推動任何DEI（Discriminatory Equity Ideology）計畫。而且該規定不僅適用於所申請的安全任務，還適用於整個PSF的所有活動；NSF還擁有收回先前已批准或已轉移資金的權利，這代表NSF可能追討已被花掉的錢，是個開放且巨大的財務風險。</p> <p><a href="https://www.ithome.com.tw/news/171876"><strong style="font-size: 22px;">發展AI自動發現與修補漏洞有成，Shellphish在臺揭露實戰經驗</strong></a></p> <p>台灣駭客年會HITCON 2025在8月舉行，今年有多場來自美國AI Cyber Challenge（AIxCC）競賽隊伍成員的演說，闡釋了用AI發現並修補漏洞的最新研究經歷，讓臺灣資安社群能近距離掌握第一手資訊。</p> <p>獲得AIxCC競賽第5名的隊伍Shellphish，他們在決賽中開發的CRS系統，其準確率在7支決賽隊伍中表現最佳，共同領隊Wil Gibbs與Lukas Dresel皆是CTF競賽的常客，兩位專家應台灣駭客年會HITCON 2025邀請來臺，說明用AI發現並修補漏洞的最新研究經歷，讓臺灣資安社群能近距離掌握第一手資訊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171973"><strong>【10月30日】NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171940"><strong>【10月29日】勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171908"><strong>【10月28日】OpenAI推出的AI瀏覽器存在設計瑕疵，攻擊者可用假網址下達惡意指令</strong></a></p> </div></div></div>
2025/10/31 17:54作者周峻佑https://www.ithome.com.tw/news/171989
Cursor推出2.0新版與Composer模型，重點加速多代理協作開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧程式碼編輯器<a href="https://cursor.com/blog/2-0">Cursor發布2.0新版</a>，帶來2項重要更新，其一是推出<a href="https://cursor.com/blog/composer">自行研發的模型Composer</a>，主打低延遲的代理式程式開發，其二是導入以代理為中心的新介面，讓使用者能同時啟動多個代理，並行處理任務，把焦點放在成果而非檔案操作。</p> <p>Composer是Cursor針對軟體工程調校的代理模型，設計目標是讓開發者在大型程式碼庫中能即時互動並快速完成任務。官方表示，Composer在內部基準測試中表現約為同級模型的4倍速，多數回應能在30秒內生成，強調低延遲高效率的程式開發體驗。模型訓練時即在真實專案環境中操作，要求能靈活使用各種開發工具，以符合實際工程的節奏。</p> <p>Composer採用MoE（Mixture of Experts）架構並支援長脈絡理解，能處理跨檔案、跨模組的程式脈絡，可呼叫多項開發工具，包括檔案讀寫、終端機指令執行與程式碼庫層級的語意搜尋，使模型能在多層次開發情境中執行複雜操作。為了衡量模型的實際效益，Cursor建立名為Cursor Bench的內部評測系統，以工程師的真實代理請求為依據，評估不僅著重正確性，也重視是否符合工程實務與抽象設計的要求。</p> <p>官方提到，在強化學習過程，Composer被觀察到具備主動行為能力，如進行複雜搜尋、修正Linter錯誤、撰寫並執行單元測試等。訓練過程以PyTorch與Ray架構為基礎，採非同步強化學習方式進行，結合自研MXFP8 MoE核心運算程式（kernels）與專家平行化（Expert Parallelism）技術，在數千張GPU上完成低精度原生訓練，不需額外量化步驟即可達到推論速度最佳化。</p> <p>官方在內部基準中把對照模型分成多個等級，例如高速尖端（Fast Frontier）、最佳開放（Best Open）、最佳尖端（Best Frontier）與 Frontier 7/2025，用來比較不同型別模型的表現。Composer主打在代理式程式開發中的互動速度與實用性，而最佳尖端等級的GPT-5與Sonnet 4.5在整體能力上仍優於Composer。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2c63fa78309ad47aa50660de6a281ad756d4ef7d-2400x1350.jpg" style="width: 580px;" /></p> <p>除了模型更新，Cursor 2.0也推出以代理為核心的新介面。新的工作流程讓使用者能同時啟動多個人工智慧代理並行處理任務，系統可透過Git的多工作樹功能或遠端執行環境分離各代理作業，避免衝突。開發者可專注於成果而非檔案操作，並在需要時切回傳統IDE介面。這種多代理設計可讓不同模型同時嘗試解決同一問題，系統再自動挑選最佳結果，特別有助於應對高難度或需探索多解法的開發任務。</p> </div></div></div>
2025/10/31 17:58作者李建興https://www.ithome.com.tw/news/171986
美國業務外包業者Conduent遭駭竊取客戶資料影響上千萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國業務外包(Business Process Outsourcing,BPO)知名業者Conduent近日證實，去年發生資料外洩事件，影響超過千萬客戶。</p> <p>Conduent是美國一家大型的業務流程外包(BPO)及技術服務公司，總部位於新澤西州Florham Park。它是2017年由Xerox內部業務服務部門分拆而成。其服務業務涵蓋企業與政府部門，提供數位化流程、交通、支付交易處理、自動化、分析、客服等委外事業。</p> <p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/389e9d0d-8e23-497d-aaab-1c4c8a80707f.html" target="_blank">根據Conduent</a>向美國緬因州檢察長辦公室提交的報告，該公司在今年1月13日發現公司一部份網路發生入侵事件。公司在阻斷事件後，在外部資安專家協助下展開調查。</p> <p>經過調查，該公司判斷，2024年10月21日到2025年1月13日公司網路遭非授權存取，導致客戶資料外洩。外洩的資料包含客戶名字、社會安全號、出生日期、健康保險資料或身份證號、以及醫療資訊等。</p> <p><a href="https://www.bleepingcomputer.com/news/security/bpo-giant-conduent-confirms-data-breach-impacts-105-million-people/" target="_blank">Bleeping Computer報導</a>，Conduent向多個州提報。其中奧勒岡州有1050萬客戶受影響，德州有400萬人、威斯康辛州有7600多人。此外，<a href="https://www.atg.wa.gov/data-breach-notifications" target="_blank">華盛頓州</a>有7.6萬人、<a href="https://www.mass.gov/doc/data-breach-report-2025/download" target="_blank">麻州</a>有42062人，緬因州有300多人受影響。</p> <p>業者第一時間已通知主管機關、執法單位，也在近日告知受影響的客戶，並且提醒可能的風險和防護建議。Conduent稱，目前尚未發現客戶個資濫用的活動或企圖。</p> </div></div></div>
2025/10/31 17:53作者林妍溱https://www.ithome.com.tw/news/171988
北韓駭客BlueNoroff從事GhostCall與GhostHire攻擊行動，鎖定Web3及區塊鏈領域而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定加密貨幣及區塊鏈產業發動攻擊的情況，不時有相關事故傳出，過往他們多半針對Windows用戶下手，現在這樣的策略出現變化。</p> <p>例如，被稱為BlueNoroff、Sapphire Sleet，以及APT38的北韓駭客組織，資安業者卡巴斯基<a href="https://securelist.com/bluenoroff-apt-campaigns-ghostcall-and-ghosthire/117842/">揭露這些駭客的最新攻擊手段</a>，他們持續針對區塊鏈開發人員、高階主管，以及Web3與區塊鏈業界的經理下手，從事GhostCall與GhostHire兩種型態的攻擊活動，過程中使用相同的惡意程式，攻擊流程的結構也有相似之處，但與過往不同的是，駭客鎖定的平臺出現變化，並透過AI強化攻擊的效果，使得受害者更難察覺異狀。</p> <p>這兩種型態的攻擊行動當中，其中又以假視訊會議來欺騙使用者的GhostCall最受到關注，卡巴斯基提這種活動的最大轉變，就是駭客原本鎖定Windows電腦用戶，現在全面轉向攻擊macOS作業系統。</p> <p>BlueNoroff假冒創投並透過Telegram接觸目標，有時候還會使用真正企業家及新創公司創始人外流的帳號犯案，他們會大肆宣傳投資及合作機會，等到與目標建立關係，他們就會運用線上會議排程系統Calendly安排會議，透過仿造Zoom的網域提供會議連結。此外，駭客偶爾也會運用Telegram內建功能將網釣URL進行偽裝。</p> <p>一旦使用者依照指示存取連結，他們就會看到模仿Zoom的頁面，要求加入會議，若是進入會議，就會看到有3人參與會議，而這些看似有人參與的情況，卡巴斯基指出是駭客側錄他人視訊鏡頭內容，並在網頁當中播放塑造出來的。</p> <p>就在上述內容播放結果不久，受害者的電腦螢幕就會出現錯誤訊息，要求必須立即更新Zoom SDK才能正常運作，然而受害者若是照做，電腦就會下載惡意AppleScript指令碼。</p> <p>接著，該指令碼會下載第二階段的指令碼DownTroy，新的指令碼會從密碼管理工具、筆記工具，以及Telegram挖掘機敏資訊。此外，該碼還會繞過macOS的透明度、同意與控制（TCC）的授權管控機制，並從檔案伺服器下載能觸發其他感染鏈的ZIP檔案。卡巴斯基一共找到至少7種多階段感染鏈，這些感染鏈被用於多種惡意程式。</p> <p>這些惡意程式包括：冒牌Zoom與Teams應用程式ZoomClutch、TeamsClutch，後門程式CosmicDoor，以及竊資軟體CosmicDoor等。</p> <p>另一起針對求職者的活動GhostHire，BlueNoroff冒充人資部門對開發人員及工程師下手，佯稱要檢定技能為由，透過Telegram機器人和GitHub來交付惡意項目，相關活動可追溯至今年4月。一旦求職者依照指示操作，BlueNoroff就會根據瀏覽器的使用者代理字串（User Agent），判斷受害電腦類型，下載針對Windows、Linux，以及macOS電腦的指令碼，並部署DownTroy，進一步收集受害電腦的系統資訊，然後植入其他惡意程式。</p> </div></div></div>
2025/10/31 16:45作者周峻佑https://www.ithome.com.tw/news/171987
俄羅斯駭客Sandworm透過寄生攻擊隱匿行蹤，對烏克蘭大型商業服務及地方政府機關下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著軍事行動持續進行，俄羅斯對烏克蘭企業組織的網路攻擊接連傳出，最近又有資安業者揭露相關事故，並指出駭客廣泛運用寄生攻擊（LoL）與常見合法工具，真正自己打造的惡意軟體並不多，這樣的情況使得企業組織更難察覺異狀。</p> <p>資安業者賽門鐵克指出，他們近期發現疑似與Sandworm有關的俄羅斯駭客組織，<a href="https://www.security.com/blog-post/ukraine-russia-attacks">攻擊一家大型商業服務公司，以及地方政府部門</a>，分別入侵長達兩個月及一週，目的是收集情報。對於接觸受害組織的管道，駭客很可能鎖定能從網際網路存取的伺服器，藉由尚未修補的已知漏洞而得逞，隨後就在伺服器部署LocalOlive等Web Shell，而這正是他們判斷與Sandworm有關的依據。</p> <p>鎖定商業服務公司最早可追溯到6月27日，當時駭客嘗試在伺服器部署Web Shell，得逞後進行偵察並收集受害主機的系統資訊，並執行PowerShell命令竄改防毒軟體Microsoft Defender設定，將下載資料夾加入白名單，這麼做應該是為了避免相關下載檔案遭到攔截。</p> <p>接著，駭客建立每半小時執行一次的工作排程，試圖從記憶體挖掘敏感資料，並將登錄檔的內容儲存在事件記錄檔案。</p> <p>兩天後這些駭客再度活動，於受害電腦植入第二個Web Shell，對網路環境進行偵察，然後移轉到第二臺電腦，並確認是否部署賽門鐵克的防毒軟體，接著，他們似乎想要從密碼管理工具KeePass挖掘帳密資料。</p> <p>7月2日，第二臺電腦再度出現活動，駭客試圖查詢所有使用者的連線階段（Session）活動記錄。7月8日，他們在電腦建立每半個小時執行一次的工作排程，目的疑為從KeePass處理程序收集帳密。</p> <p>再間隔約莫一個星期，16日駭客濫用電腦內建的記憶體診斷公用程式Windows資源洩漏診斷工具（rdrleakdiag.exe），截取記憶體內容並輸出到下載資料夾。</p> <p>後續駭客於7月18日和23日，繼續橫向移動到第三及第四臺電腦，接著在24日部署OpenSSH，並透過PowerShell命令竄改防火牆規則，開放OpenSSH連線所需的22埠，然後透過網域帳號建立工作排程，每半個小時執行未知的後門link.ps1，此後門同樣會濫用rdrleakdiag將記憶體內容輸出到下載資料夾。</p> <p>值得一提的是，攻擊者也在受害電腦的下載資料夾裡，部署MicroTik路由器管理公用程式winbox64.exe，但用途為何，賽門鐵克表示不清楚。</p> </div></div></div>
2025/10/31 14:49作者周峻佑https://www.ithome.com.tw/news/171985
壽險公會宣布「理賠服務全程無紙化」正式達成，結合FIDO驗證與電子簽章，申請保險理賠不用跑醫院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決民眾申請理賠時，必須往返多家醫院及保險公司，以及等待審查作業時間的痛點，在保險科技推動發展上，壽險公會近年響應政府推動政策，積極參與數位信任生態圈專案，並於10月29日舉辦數位信任成果發表會，宣布正式達成重要里程碑──理賠服務全程無紙化。</p> <p>在發表會上，壽險公會理事長陳慧遊說：「信任是保險業永恆的根基，而數位信任則是我們迎向下一個時代的鑰匙。」為了達成理賠服務全程無紙化，這些年來數項重要推動計畫陸續完成，才能串聯成為完整應用，成果得來不易。</p> <p>他並揭示各項進展所帶來的兩大關鍵突破，首先，是將國際標準的FIDO技術與電子簽章結合，實現理賠服務全程無紙化；其次，深化「保險理賠醫起通」服務，用戶只要線上授權，醫療院所即可透過區塊鏈技術，將診斷書與收據加密傳輸至指定保險公司。此外，2025年最新進展是將整套應用也能擴及保險經紀人通路，預計年底完成試辦。</p> <p>隨著各技術面環節的完成，陳慧遊表示，希望更多保險公司、醫院都能加入此生態圈。根據壽險公會說明，在目前理賠聯盟鏈中，國內21家壽險公司皆已加入，現也積極推動外部合作單位的加入，包括產險、保經及醫院。現階段，總計已串聯25家保險公司、5家保經公司，以及超過55家醫療院所。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站主圖A）壽險公會宣布正式達成「理賠服務全程無紙化」_圖片來源壽險公會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96A%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%E5%AE%A3%E5%B8%83%E6%AD%A3%E5%BC%8F%E9%81%94%E6%88%90%E3%80%8C%E7%90%86%E8%B3%A0%E6%9C%8D%E5%8B%99%E5%85%A8%E7%A8%8B%E7%84%A1%E7%B4%99%E5%8C%96%E3%80%8D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>壽險公會理事長陳慧遊表示，在達成理賠服務全程無紙化之後，將以「出院即理賠」為目標，讓民眾能更進一步感受到數位理賠的便利</strong><span style="color:#696969;"><strong>。(圖片來源／壽險公會)</strong></span></span></p> <h3><strong>多項關鍵服務陸續上線，最終實現理賠服務全程無紙化</strong></h3> <p>要達成理賠服務全程無紙化並非易事。事實上，從2019年金管會推動保險科技以來，2020年<a href="https://www.ithome.com.tw/news/139141">理賠聯盟鏈</a>首先登場，目標是打破保險公司間數據孤島的困境，達成資料共享可能性，讓民眾可以一站式申請多家公司的理賠。</p> <p>接下來有兩項重要進展，2021年，將此項計畫擴大延伸到醫院推出「保險理賠醫起通」服務，推動醫療資料交換無紙化；2022年壽險公會「<a href="https://www.ithome.com.tw/news/151256">保險存摺</a>」正式上線，同年12月隨著<a href="https://www.ithome.com.tw/news/154858">保險業身分驗證中心啟用</a>，此時「保險存摺」亦導入FIDO身分驗證方式供白金會員使用，如此一來，可將保險存摺做為一種線上身分驗證工具。</p> <p>在這段期間，金管會保險局也從2020年積極<a href="https://www.ithome.com.tw/news/139138">推動電子保單認證與存證機制</a>，保護保戶權益、提升保險數位化與管運效率。透過與第三方公正單位合作，運用區塊鏈、數位簽章技術，將電子保單的關鍵資訊與時間戳記進行存證，可確保保單的真實性與不可竄改性，有效解決紙本保單可能面臨的保存、遺失及爭議問題。</p> <p>2023年8月有了嶄新的突破，金管會核准「理賠聯盟鏈2.0」正式開辦，推動保戶能在線上認證身分，不再需要繳交任何紙本文件；到了2024年11月，<a href="https://www.ithome.com.tw/news/165970">保險理賠醫起通2.0</a>登場，醫院也多了上傳結構化資料的選項，省去人工上傳及登打作業流程，此舉可大幅縮短審核時間，有效提升理賠效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）壽險公會＿保險頁數位信任服務成果發表記者會_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%EF%BC%BF%E4%BF%9D%E9%9A%AA%E9%A0%81%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E6%9C%8D%E5%8B%99%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E8%A8%98%E8%80%85%E6%9C%83_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>壽險公會表示，透過保險科技聯盟鏈服務，運用符合國際標準的FIDO技術來幫助身分驗證，透過電子簽章技術提供可線上申請同意書，目前理賠聯盟鏈已串聯25家保險公司、5家保經公司，以及超過55家醫療院所。</strong></span></p> <h3><b>2025年最新進展：</b><strong>保經通路納入無紙化理賠體系</strong></h3> <p>今年2025最新的重要進展在於，首次納入保險經紀人（保經）的通路，也就是讓保經的業務員也能串聯進來，預計年底試辦完成，明年有望正式上線。</p> <p>此一進展的重要性在於，保經公會理事長李正之表示，臺灣保險從業人員有40萬人，除了保險公司體系內的21萬人，在保經保代公司中也有19萬人，因此這項擴大將有助於讓數位理賠服務更加完善。</p> <p>關於參與試辦的業者，據我們了解，包含富士達、公勝、錠嵂、磊山、智匯這5家保險經紀人公司。這表示，保經公司業務員也能像保險公司業務員一樣，透過行動裝置協助保戶即時填寫與簽署數位申請書，並授權調閱醫療資料，並經由保險科技共享平臺安全傳輸至各保險公司，加速理賠審核作業。</p> <p>至於未來的擴展策略？壽險公會表示，試辦完成後，可讓有意願參與的保經公司也加入這項服務，至於保險代理人（保代）的部分，由於與保經公司的業務流程接近，雖然這次沒有保代公司參與，待未來向主管機關提交結案報告時，壽險公會將爭取未來可以直接納入保代，且不用再另行試辦。</p> <h3><strong>建立安全資料交換提升民眾體驗，讓數位信任有感，結合FIDO與電子簽章是關鍵</strong></h3> <p>在發表會現場，壽險公會播放宣傳影片特別強調：要將抽象的數位信任，轉化為有感的數位理賠便民服務。因此推動重點在於，要讓理賠流程更加簡單直覺。而我們更是關注到，在前幾年發表保險存摺、保險業身分驗證中心時，並未特別標榜FIDO技術應用，這是壽險公會特別強調這方面的應用，指出FIDO與電子簽章技術亦是推動理賠服務全面無紙化的關鍵力量。</p> <p>從民眾使用體驗來看，有哪些具體效果？壽險公會資訊應用組主任陳乙棋表示，對於保戶而言，申請理賠可有兩種管道，一種是透過業務員協助的行動理賠，一種是保戶自主透過線上來申請。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%EF%BC%BF%E4%BF%9D%E9%9A%AA%E9%A0%81%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E6%9C%8D%E5%8B%99%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E8%A8%98%E8%80%85%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.jpg" style="width: 600px;" /></p> <p>而民眾若要自行線上申請理賠，主要有兩種方式，一種是直接從「保險存摺」App或網站來申請，另一種是登入保險公司的App或網站來申請。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）壽險公會＿保險頁數位信任服務成果發表記者會_圖片來源壽險公會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%EF%BC%BF%E4%BF%9D%E9%9A%AA%E9%A0%81%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E6%9C%8D%E5%8B%99%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E8%A8%98%E8%80%85%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>陳乙棋表示，在技術架構上，以前者而言，由於「保險存摺」本身已經具備FIDO與電子簽章技術，因此登入成功後即可進行線上文件簽署完成申請。</p> <p>以後者而言，保險公司可運用「保險存摺」提供的FIDO與電子簽章讓民眾也能快速申請，背後的串接是以API呼叫方式完成，促使申請理賠的驗證過程，皆串接到保險存摺系統進行，但好處是民眾可從原有保險公司的App或網站來操作。</p> <p>此外，以目前加入計畫的壽險業者與產險業者而言，這些保險公司的網路會員登入選項，都已經提供「使用保險存摺帳號（白金會員）」的登入方式，類似於SSO單一登入的方式，讓民眾使用服務可以更順暢，不會因為忘記各家保險公司的網路登入密碼，導致帳號常常被鎖住的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）壽險公會＿保險頁數位信任服務成果發表記者會_圖片來源壽險公會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%EF%BC%BF%E4%BF%9D%E9%9A%AA%E9%A0%81%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E6%9C%8D%E5%8B%99%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E8%A8%98%E8%80%85%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）壽險公會＿保險頁數位信任服務成果發表記者會_圖片來源壽險公會.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83%EF%BC%BF%E4%BF%9D%E9%9A%AA%E9%A0%81%E6%95%B8%E4%BD%8D%E4%BF%A1%E4%BB%BB%E6%9C%8D%E5%8B%99%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E8%A8%98%E8%80%85%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.jpg" style="width: 600px;" /></a></p> <p>接下來，當申請送到保險公司時，這方面用戶就無須擔心，因為整套流程已經串聯完成，利用科技解決傳統理賠流程痛點，透過嚴謹的身分認證及資料交換機制，包括透過電子保單認證與存證機制，而且，這些過程都是採用FIDO來確認用戶的身分。</p> <p>至於2026年的推動重點，壽險公會理事長陳慧遊表示，還有很多民眾不知道這項數位理賠服務，希望保險從業人員能共同推動，讓數位理賠服務的應用可以更普及。</p> <p> </p> <p> </p> </div></div></div>
2025/10/31 15:30作者羅正漢https://www.ithome.com.tw/news/171983
駭客佯稱提供開源滲透測試框架AdaptixC2，實際上是發展犯罪工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>合法的滲透測試工具遭到駭客濫用的情況不時傳出，近期駭客又特別偏好功能強大的開源工具，例如：中國駭客Storm-2603<a href="https://www.ithome.com.tw/news/171971">將資安鑑識工具Velociraptor用於勒索軟體活動</a>，但如今卻出現有歹徒反向操作，假借打造開源滲透測試框架的名義，明目張膽地發展犯罪工具。</p> <p><a href="https://www.silentpush.com/blog/adaptix-c2/">資安業者Silent Push指出</a>，最近幾個月傳出遭到濫用的滲透測試工具AdaptixC2，背後實際上的主要開發者是駭客。該公司根據上個月揭露的<a href="https://www.silentpush.com/blog/countloader/">惡意軟體載入工具CountLoader的攻擊行動</a>裡，犯案的俄羅斯勒索軟體駭客會一併運用AdaptixC2進行通訊，其中不尋常的跡象是，AdaptixC2的有效酬載竟透過CountLoader的基礎設施提供，於是他們進一步根據C2的IP位址等資料循線追查，發現AdaptixC2開發者的身分並不單純。</p> <p>而且，在GitHub儲存庫提交的AdaptixC2程式碼，幾乎都來自名為RalfHacker的人士，雖然他自稱是滲透測試員及紅隊操作人士，但實際上是惡意軟體的開發者。</p> <p>他們比對這名人士曾經使用的電子郵件信箱，以及開源威脅情報（OSINT）的情報之後，發現RalfHacker曾參與駭客論壇Raidforums，目前透過大型Telegram群組Ralf Hacker宣傳0.6版AdaptixC2更新，相關資訊皆使用俄語，該頻道有近2.8萬名訂閱者，Silent Push後續找到另一個專門推廣AdaptixC2的Telegram頻道「AdaptixFramework」。</p> <p>為了掩蓋非法意圖，駭客往往會聲稱自己是紅隊成員或白帽駭客，而RalfHacker也符合這樣的特徵，因此Silent Push認定此人並非單純的軟體開發人員。儘管他們無法確認此人參與那些實際攻擊行動，但根據RalfHacker自己開發AdaptixC2，並透過Telegram頻道向俄羅斯駭客宣傳，以及相關攻擊活動不斷傳出，顯然AdaptixC2並非單純的滲透測試工具。</p> <p>AdaptixC2被用於實際攻擊行動最早是在今年8月被揭露，The DFIR Report網站於7月看到<a href="https://thedfirreport.com/2025/08/05/from-bing-search-to-ransomware-bumblebee-and-adaptixc2-deliver-akira/">被用於勒索軟體Akira攻擊行動</a>；後續資安業者Palo Alto Networks指出，<a href="https://unit42.paloaltonetworks.com/adaptixc2-post-exploitation-framework/">他們在5月調查了數起駭客運用AdaptixC2並部署Beacon的事故</a>，攻擊者假冒IT技術支援團隊來接觸受害者。</p> </div></div></div>
2025/10/31 10:46作者周峻佑https://www.ithome.com.tw/news/171978
社交工程利用信任，擊潰臺灣資安防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位世界中，資安防護已不再是伺服器和防火牆的冷硬技術之爭，而是一場針對人性的心理戰。當我們竭力提升網路防禦時，駭客卻將目光投向最脆弱、卻也最難防備的環節——「人」。</p> <p>許多資安業者的資安報告都揭示這個嚴峻事實，因為「社交工程（Social Engineering）」已不再是單純的網路騷擾，它已進化為高效、精密，且具備巨大財務殺傷力的核心資安威脅。</p> <p>數位發展部資通安全署日前召開記者會，針對當前日益嚴峻的社交工程威脅發出最嚴正的警告。數位發展部資安署署長蔡福隆更表示，面對目前各種層出不窮的資安攻擊，提升全民資安意識，是守護國家安全體系中最關鍵的一環。</p> <p>目前臺灣整體資安情勢嚴峻，遭受各種層面的攻擊非常多，這些攻擊除了針對政府機關的網站或是相關的重要個資，蔡福隆指出，社交工程是其中一項主要的威脅。根據《資通安全署資安月報》統計，目前威脅來源中，屬於社交工程或資訊收集類別的比例，已超過三成以上。</p> <p>他更進一步提醒，駭客往往透過社交工程郵件，將後門程式植入機關內部，這是資安署看到最容易、也是最常看到的入侵途徑。在未來，由於深偽（Deepfake）AI技術的發展，駭客更容易產製相關的圖像或影片，以錯誤的內容來詐騙民眾。</p> <p>在這個數位訊息發達的時代，他相信，未來這類社交工程的攻擊只會越來越多，對於數位訊息的信任必須特別提高警覺，而面對資安與打詐這件事，提醒的次數永遠不嫌少。</p> <h2><span style="color:#0000FF;"><strong>社交工程是駭客入侵首要手段</strong></span></h2> <p>全球資安報告均顯示社交工程已成為駭客入侵的首要手段，根據Verizon近幾年來的《資料外洩調查報告（Data Breach Investigations Report，DBIR）》，可以發現一個駭人的趨勢持續浮現，那就是「人為因素」始終是資料外洩事件中最主要的驅動者，其比例數年來高居不下，遠超乎我們的想像。</p> <p>回溯至2023年的DBIR報告，我們可以發現，有高達74％資料外洩事件，涉及了人為因素，這包含：錯誤、權限濫用、憑證遭竊，以及最具煽動性的社交工程攻擊。</p> <p>從這項數據可以證明，無論企業或政府機關的技術防線如何堅固，一旦防範意識不足，單一個人的判斷失誤，都可能成為整個資安鏈上的致命破口。</p> <p>儘管在2024年的DBIR報告中，人為因素的佔比略微下降至68％，主要是因為該份報告重新調整了統計範圍，將惡意的內部人員行為歸類到「權限濫用」的範圍，反而突顯了內部威脅的嚴重性，不過，社交工程的威脅本質並未改變。</p> <p>到了今年，這項數據趨勢依舊穩固，仍有大約六成的資料外洩事件，與人為因素直接相關。這明確指出，針對人性的心理操縱與欺騙，依然是攻擊者最有效且最常使用的突破口。</p> <p>當全球資安環境因人為因素而搖搖欲墜時，臺灣也無法倖免。蔡福隆日前對此發出嚴正的警告，強調「資安即國安」，並指出臺灣目前整體資安情勢嚴峻，遭受各種層面的攻擊數量非常多。</p> <p>根據《資通安全署資安月報》統計，目前臺灣的威脅來源中，屬於社交工程或資訊收集類別的比例，已超過三成以上。這證明社交工程攻擊不僅是國際趨勢，它已經成為臺灣資安威脅不可忽視的核心因素。</p> <p>此外，資安署也觀察到，最容易且最常發生的入侵途徑，就是駭客透過寄送各種社交工程郵件，將後門程式植入機關內部。</p> <h2><span style="color:#0000FF;"><strong>社交工程的攻擊本質是：針對信任發動攻勢</strong></span></h2> <p>社交工程的本質，從來都不是對設備發動技術上的攻擊，而是針對使用者的「信任」發動心理戰術。誠如數發部資安署主任李昱緯所言，社交工程是一場徹頭徹尾的心理戰，駭客正是利用人性中最基本的三個弱點——對目標的「信任」、對事件的「恐懼」，以及對訊息的「好奇心」——來操控受害者的行為，讓他們自己主動交出金錢、資料，甚至電腦的帳號權限。</p> <p>在過去三年中，駭客的社交工程攻擊手法發生了明顯的策略轉變，已從傳統廣泛發送的「網路釣魚」郵件，轉向更具針對性且直接以金錢為目標的商業郵件詐騙（Business Email Compromise，BEC）攻擊。</p> <p>根據2024年DBIR報告顯示，假托（Pretexting，亦稱之冒名）攻擊的頻率已超越傳統的網路釣魚（Phishing），成為社交工程中最主要的攻擊手段。</p> <p>因為「假托」是商業郵件詐騙（BEC）攻擊的核心，攻擊者透過偽造身分和特定情境，精心編織謊言，誘導受害者進行匯款或提供敏感資訊。這類BEC攻擊的增長速度驚人，它已占據所有社交工程事件的一半以上。</p> <p>這種轉變的核心意義在於：攻擊者的目標，已經從竊取可用於後續攻擊的憑證，轉向更直接、更快速的「金錢變現」，這導致BEC攻擊的財務殺傷力極為驚人。</p> <p>根據2024年的DBIR報告顯示，單次BEC事件的損失中位數約為5萬美元（約為新臺幣150萬元），而根據美國 FBI 的統計，2024年全球因BEC造成的總損失更高達27.7億美元（約新臺幣831億元）。</p> <p>儘管假託攻擊和BEC崛起，但傳統的網路釣魚威脅並未消失，它仍是勒索軟體等惡意程式最主要的傳播途徑。</p> <p>2024年DBIR報告指出，員工的資安意識有所提升，相關的合作夥伴在2023年提供的社交工程演練數據，有20％的使用者，未點擊連結的情況下，主動通報了可疑郵件；而點擊了網路釣魚郵件的使用者中，也有11％進行了回報。</p> <p>但是，令人不安的是，使用者面對惡意郵件時的反應速度極快，當用戶打開郵件後，點擊惡意連結的平均時間為21秒；而落入釣魚郵件陷阱的用戶，則只需再花28秒即可輸入個人資訊。這引出一個令人擔憂的現象：使用者落入釣魚郵件陷阱的平均時間不到60秒。</p> <h2><span style="color:#0000FF;"><strong>AI助長詐欺，駭客攻擊手法進入超擬真時代</strong></span></h2> <p>時序進入2025年，資安戰場因生成式AI的普及發生更巨大的變革。2025年DBIR報告明確指出，生成式AI技術已成為推動社交工程攻擊複雜化的關鍵力量，為企業帶來了內外雙重威脅。</p> <p>蔡福隆提醒，由於深偽（Deepfake）AI技術的快速發展，駭客在未來將更容易產製相關的圖像或影片，以錯誤的內容來詐騙民眾，由AI驅動的深偽技術已經被用於製造數百萬美元的詐騙案，進一步模糊了真實與虛假的界線。</p> <p>事實上，攻擊者正利用AI大規模生成高度逼真且具說服力的釣魚郵件，這些郵件在語氣、文法和內容的相關性上更趨完美，使其能夠有效規避傳統郵件安全工具的偵測。</p> <p>根據2025年DBIR報告顯示，AI生成的惡意郵件數量較前一年（2024 年）增加了100％，已占整體惡意郵件的近10％。</p> <p>AI不僅優化舊有手法，也催生了全新的攻擊模式。在2025年DBIR首次提到名為「提示詞轟炸」（Prompt Bombing）的新型社交工程手法，在這種攻擊中，駭客利用竊取到的登入憑證，反覆觸發目標系統的多因素認證（MFA）的提示，不斷轟炸使用者的裝置，直到使用者因不堪其擾而心煩意亂，最終錯誤地批准了登入請求。</p> <p>此外，語音釣魚攻擊（Vishing）的增長也極為迅速，2025 年的報告數據顯示，語音釣魚攻擊增長了442％。</p> <p>在外部攻擊的同時，企業內部員工對生成式AI工具的廣泛使用，也帶來了新的資料外洩風險。2025年DBIR報告指出，高達72％的員工使用個人帳號存取生成式AI平臺，但僅有12％的企業對GenAI的使用進行了完善的管控。這種不受監管的使用行為，可能導致企業的敏感資料在無意中被輸入模型，成為潛在的資料外洩管道。</p> <h2><span style="color:#0000FF;"><strong>駭客發動社交工程攻擊的四種武器</strong></span></h2> <p>儘管攻擊技術不斷進化，但數位發展部資安署主任李昱緯指出，社交工程的核心工具始終圍繞在四個主要樣態：釣魚郵件、惡意簡訊、偽冒網站以及偽冒檔案；最終目的不外乎「竊取資料」、「騙取金錢」，或進一步「控制電腦」。</p> <p>他進一步解釋，社交工程本身並不是技術上的攻擊，它攻擊的目標不是使用者的設備，而是攻擊使用者的信任，「社交工程的本質就是一場心理戰術。」他說。</p> <p>這些攻擊者會利用人性中最基本的三個弱點——包括對目標的信任、對事件的恐懼和對訊息的好奇心——來操控受害者的行為，讓受害者自己主動去交出金錢、資料，甚至電腦的帳號權限等。他認為，社交工程能夠成功的關鍵，就在於駭客控制了受害者的信任，進而控制了受害者的行為。</p> <p>這種將攻擊目標從技術轉向人心的戰術，帶來了驚人的高風險。特別是電子郵件作為社交工程最主要的傳播管道，其風險程度已達到駭人聽聞的地步。根據2025 年IBM Security X-Force威脅情報指標（Threat Intelligence Index）報告顯示，全球有超過九成的網路攻擊都是從社交工程郵件開始的。</p> <p>根據IBM X-Force團隊的觀察，網路攻擊者現在傾向於藉由社交工程等詐騙手段取得受害者的合法憑證，而非直接尋找系統弱點進行入侵。</p> <p>該報告指出，在2024 年，內建資訊竊取程式（infostealers）的電子郵件數量與上一年相比，增加了84％；而資訊竊取類網路釣魚電子郵件的數量，在2025年初的增長幅度已擴大到與 2023年相比，增加180％。</p> <p>由於駭客持續利用社交工程、釣魚郵件等方式，試圖竊取或破壞公司的敏感資料和系統，從這些數據發現，無論企業或政府機構的技術防線多麼堅固，只要單一員工或民眾的判斷失誤，一個點擊，就可能成為整個資安鏈條上的致命破口。</p> <h3><span style="color:#0000FF;"><strong>手法一：偽冒政府簡訊，搭上時事竊取個資</strong></span></h3> <p>駭客擅長搭上最新的時事熱點，例如利用普發現金或還稅於民等議題，假借政府名義發送惡意簡訊，這就是典型的「惡意簡訊」（Smishing），當民眾相信是官方訊息而點擊簡訊中的連結，就會被導向刻意設計的惡意網站；這些網站會誘騙民眾輸入身分證字號、車牌號碼等個人資料，最終達到竊取資料的目的。</p> <p>李昱緯提醒，這些偽冒網站或簡訊往往存在破綻，例如網址有問題，或是簡訊內容出現簡體字，民眾務必冷靜查證，切勿貿然轉傳或點擊。</p> <h3><span style="color:#0000FF;"><strong>手法二：偽冒網站連結，假罰單騙取金錢</strong></span></h3> <p>第二種常見的攻擊樣態是透過偽冒網站或連結，假冒政府或服務單位來騙取金錢。李昱緯以假冒監理站寄來的郵件或簡訊為例，通知民眾有交通罰款未繳，郵件會刻意營造一種過於緊急或情緒化的語氣，恐嚇如果不按時繳納，將會加罰甚至強制執行；民眾一旦感到緊張，失去理智，便會點擊進入惡意網站，並被引導輸入個人資料，甚至進一步被要求填入銀行信用卡資訊。在這種情況下，民眾不僅資料外洩，也遭受經濟損失。</p> <h3><span style="color:#0000FF;"><strong>手法三：偽冒軟體下載，將電腦變成「殭屍網路」打手</strong></span></h3> <p>更具破壞性的是透過偽冒網站來散播惡意程式，以達到控制電腦的目的。駭客會利用民眾搜尋常用通訊軟體（如LINE、Skype或Teams等）的機會，事先購買搜尋引擎的廣告，將含有惡意程式的假網站推送到搜尋結果的最前面。這些假網站的網址往往與官方網址極為相似，例如在名稱中加入額外的字母以魚目混珠。</p> <p>李昱緯警告，一旦民眾下載並執行了這些虛假的通訊軟體，惡意程式就會在背景偷偷運行，進而控制使用者的電腦。</p> <p>假若使用者電腦一旦被控制，不僅個人的帳號密碼和所有資料會被駭客盜走，還可能面臨資料被勒索、無法使用的風險；更為嚴重的後果是，這些被控制的電腦將淪為駭客的「免費打手」——成為殭屍網路（Botnet）的一部分，駭客會集結數以萬計的受控電腦，下達指令同時攻擊其他網站或系統，導致服務癱瘓。</p> <h3><span style="color:#0000FF;"><strong>手法四：惡意偽冒附檔，加密壓縮檔難以偵測</strong></span></h3> <p>最後一種是利用偽冒惡意的假附檔來控制電腦。李昱緯特別提醒，民眾應對那些夾帶加密壓縮檔並附上解壓縮密碼的郵件提高警覺。</p> <p>他指出，由於檔案經過密碼加密，許多資安防護系統在第一時間，無法直接判斷其中是否含有惡意程式。一旦使用者輕易解壓縮並點擊執行，裡面的惡意程式就會連線到駭客的中繼站，劫持個人設備，使電腦再次被駭客控制。</p> <p>他呼籲，若收到附件是壓縮檔且需要密碼解密，必須特別注意寄件者的身份，不認識的來源切勿輕易點擊。</p> <h2><span style="color:#0000FF;"><strong>築起雙重防線，從「停、看、聽」防護社交工程攻擊</strong></span></h2> <p>面對如此層出不窮且日益複雜的社交工程威脅，資安署推出了「停、看、聽」資安防護三步驟口訣，作為民眾最簡單、最實用的識別與防範方法。蔡福隆呼籲，民眾不要讓自己的信任被不法人士冒用，畢竟目前駭客攻擊來源中，有高達三成的比例是來自社交工程。</p> <h3><span style="color:#0000FF;"><strong>第一步：停——冷靜不點擊，阻斷信任的操控</strong></span></h3> <p>「停」的核心在於不輕信、不點擊任何可疑的內容，李昱緯提醒，首先在行為上，要做到公務信箱不可用於私人用途。他解釋，一旦將公務信箱用於私人網站註冊，如果該網站遭駭，公務帳密也可能隨之曝光，使公務機關的資安暴露在風險之下。</p> <p>在電子郵件的軟體設定上，有幾項重要的功能必須「主動關閉」。首先，李昱緯建議，使用者都要關閉郵件預覽功能。李昱緯解釋，如果預覽功能未關閉，一旦點擊信件標題，郵件所附帶的圖片中若夾帶惡意程式，就可能自動執行。</p> <p>第二，務必關閉自動下載功能。許多人認為下載了附件但沒有點開就沒事，這是不對的，因為一旦附件被下載，使用者的IP位址就會自動回傳給惡意的寄件者，寄件者就知道該帳號是「活的」且還在使用，未來就有更多機會發動攻擊。</p> <p>最後一個重要的動作是開啟純文字模式設定，因為現今許多電子郵件為了美觀，設計得如同網頁一般，但駭客會把惡意執行碼藏在這些網頁格式中；一旦開啟純文字模式，這些精美的網頁設計和後面的惡意程式都會全部失效，這是一個非常重要的防護動作。</p> <h3><span style="color:#0000FF;"><strong>第二步：看——火眼金睛，辨識偽裝的細節與破綻</strong></span></h3> <p>「看」的核心是透過辨識、檢查和識破來洞察偽裝，讓謊言無所遁形。李昱緯表示，在辨識郵件內容時，民眾應確認寄件對象以及主旨與自身的關聯性，要警惕主旨是否訴諸恐懼（如「帳號異常登入」）、濫用信任（如「普發現金已開放登記」），或引發好奇心（如「會員限時降價！」）。</p> <p>他提醒，若郵件語氣過於緊急或情緒化、出現文法錯誤、或夾帶可疑的網址或非必要的附件時，都應視為警訊；如果郵件內容與寄件者不相符，例如：銀行寄來的信，內容卻是關於交通罰單，或是同事寄來的信卻要求更新信用卡資料等，就是有問題的信件，應該提高警覺或立即刪除。</p> <p>在識破假政府機關網站破綻方面，民眾必須認明政府機關網址的兩大特徵。第一，政府機關網址的主機名稱必須以「.gov.tw」結尾；第二，政府專用短網址固定格式為「<a href="https://gov.tw/xxx">https://gov.tw/xxx</a>」。</p> <p>此外，若為政府官方發送的簡訊，會顯示專屬的短碼「111」（三個一）作為識別，因為只有政府機關和公營事業才能申請使用 111 短碼簡訊。</p> <p>對於有疑慮的附檔，民眾可以利用臺灣自行開發的「Virus Check臺灣惡意檔案檢測服務」（<a href="https://viruscheck.tw">https://viruscheck.tw</a>）進行檢測，確認其是否含有病毒或惡意程式。</p> <h3><span style="color:#0000FF;"><strong>第三步：聽——冷靜查證，即時通報，尋求專業協助</strong></span></h3> <p>「聽」是尋求協助、冷靜查證與通報的關鍵步驟。李昱緯提醒，若對郵件或簡訊有疑慮，必要時，應以電話或電子郵件向寄件者確認郵件真偽，多一份查證，就多一份安全。</p> <p>若是一般民眾，遇到可疑的詐騙網頁或訊息，可利用「165反詐騙諮詢專線」，或利用「數發部網路詐騙通報查詢網」，將無法確定的可疑網址通報給數發部協助查證。對於所有無法確定的可疑郵件，李昱緯建議「一律刪除」，這是避免風險最直接有效的方式。</p> <h2><span style="color:#0000FF;"><strong>落實技術與資安意識的雙重防線</strong></span></h2> <p>社交工程的本質就是利用人們的信任，因此蔡福隆呼籲，民眾不要讓自己的信任被不法人士冒用，畢竟，目前駭客攻擊來源中，有高達三成的比例，是來自社交工程。</p> <p>雖然提升民眾和組織同仁的資安意識是首要之務，蔡福隆也強調，資安防護絕非僅限於意識層面，資安署正積極強化政府機關在技術上的防範措施，包括利用防毒軟體及端點防護與回應（EDR）工具等，落實防護。</p> <p>他解釋，這些技術工具可以根據駭客的行為模式進行偵測與攔截，例如，駭客入侵電腦後，會執行：下載惡意程式、對檔案進行打包或嘗試取得電腦最高權限等動作，這些都可以透過EDR等工具在技術上進行防範。</p> <p>面對社交工程這場針對信任的心理戰，臺灣正處於資安防護的關鍵時刻。唯有在意識與技術上築起雙重防線，從識破謊言開始，才能在不斷演進的數位威脅中，守護國家、機關與個人的安全。</p> <p> </p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B%E6%94%BB%E6%93%8A%E7%99%BC%E5%B1%95%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px; height: 477px;" /></p> <blockquote><p>根據2025年Verizon《資料外洩調查報告》（Data Breach Investigations Report，DBIR）報告可以觀察到，從2019年～2025年以來，社交工程攻擊一直是固定前三大的資安威脅，僅次於系統入侵和DoS（Denial-of-Service）阻斷服務攻擊。</p> <p> </p> </blockquote> <p> </p> <p> </p> </div></div></div>
2025/10/31 13:33作者黃彥棻https://www.ithome.com.tw/news/171984
OpenAI發表資安研究AI代理Aardvark，可自動找漏洞及寫修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-aardvark/" target="_blank">OpenAI周四（10/30）發表了基於GPT-5的AI資安工具Aardvark</a>，它能像人類資安專家一樣分析程式碼、找出漏洞並自動提出修補方案。</p> <p>Aardvark的核心設計是以LLM推理為基礎，而非傳統工具如fuzzing或軟體組件分析。它能讀懂整個程式庫的架構、建立威脅模型，並以逐行理解的方式發現邏輯錯誤、未完整修補的歷史問題與隱私相關漏洞。當儲存庫被連結後，Aardvark會先全面掃描歷史，之後持續監控每一次提交，並在程式碼變動時即時偵測新漏洞。</p> <p>整個漏洞處理流程包含四大階段：首先進行程式碼庫的分析，建立威脅模型；其次，對每次提交進行比對與掃描；第三步在沙盒（Sandbox）環境中嘗試實際觸發漏洞，確認可利用性並降低誤報；最後，Aardvark會透過Codex生成修補程式碼，並附上一鍵提交Pull Request的選項。OpenAI表示，這能讓工程團隊在不打斷開發速度的情況下，快速採用高品質修補。</p> <p>在基準測試中，Aardvark可找出92%的已知與人工加入漏洞，偵測率遠高於多數傳統工具。OpenAI表示，Aardvark已於該公司內部協助揭露多個具實際影響力的安全問題，外部測試夥伴亦發現Aardvark可找到只有在高度複雜條件下才會出現的安全漏洞。</p> <p>OpenAI亦將Aardvark應用於開源領域，迄今已於多個開源專案中找到並揭露漏洞，其中有至少10個已取得CVE編號。未來OpenAI將提供部分非商業開源專案免費掃描。</p> <p>OpenAI認為，現在所有的行業都靠軟體運作，因此只要是軟體有漏洞，就會造成產業與社會的風險，光是2024年就有超過4萬個漏洞被公開，此外，其內部測試顯示，約有1.2%的程式碼提交會自然引入新的臭蟲，這也使得Aardvark被當作防禦者優先模型，可於漏洞尚未被利用之前早期預警，並提供可行的修補方案。</p> <p>Aardvark目前處於私人測試階段，OpenAI正邀請特定合作夥伴參與測試，未來將逐步擴大使用範圍。</p> </div></div></div>
2025/10/31 11:35作者陳曉莉https://www.ithome.com.tw/news/171980
加拿大警示駭客濫用公開工控系統，多起水利與能源設施遭干擾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大網路安全中心發布警訊<a href="https://www.cyber.gc.ca/en/alerts-advisories/al25-016-internet-accessible-industrial-control-systems-ics-abused-hacktivists">AL25-016</a>，提醒駭客正利用可直接從網路連線的工業控制系統發動干擾。近幾星期已出現多起個案，包括水利設施的水壓數值遭竄，而導致供水服務品質下降，石油天然氣公司自動油槽量測系統ATG被操控引發誤報。還有一處農場的穀物乾燥筒溫濕度被修改，要是未及時發現，可能導致不安全狀態。</p> <p>事件顯示只要工控設備暴露在網際網路上，就可能被有意博取聲量的駭客行動主義者（Hacktivist）濫用，進而影響公共服務的正常運作</p> <p>警訊內容指出，受影響面向涵蓋可程式化邏輯控制器PLC、遠端終端單元RTU、人機介面HMI、監控與資料採集系統SCADA、安全儀表系統SIS、建築管理系統BMS與工業物聯網裝置。</p> <p>這些設備多半設計於封閉環境中運作，但隨著連網與遠端維運需求增加，只要缺乏妥善的存取控制與監測，就可能被不當利用。多數案例並非鎖定特定組織，而是因系統對外曝險而遭波及，但受影響的包括水利與能源等民生基礎設施，進一步動搖公眾對服務安全的信任。</p> <p>加拿大網路安全中心同時指出，治理面的缺口仍然明顯。由於角色分工不清，往往留下保護空隙，各省與準自治區政府應與市政府及轄內單位協同合作，完成服務盤點與風險評估，特別是在水利、食品與製造等資安規範較薄弱的領域。</p> <p>營運單位則被建議全面清查所有可直接從網路連線的工控設備，評估其公開的必要性，要是無必須連網的理由，應優先採用VPN並搭配雙因素驗證，以降低曝險風險。當暫時無法調整架構，至少應加強監測，包括導入入侵防禦系統（IPS）、定期進行滲透測試與持續弱點管理，並在系統上線前充分測試相容性，避免造成服務降級。</p> </div></div></div>
2025/10/31 11:41作者李建興https://www.ithome.com.tw/news/171977
Amazon財報出爐，認列投資Anthropic的95億美元收益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s2.q4cdn.com/299287126/files/doc_financials/2025/q3/AMZN-Q3-2025-Earnings-Release.pdf" target="_blank">Amazon周四（10/30）公布該公司第三季財報</a>，該季Amazon的總營收為1,802億美元，成長13%，營業利潤（Operating Income）為174億美元，與去年同期持平。但該季Amazon認列了投資Anthropic所產生的95億美元收益，使其淨收入（Net Income）達到212億美元，當天Amazon盤後股價上漲了12.78%，達到251.35美元。</p> <p>在1,802億美元的營收中，有1,063億美元來自北美市場，成長11%；409億美元來自國際市場，成長14%；330億美元來自AWS，成長20%。而在174億美元的營業利潤中，北美市場占了48億美元，較去年同期下降15%；國際市場占了12億美元，下降8%；AWS為114億美元，成長9%。上述的營業利潤已經扣除了與FTC和解的25億美元，以及18億美元的裁員成本。</p> <p>此外，該季Amazon的淨收入達212億美元，較去年同期的153億美元成長38%，主要受惠於對Anthropic投資產生的95億美元稅前收益。每股盈餘為1.95美元，高於去年同期的1.43美元。</p> <p>Amazon執行長Andy Jassy表示，他們看到AI在Amazon各個業務角落帶來強勁動能和成長，AWS正以2022年以來最快的速度成長，年增率重新加速至20.2%。亦持續看到AI和核心基礎設施的強勁需求，並專注於加速擴充產能，在過去12個月增加了超過3.8 GW的電力容量。</p> <p>AWS目前仍為全球市占率最高的公有雲平臺。根據微軟及Google母公司Alphabet所公布的同期財報，該季Azure營收成長約40%，Google Cloud營收成長33.5%。AWS本季20%的成長率雖略低於兩大競爭對手，但考量其龐大的營收基數（330億美元），絕對成長金額仍相當可觀，且成長率高於上一季的17.5%。</p> <p>一樣是投資AI新創，<a href="https://www.ithome.com.tw/news/171967" target="_blank">微軟投資OpenAI認列的是虧損</a>，Amazon的Anthropic投資卻認列收益。市場分析認為，這很可能是因為Amazon早期是以股東身分投資Anthropic，因此可從Anthropic的估值上漲獲利；但<a href="https://www.ithome.com.tw/news/171923" target="_blank">微軟所持有的OpenAI Group PBC股份</a>，應是在OpenAI重組之後才以協商方式確定的權益比例，並非源自早期股權增值，因此無法因OpenAI估值飆升而在財報上認列投資收益。</p> </div></div></div>
2025/10/31 10:24作者陳曉莉https://www.ithome.com.tw/news/171976
蘋果單季營收突破1,000億美元，每股盈餘創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/10/apple-reports-fourth-quarter-results/" target="_blank">蘋果周四（10/30）公布截至9月27日的2025財年第四季財報</a>，該季蘋果首度突破1,000億美元門檻，創下1,025億美元的營收，比去年同期成長8%，每股盈餘為1.85美元，寫下新紀錄，亦超越了分析師的期待。當天蘋果盤後股價上漲了2.39%，升至277.97美元。</p> <p>相較於其它科技大廠，蘋果在AI上並沒有太多的建樹，不過，定期更新的M系列處理器與裝置，以及9月發表的iPhone 17系列手機，良好與可靠的品質讓蘋果呈現穩健成長狀態。</p> <p><a href="https://www.cnbc.com/2025/10/30/apple-aapl-earnings-report-q4-2025.html" target="_blank">根據CNBC的報導</a>，蘋果執行長庫克（Tim Cook）在分析師會議上透露，iPhone 17的市場反應超乎預期，估計下一季會有兩位數的銷售成長，中國市場也會因此而回溫。此外，蘋果依舊計畫於明年更新Siri，也將迎來更多的AI合作夥伴。蘋果目前的合作夥伴為OpenAI，於Apple Intelligence中整合了ChatGPT。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2025-q4/FY25_Q4_Consolidated_Financial_Statements.pdf" target="_blank">在1,025億美元的營收中</a>，產品占了737億美元，服務為288億美元；最大的市場為美洲，帶來442億美元的營收，居次的是歐洲的287億美元，大中華區占了145億美元，日本為66億美元，其它亞太市場為84億美元。其中，只有大中華區的銷售量下滑了3.6%，其它市場都是成長的。</p> <p>從產品類別來看，iPhone替蘋果帶進490億美元的營收，成長6%；Mac營收為87.3億美元，成長13%；iPad營收為70億美元，與去年同期相當；穿載/家用/配件營收為90億美元，略低於去年同期；而服務創下了288億美元，成長達15%。</p> </div></div></div>
2025/10/31 11:03作者陳曉莉https://www.ithome.com.tw/news/171979
明年10月Chrome將預設優先造訪HTTPS網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了確保使用者上網安全，<a href="https://security.googleblog.com/2025/10/https-by-default.html" target="_blank">Google預告</a>，明年10月推出的Chrome 154版起，將預設啟用「永遠使用安全連線」（Always Use Secure Connections），優先存取HTTPS網站，碰到不熟悉的HTTP網站則發出核准要求。</p> <p>Google指出，當使用者瀏覽器連線未使用HTTPS，攻擊者可能攔截連線，迫使用戶載入任意或攻擊者控制的資源，導致使用者曝露於惡意軟體、目標濫用或社交工程攻擊。而且有時惡意HTTP網站很快就導引到HTTPS網站，使用者根本沒有機會看到Chrome瀏覽器標示「不安全連線」的警示。</p> <p>為解決這個問題，Google 2022年推出「永遠使用安全連線」的設定，不過那時是作為隨選選擇。在Chrome 141時Google曾實驗對小部份用戶啟用公開網站預設使用「永遠使用安全連線」。現在，Google認為全面部署時候到了。</p> <p>「永遠使用安全連線」設定啟用後，在用戶上網時，Chrome嘗試以HTTPS連線存取網站，當欲存取的網站只支援HTTP連線時，Chrome即會顯示警示，並要求使用者明顯同意。不過，雖然使用者也可以忽略，卻不免造成警示氾濫的困擾。</p> <p>為兼顧安全與便利，Google設計「永遠使用安全連線」下，Chrome不會每次上HTTP網站前都發送詢問。例如用戶造訪本地服務或企業內部網站時就不會顯示。此外，Chrome只會在初次造訪HTTP網站才會詢問用戶，用戶同意過後Chrome就不會再打擾。</p> <p>2026年10月的Chrome 154起，Google將預設啟用存取公開網站時的「永遠使用安全連線」。而在2026年 4月的Chrome 147，這項政策會先部署到啟用Chrome「進階安全上網」（Enhanced Safe Browsing ）的用戶，總共預計超過10億人。</p> <p>不過即使到Chrome 154版，用戶還是必要時可以關閉「永遠使用安全連線」設定，完全關掉警示。</p> <p>反過來說，針對網站開發人員或IT人士，Google強烈建議他們啟用這項設定，以辨別哪些網站需強化安全性，並且強化使用者保護。</p> </div></div></div>
2025/10/31 08:00作者林妍溱https://www.ithome.com.tw/news/171975
開源社群聯手倡議，呼籲維持Android開放性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在8月宣布，從2026年9月起Android認證裝置僅能安裝，經開發者驗證並完成註冊的應用，此政策涵蓋第三方市集與側載（Sideloading）應用程式。首波自2026年9月起於巴西、新加坡、泰國與印尼實施，2027年起擴大到更多地區，Google強調此舉是為提高防詐與惡意軟體防護，並不等同關閉側載。</p> <p>開源社群以<a href="https://keepandroidopen.org">Keep Android Open</a>為號召，網站彙整監管機關投訴窗口、開放信連署與Google問卷回饋，主張新制可能壓縮第三方應用市集與自由發布空間，並促請監管單位審視其對市場競爭與數位主權的影響。</p> <p>依Google對外文件，未完成驗證與註冊的開發者，所屬應用未來將無法在認證裝置上安裝。不過，驗證將蒐集開發者姓名、聯絡資訊，並可能要求政府核發身分證明。Google同時建立Android Developer Console供僅在Play以外的發行者使用，並規畫學生與業餘開發者的受限發布帳戶，這類帳戶免收25美元一次性費用，但發布規模有安裝數上限，而完整發布帳戶則需收取一次性25美元費用。</p> <p>受影響最受關注的是以自由軟體為主的F-Droid，該專案在9月與10月連續發文，表示要是所有應用必須透過Google驗證註冊，F-Droid將難以維持既有的審查與發行流程，因此專案方無法代替上游開發者向Google登記套件識別與金鑰。</p> <p>Google在常見問題中明確表示，開發期間可透過ADB安裝未驗證應用，企業以受管控通道發放的內部應用也不在此限，也就是說，開發測試與企業內部發布可持續，但面向一般使用者的公開安裝則需完成身分與應用註冊。</p> <p>截至10月30日，<a href="https://news.ycombinator.com/item?id=45742488">Hacker News相關討論串</a>獲得超過2,500點數與約800則留言，社群普遍對新制可能削弱第三方市集與F-Droid的可用性表達憂慮，主張應保留裝置擁有者的選擇權與可關閉的安全開關，也有人認為真正風險多源於社交工程與合法應用情境加上權限誤用，強化身分驗證未必能有效減少詐騙。</p> <p>另有開發者主張把資源投入替代平臺如PostmarketOS，不再向Google請願維持開放，但也有意見指出銀行與政府App的依賴使一般使用者難以脫離主流平臺。少數聲音支持更嚴格的驗證以抑制惡意軟體，並提到歐盟等監管機制可能成為後續變因。</p> </div></div></div>
2025/10/31 08:06作者李建興https://www.ithome.com.tw/news/171974
Apple放寬App審查流程，開發者可同步提交更新與行銷內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple<a href="https://developer.apple.com/news/?id=gf6mgrs6">公告</a>調整App Store Connect的提交流程與行銷工具。開發者現在可在App審查進行中，額外送審其他項目，無需等待整體版本排隊。同時，自訂產品頁面的數量上限翻倍至70個，並可對每個頁面設定關鍵字，提升App在搜尋結果中的曝光機會。另一方面，優惠碼（Offer Code）擴大支援所有App內購買類型，取代即將淘汰的促銷碼（Promo Code）。這些改變提升了App上架的彈性，也讓行銷與促銷活動更靈活。</p> <p>開發者現在能針對不同需求，獨立提交更新項目，而不必等候主要版本的審查完成。官方列出三種主要情境，第一是App內活動（In-App Events）可在版本審查期間獨立送審，有助於配合時程緊湊的行銷檔期或活動合作。第二為當App出現重大錯誤，開發者可單獨送審修正版，以免因其他素材或功能的審查延誤上架。第三則是Game Center相關功能，如成就、排行榜或挑戰，也可獨立送審，使遊戲團隊能更即時地配合伺服器更新與遊戲賽季節奏。</p> <p>自訂產品頁面的更新則著重於規模與可見度，新的上限為70個頁面，讓開發者能針對不同市場、族群或使用情境，設計專屬的截圖、預覽影片與宣傳文字。新增的關鍵字設定功能，也讓這些頁面能針對特定搜尋詞曝光，例如使用者以關鍵字搜尋時，系統可直接顯示對應的自訂頁，而非預設頁面。</p> <p>優惠碼的擴充則讓開發者能更彈性地設計內購促銷，除了原有的自動續訂訂閱，現在也支援一次性購買可消耗項目（Consumable）、不可消耗項目（Non-consumable）與非自動續訂訂閱，並可設定在促銷期結束後不自動續訂。開發者可利用這項機制，提供限時免費或折扣方案，吸引用戶體驗App內功能，或作為行銷合作的激勵手段。</p> <p>同時，Apple宣布自2026年3月26日起，將停止為App內購買建立新的促銷碼，現有促銷碼仍可在到期前兌換，且促銷碼仍可繼續用於提供App免費下載。之後開發者如果要針對App內購項目進行優惠活動，需改以優惠碼實現。</p> </div></div></div>
2025/10/30 17:30作者李建興https://www.ithome.com.tw/news/171968
【資安日報】10月30日，NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NPM套件攻擊行動相當氾濫，無時無刻都有事故傳出，然而在一個月前出現<a href="https://www.ithome.com.tw/news/171263">會自我散播的蠕蟲</a>之後，本週有新的活動揭露，其中，又以資安業者Koi Security公布的攻擊行動PhantomRaven相當特別，因為攻擊者藏匿惡意程式碼的手法極為罕見，令人意外的是，他們用於存放惡意程式碼的相依套件，存放在自己控制的伺服器，不僅這種套件的資訊不會在NPM網頁顯示，一般的資安掃描工具或是相依性分析工具，都不會分析這個相依套件，並忽略其存在。</p> <p>另一起攻擊事故也非常引起關注，因為駭客攻擊的範圍涵蓋三大作業系統的開發人員，而且他們對惡意程式碼採取4層混淆處理的手段，竟然在NPM套件儲存庫上架4個月後，才被資安業者Socket發現異狀並進行舉報。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171953"><strong style="font-size: 22px;">惡意NPM套件攻擊PhantomRaven鎖定開發人員，意圖竊取NPM與GitHub憑證等CI/CD機密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69013dfbbcebba10b368a4dd_Screenshot 2025-10-29 at 0_03_28 (1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69013dfbbcebba10b368a4dd_Screenshot%202025-10-29%20at%200_03_28%20(1).png" style="width: 300px; float: right;" /></a></p> <p>資安業者Koi Security揭露大規模NPM套件攻擊行動PhantomRaven，攻擊者從今年8月開始，一共上架126個套件，累計下載超過8.6萬次，這些惡意套件會從開發人員的電腦挖掘NPM與GitHub的權杖（Token）或憑證，以及其他CI/CD有關的機敏資訊。但這波攻擊行動引起Koi Security注意的地方，在於植入惡意程式碼的手法更為間接，能躲過NPM生態系統大部分資安工具的偵測，迄今仍有80個套件未遭下架。</p> <p>究竟攻擊者如何達到目的？答案是利用遠端動態相依性（Remote Dynamic Dependencies，RDD）的方式，將惡意程式碼埋藏在未上架於NPM套件庫的另一個相依套件，一旦開發者安裝攻擊者上架於NPM的套件，電腦就會透過安裝檔指定的外部URL，取得未受到NPM列管的惡意套件。</p> <p>這種手法的可怕之處在於，相依套件本身並未在NPM上架，因此，無論資安掃描工具或是相依性分析工具，都不會分析這個相依套件，並忽略其存在。此外，NPM套件庫的說明網頁當中，這種外部相依套件也不會被列入，使得開發人員容易掉以輕心，以為真的不會有其他套件一併被安裝到電腦裡。</p> <p><a href="https://www.ithome.com.tw/news/171963"><strong style="font-size: 22px;">竊資軟體透過NPM套件散布，針對三大平臺盜取敏感資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5662196a49db80af7e8803f2c57871fd.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5662196a49db80af7e8803f2c57871fd.png" style="width: 300px; float: right;" /></a></p> <p>為了隱匿惡意意圖，攻擊者將惡意程式碼進行混淆處理已經常態，現在有人將有效酬載的程式碼經過4道混淆處理，並根據開發人員電腦執行的作業系統類型，經由安裝的惡意NPM套件散布竊資軟體。</p> <p>資安業者Socket近期發現10個惡意NPM套件，攻擊者以誤植名稱（Typosquatting）的手法，模仿TypeScript、discord.js，以及ethers.js等知名套件名稱，引誘開發人員上當。這些套件在7月4日上架，迄今已被下載9,900次，一旦開發人員下載安裝，這些套件就會根據受害電腦執行的作業系統（Windows、Linux，或macOS），植入對應的竊資軟體，從密碼管理工具、瀏覽器，以及身分驗證服務挖掘帳密與憑證，特別的是，攻擊者為降低開發人員戒心，過程裡還會顯示假的驗證碼。</p> <p>雖然這些惡意套件能在NPM套件庫存活長達4個月的關鍵，主要還是在惡意程式碼經過4層混淆處理而難以被察覺異狀，但其他手法還是相當值得留意。首先，攻擊者在惡意套件的安裝流程當中，加入了預先安裝（preinstall）的指令碼，目的是確保惡意酬載在NPM套件安裝完成之後就會執行。</p> <p><a href="https://www.ithome.com.tw/news/171971"><strong style="font-size: 22px;">資安鑑識工具Velociraptor遭到濫用，中國駭客Storm-2603用於勒索軟體活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-c75ca8d0-25e6-41e.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-c75ca8d0-25e6-41e.png" style="width: 300px; float: right;" /></a></p> <p>駭客濫用資安工具從事網路攻擊的情況，最常見的莫過於滲透測試工具Cobalt Strike，現在他們使用其他能公開取得、功能更強大的開源工具來達到目的。</p> <p>例如，思科威脅情報團隊Talos發現，今年8月中國駭客Storm-2603發動一波勒索軟體攻擊，鎖定受害企業的Windows伺服器與虛擬化環境VMware ESXi，運用3種勒索軟體Warlock、LockBit，以及Babuk來加密檔案，但特別之處在於，過程中，他們濫用開源數位鑑識與事件回應（DFIR）工具Velociraptor，來建立持續存取受害組織網路環境的管道。</p> <p>Storm-2603如何取得受害企業的初始存取管道？Talos推測，這些駭客曾在一個月前利用SharePoint零時差漏洞ToolShell（CVE-2025-53770）從事勒索軟體活動，因此很有可能利用此漏洞而得逞。</p> <p><a href="https://www.ithome.com.tw/news/171955"><strong style="font-size: 22px;">Azure與Microsoft 365服務異常，微軟指Azure Front Door設定變更所引發</strong></a></p> <p>微軟發生雲端服務連線異常，包含Azure與Microsoft 365等服務出現延遲、逾時與錯誤，部分使用者無法進入公司網路或管理入口網站。微軟在狀態頁表示，事件自臺灣時間10月29日23時45分起影響使用Azure Front Door（AFD）的服務。微軟確認非預期的租戶層級設定變更為觸發原因，已回退至最後已知良好設定，並暫停客戶的AFD設定變更以避免擴散。 </p> <p>這起故障的可見影響包含Azure入口網站故障，微軟列舉受影響的服務涵蓋App Service、Azure SQL Database、Azure Portal、Azure Virtual Desktop、Container Registry、Microsoft Entra ID、Microsoft Sentinel、Microsoft Copilot for Security與Microsoft Defender External Attack Surface Management等，另外Power Apps相依元件也受到影響，目前也已緩解。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/russian-hackers-target-ukrainian.html">俄羅斯駭客Sandworm透過寄生攻擊隱匿行蹤，對烏克蘭大型商業服務及地方政府機關下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/researchers-expose-ghostcall-and.html">北韓駭客BlueNoroff從事GhostCall與GhostHire攻擊行動，鎖定Web3及區塊鏈領域而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/polaredge-botnet/">殭屍網路PolarEdge綁架2.5萬臺物聯網裝置，被用於架設ORB隱匿網路犯罪活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/canada-says-hacktivists-breached-water-and-energy-facilities/">加拿大警告水力、能源，以及糧食儲存設施遭到入侵，造成服務中斷、誤報，以及導致不安全情況</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171969"><strong style="font-size: 22px;">零點擊攻擊手法Shadow Escape利用MCP伺服器弱點，從AI代理竊取敏感資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68f28776e3c95ba87dde6c67_345603c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68f28776e3c95ba87dde6c67_345603c.png" style="width: 300px; float: right;" /></a></p> <p>過往針對AI機器人的資安威脅，多半鎖定AI助理或大型語言模型（LLM）下手，促使LLM誤判並執行攻擊者的惡意命令，現在有資安業者發現新的攻擊手法，可用於零點擊攻擊（Zero-Click Attack），過程完全無須使用者互動。</p> <p>資安業者Operant AI揭露名為Shadow Escape的零點擊攻擊手法，可對於採用模型上下文協定（Model Context Protocol，MCP）的企業組織下手，因此無論他們採用的AI助理是ChatGPT、Claude，或是Gemini，都有可能曝險，這是首度專門針對MCP的攻擊手法。</p> <p>Operant AI強調，Shadow Escape與一般的提示注入或是資料外洩有所不同，攻擊過程完全不需要使用者犯錯、網路釣魚攻擊，或是利用惡意瀏覽器延伸套件，這種手法濫用合法MCP連線授予AI助理的信任，將身分證字號、病歷號碼，以及其他能識別個人身分的資料（PII）顯示給任何與AI助理互動的人士，然後再透過隱形的零點擊命令將資料秘密偷走。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-security-plugin-exposes-private-data-to-site-subscribers/">WordPress資安外掛存在漏洞，恐向任意訂閱者曝露私人資料</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171873"><strong style="font-size: 22px;">從10年前CGC到AIxCC挑戰賽，Theori在臺揭露發展自動化防禦的旅程與經驗</strong></a></p> <p>在今年台灣駭客年會HITCON 2025上，AIxCC競賽季軍隊伍「Theori」的參賽經驗也吸引大家注意。例如，成本控制表現優異，而且這一組人馬只有8位，卻能在眾多大型團隊中脫穎而出。</p> <p>擔任Theori共同領隊的Tyler Nighswander，這次應邀來臺講解自動化防禦系統開發的寶貴經驗。其實，有不少臺灣資安社群同好與CTF選手都知道這號人物，曾任HITCON CTF領隊的李倫銓介紹他上臺演講時，特別向大家介紹Tyler Nighswander是DEF CON CTF競賽的常勝軍之一，更是9度奪冠隊伍PPP的長期成員。</p> <p>對於Theori團隊的成果展現，有兩個面向的資訊令人驚豔，一是Theori團隊在成本控制方面表現優異，另一是Theori團隊僅有8名成員，卻能在眾多大型團隊中脫穎而出。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171940"><strong>【10月29日】勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月28日】OpenAI推出的AI瀏覽器存在設計瑕疵，攻擊者可用假網址下達惡意指令</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月27日】微軟發布WSUS緊急更新，起因疑與漏洞攻擊活動有關</strong></a></p> </div></div></div>
2025/10/30 17:41作者周峻佑https://www.ithome.com.tw/news/171973
零點擊攻擊手法Shadow Escape利用MCP伺服器弱點，從AI代理竊取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往針對AI機器人的資安威脅，多半鎖定AI助理或大型語言模型（LLM）下手，促使LLM誤判並執行攻擊者的惡意命令，現在有資安業者發現新的攻擊手法，可用於零點擊攻擊（Zero-Click Attack），過程完全無須使用者互動。</p> <p>資安業者Operant AI揭露<a href="https://www.operant.ai/art-kubed/shadow-escape">名為Shadow Escape的零點擊攻擊手法</a>，可對於採用模型上下文協定（Model Context Protocol，MCP）的企業組織下手，因此無論他們採用的AI助理是ChatGPT、Claude，或是Gemini，都有可能曝險，這是首度專門針對MCP的攻擊手法。</p> <p>Operant AI強調，Shadow Escape與一般的提示注入或是資料外洩有所不同，攻擊過程完全不需要使用者犯錯、網路釣魚攻擊，或是利用惡意瀏覽器延伸套件，這種手法濫用合法MCP連線授予AI助理的信任，將身分證字號、病歷號碼，以及其他能識別個人身分的資料（PII）顯示給任何與AI助理互動的人士，然後再透過隱形的零點擊命令將資料秘密偷走。</p> <p>由於這種攻擊發生在企業的網路邊界及防火牆的內部，而且相當容易在標準的MCP組態及預設權限進行，所以，Operant AI認為，一旦有人發動實際攻擊，透過MCP外流的資料可能達到數兆筆，而且使用者或企業難以察覺資料外流的情況。</p> <p>為了展示Shadow Escape手法的威力，Operant AI製作影片展示概念驗證（PoC），他們假設人力資源部門的員工從網路下載一份看似無害但經過變造的客服指引手冊PDF檔案，並上傳到ChatGPT，供新進客服人員搭配AI助理從事相關工作。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/d4YFIjA5xfg?si=6jrMwYNf6BGrzLSR" title="YouTube video player" width="560"></iframe></p> <p>在這種情況下，客服人員的AI助理能尋找資料的範圍會受限在一定的條件，例如，僅能存取CRM與工單系統、存放知識庫的Google Drive或SharePoint，以及用於上傳事件記錄及追蹤成效的內部API。照理來說，客服人員只要將人資提供的手冊上傳到ChatGPT，就可以讓AI助理遵循規範的指引。</p> <p>一旦客服人員要求AI助理從CRM找出客戶的資料摘要，AI助理為了進一步提供協助擴大提供資料範圍，此時就會透過MCP交叉比對多個資料庫，不斷增加提供資料的來源。</p> <p>此時埋藏在PDF手冊檔案的惡意指令開始操縱AI助理，根據指令的提示向任何URL發出HTTP請求，並在使用者不知情的情況下，將上述過程的事件記錄資料及查詢得到的內部機密資料，透過MCP傳送至外部的惡意端點。</p> <p>攻擊者為避免被察覺異狀，還會將輸出的資料偽裝成例行的績效追蹤，過程裡沒有使用者互動，不觸發任何資安系統警示，也不會被防火牆攔截。</p> <p>Operant AI指出，企業普遍認為，通過身分驗證的AI流量是安全的，然而，在配置MCP的環境下，每個AI助理都繼承多種高權限的能力，例如：資料庫讀取與寫入、檔案上傳與API呼叫，以及跨網域內容傳播，所以導致Shadow Escape手法能夠奏效。若是員工在未經授權的情況下使用AI，還會讓上述情況變得更加嚴重。企業若要防範相關攻擊，Operant AI認為，必須從AI內部運作流程的控管著手。</p> </div></div></div>
2025/10/30 15:59作者周峻佑https://www.ithome.com.tw/news/171969
守住多元與包容原則，Python基金會退出美國NSF提供的150萬美元補助案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pyfound.blogspot.com/2025/10/NSF-funding-statement.html" target="_blank">Python軟體基金會（Python Software Foundation，PSF）本周揭露</a>，該基金會原本已通過美國政府國家科學基金會（National Science Foundation，NSF）針對開源系統所提供150萬美元安全補助專案，卻因該專案要求它們在獲得補助的期間，不得推動任何歧視性的平等意識型態（Discriminatory Equity Ideology，DEI）計畫，而決定退出該專案。</p> <p><a href="https://www.nsf.gov/funding/opportunities/safe-ose-safety-security-privacy-open-source-ecosystems" target="_blank">NSF是在2024年推出Safe-OSE（Safety, Security, and Privacy of Open-Source Ecosystems）專案</a>，打算系統性地提升開源生態的安全、隱私與韌性，補助開源社群長期的資源缺口，每個專案最多為期2年，最高補助150萬美元，預計選出10個案子進行補助。</p> <p>PSF在今年1月提出了申請，期望取得補助以解決Python與PyPI的結構性漏洞，這是PSF首次申請政府補助，且他們認為該提案非常適合Safe-OSE專案，儘管PSF專案首次申請就成功的機率只有36%，但PSF很順利地獲得了推薦。</p> <p>然而，當PSF仔細檢查補助條款與條件時，赫然發現相關條款要求確認受款人不得在補助期間內，推動任何DEI（Discriminatory Equity Ideology）計畫。而且該規定不僅適用於所申請的安全任務，還適用於整個PSF的所有活動；NSF還擁有收回先前已批准或已轉移資金的權利，這代表NSF可能追討已被花掉的錢，是個開放且巨大的財務風險。</p> <p>DEI指的是組織利用追求公平的名義，採取可能對特定族群造成差別待遇、分類或優待的理念或措施，例如保留名額予特定族群，這種行為即可能被視為DEI，或違反美國聯邦反歧視法。總之，它指的是那些以公平之名、行歧視之實的政策，且通常被用來質疑或限制多元、公平與包容（Diversity Equity Inclusion）。</p> <p>PSF強調，多元、公平及包容正巧是該基金會價值觀的核心，<a href="https://www.python.org/psf/mission/" target="_blank">其任務宣言上</a>寫著：Python軟體基金會的使命是推廣、保護及強化Python程式語言，同時支持與促進多元化及國際化Python程式設計師社群的發展。</p> <p>事實上，另一個曾與PSF面臨同樣困境的國際非營利組織The Carpentries也<a href="https://carpentries.org/blog/2025/06/announcing-withdrawal-of-nsf-pose-proposal/" target="_blank">選擇撤回了補助提案</a>。</p> <p>PSF坦承，他們對這個決定也感到難過，因為對於一個只有14名員工、每年500萬美元預算的組織來說，150萬美元是一筆不小的資金，而且很輕易就成為該組織史上最大的一筆捐款，只是它依然比不上價值觀與自由的實踐，該基金會的董事會一致同意撤回申請。</p> <p>Python軟體基金會也藉此呼籲外界加入會員，參與捐款或成為贊助商，以支持其未來的發展。</p> </div></div></div>
2025/10/30 16:50作者陳曉莉https://www.ithome.com.tw/news/171970
資安鑑識工具Velociraptor遭到濫用，中國駭客Storm-2603用於勒索軟體活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用資安工具從事網路攻擊的情況，最常見的莫過於滲透測試工具Cobalt Strike，現在他們使用其他能公開取得、功能更強大的開源工具來達到目的。</p> <p>例如，思科威脅情報團隊Talos發現，今年8月中國駭客Storm-2603發動<a href="https://blog.talosintelligence.com/velociraptor-leveraged-in-ransomware-attacks/">一波勒索軟體攻擊</a>，鎖定受害企業的Windows伺服器與虛擬化環境VMware ESXi，運用3種勒索軟體Warlock、LockBit，以及Babuk來加密檔案，但特別之處在於，過程中，他們濫用開源數位鑑識與事件回應（DFIR）工具Velociraptor，來建立持續存取受害組織網路環境的管道。</p> <p>Velociraptor為何受到這批攻擊者的青睞？這套工具起初由資安專家Mike Cohen開發，<a href="https://www.rapid7.com/blog/post/2021/04/21/rapid7-and-velociraptor-join-forces/">後來在2021年被資安業者Rapid7買下</a>，並在威脅情報平臺Insight整合相關功能，當時Mike Cohen也加入了Rapid7偵測與回應團隊，繼續維護Velociraptor並擴展該工具的用戶社群。</p> <p>Storm-2603如何取得受害企業的初始存取管道？Talos推測，這些駭客曾在一個月前<a href="https://www.ithome.com.tw/news/170266">利用SharePoint零時差漏洞ToolShell（CVE-2025-53770）從事勒索軟體活動</a>，因此很有可能利用此漏洞而得逞。</p> <p>這起事故之所以被Talos察覺，第一個跡象源自8月中旬Storm-2603試圖提升權限並進行橫向移動，他們看到駭客建立了管理員帳號，從網域控制器同步到Entra ID（Azure AD），該管理帳號也被用於存取VMware vSphere主控臺。</p> <p>這些駭客用於建立存取管道的Velociraptor，並非最新版本，而是存在已知漏洞CVE-2025-6264（CVSS風險評為5.5分）的0.73.4.0版，此為權限提升漏洞，攻擊者有機會以此執行任何程式碼，並挾持端點。</p> <p>為了讓活動順利進行，Storm-2603竄改了AD的群組原則物件（GPO），關閉電腦防毒軟體Microsoft Defender的即時防護、行為監控，以及監控電腦檔案與應用程式活動的功能，最終部署勒索軟體加密檔案。</p> <p>濫用Velociraptor的情況先前曾發生，Storm-2603這次活動並非首例，<a href="https://news.sophos.com/en-us/2025/08/26/velociraptor-incident-response-tool-abused-for-remote-access/">資安業者Sophos在今年8月發現</a>，有人濫用該數位鑑識與事件回應工具，並試圖執行Visual Studio Code（VS Code），目的疑為建立用於C2通訊的隧道。</p> </div></div></div>
2025/10/30 17:29作者周峻佑https://www.ithome.com.tw/news/171971
工研院：全球低軌衛星市場持續升溫，國家、歐洲主導的主權星系正崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛星研發及發射帶動低軌衛星興起，工研院產科國際所近期發表產業趨勢觀察指出，除了Starlink、OneWeb等商用低軌衛星服務持續擴大星系規模，由國家政府或歐洲等推動的主權星系助長另一波發展，使低軌衛星應用從地面涵蓋，向強化自主技術、通訊韌性發展。</p> <p>工研院產科國際所分析師呂珮如指出，全球低軌衛星熱潮持續升溫，來自Starlink、OneWeb、Kuiper等商用低軌衛星服務，持續擴大星系的衛星數量規模，並探索新的商業模式、供應鏈商機，由國家政府、國際組織帶動的主權星系成為新的成長來源，這些國家或組織為降低對海外星系的依賴，紛紛投入發展自有的主權星系，確保在特殊情況下，國防及公部門的通訊自主，不會受到海外的商用服務限制。</p> <p>根據產科國際所的統計，2024年全球衛星產業營收約為2,933億美元，其中以衛星製造、衛星發射為雙位數成長，商用星系與主權星系的持續擴展，為未來市場的成長動能。</p> <p>其中最大的低軌衛星，Starlink星系約有9,964顆，持續拓展數量，並探索商業模式。呂珮如指出，Starlink計畫再增加1.5萬顆衛星，將以打造低軌與超低軌的混合星網，其中二代星系衛星可支援D2C（直連手機），與手機品牌業者合作，擴展衛星直連手機的應用場景，促使Starlink成為低軌衛星市場的領先者。</p> <p>而英國投資的OneWeb，目前星系數量規模雖然不如Starlink，未來規畫的衛星總數量超過7千顆，主要訴求為穩定、高品質的低軌衛星通訊服務，先鎖定政府和企業的標竿應用；至於Amazon推動的Kuiper起步較晚，計畫發射的衛星數量超過7,700顆，目前發射數量為153顆，Kuiper強調使用Ka頻段，以提高衛星通訊傳輸，同時力推平價終端，鎖定政府、企業、消費市場。</p> <p>近幾年興起的主權星系，例如由歐洲太空總署ESA為建立自主權而推動中的IRIS2，為滿足歐洲地區的通訊需求，包括中、低軌衛星的組合，除了歐盟自建外，也和商用的OneWeb、SES等業者合作，IRIS2衛星數量規畫超過290顆，組成以264顆的低軌衛星為主，搭配18顆中軌，至少10顆的超低軌衛星。</p> <p>同樣有主權色彩的是上海垣信衛星的G60千帆、中國衛星網絡集團的GW國網，各自計畫建置1.5萬顆、約1.3萬顆衛星，背後為央企、國企發展的G60及GW採用高度國產化的策略，雖然規畫發射上萬顆衛星，但是其發展可能受限於發射能量。</p> <p>除了主權、網路韌性，衛星通訊產業的發展也和下一代的6G習習相關，未來6G可望整合NTN非地面通訊網路，以NTN補足地面網路涵蓋不足的區域，產科國際所分析師朱財生認為，未來通訊技術發展正從「高速連網」向「全域連結」前進。</p> <p>包括美國、日本、歐洲等已開始推動6G國家級戰略計畫，加強對非地面網路的布局、融合測試，以迎合6G向高頻、更低延遲、智慧化發展。</p> <p><span style="color:#B22222;"><strong>臺灣也推動低軌衛星提升自主性、通訊韌性</strong></span></p> <p>除了美國、歐洲、中國之外，我國也正在發展低軌衛星自主權，國科會推動的低軌衛星計畫，該計畫為驗證衛星相關技術，例如衛星通信酬載、地面設備，該計畫為實驗性質，目的為建立技術自主和提升通訊韌性，該計畫準備發射2顆實驗衛星，首顆預計於2027年發射低軌衛星B5G-1A。</p> <p>另外，數發部已引進國際低軌衛星服務來臺，已和OneWeb合作，引進國際商用低軌衛星服務來臺，強化臺灣的通訊韌性，在日前發生的花蓮地震、花蓮堰塞湖潰壩災情時，就曾利用OneWeb行動車來支援災區緊急通訊需求。</p> <p>日前數發部證實Kuiper的商用服務可能落地臺灣，可能和國內的電信營運商合作，將低軌衛星服務落地至臺灣，未來Kuiper服務進入臺灣，於臺灣而言，在OneWeb之外，增加新的國際低軌衛星服務可選擇，可望以多個國際低軌衛星星系強化我國的通訊韌性。</p> </div></div></div>
2025/10/30 17:30作者蘇文彬https://www.ithome.com.tw/news/171972
採用GB10晶片，輝達與多家系統廠商推出新型態AI工作站
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_spark_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>持續推動AI整合應用設備產品發展的Nvidia，在雲端與資料中心領域提供DGX平臺的伺服器系統，目前有DGX H200、DGX B200、DGX B300、DGX GB200、DGX GB300，以及搭配多臺上述設備而成的整櫃型與多櫃型系統DGX BasePOD、DGX SuperPOD，用於公有雲服務領域的解決方案主要是DGX Cloud，而在個人端環境，原本只有直立型工作站DGX Station，今年Nvidia增設體型更小的DGX Spark。</p> <h3><span style="color:#0000FF;"><strong>提供運算效能足以抗衡DGX-1系統的桌上型伺服器</strong></span></h3> <p>這款內部代號為Project DIGITS的產品，在今年1月CES大展期間亮相，預計5月開始供貨，售價為3,000美元起。</p> <p>Nvidia共同創辦人暨執行長黃仁勳在該場活動的主題演講，介紹它是深度學習GPU智慧型訓練系統，強調能與既有的RTX、AGX、OVX等產品相容，如同2016年推出的DGX-1，Nvidia希望為研究人員和新創公司打造開箱即用的AI超級電腦，用於AI研發，然而，現在AI已然成為工程師執行運算、開發軟體，以及藝術工作者內容創作的新方法，每個人都需要一臺AI超級電腦作為工具，Nvidia希望能提供更小尺寸的DGX系統。</p> <p>黃仁勳在演講現場拿出一臺Project DIGITS，強調它能執行整個Nvidia AI軟體技術堆疊，可放置在任何地方，並且能透過無線網路連接到用戶的個人電腦，用戶可以將它當作工作站、雲端超級電腦使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-3.jpg" style="width: 600px;" /></a></p> <p>他強調，這臺設備採用Nvidia與聯發科（MediaTek）合作設計的系統單晶片（SoC）GB10，而這顆Nvidia最小型的Grace Blackwell融合式晶片，內建Nvidia設計的Arm架構處理器Grace，提供20顆節能核心，以及Blackwell架構GPU，整合最新CUDA核心、第五代Tensor核心，能在FP4的精度下，提供1 Petaflop的AI運算效能；至於CPU與GPU之間，GB10透過NVLink-C2C技術進行晶片對晶片的連接。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-4.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-7.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-5.jpg" style="width: 198px;" /></a></p> <p>Nvidia在GB10晶片周圍也設置128 GB容量的LPDDR5記憶體，統一提供處理器與GPU存取使用，並搭配4 TB容量NVMe固態硬碟儲存空間，足以執行2千億個參數的大型語言模型。除此之外，這臺設備還搭配ConnectX網路介面，能連接另一臺Project DIGITS使用，可處理4千零50億個參數的AI模型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-8.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-01-CES-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-01-CES-2.jpg" style="width: 600px;" /></a></p> <p>3月GTC大會期間，Project DIGITS正式定名為DGX Spark，黃仁勳再次強調它與DGX-1的對比，同樣搭配20顆核心的處理器、128 GB記憶體，可提供1 Petaflop運算效能，但DGX-1要價約150,000美元、耗電量為3,500瓦（而且採用3U尺寸機箱），相較之下，具有相同運算資源與能力的DGX Spark，體型卻輕薄到只需要一隻手捧著即可。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-03-1.jpg" style="width: 600px;" /></p> <p>此時，他也宣布，華碩、Dell、HP、聯想這4家系統廠商將推出這類型產品。Nvidia強調這是全世界最小型的AI超級電腦，可提供強大的運算效能，協助數百萬名研究人員、資料科學家、機器人研發人員、學生，發展創新的生成式AI與物理AI應用。</p> <p>5月台北國際電腦展期間，Nvidia預告有更多廠商加入供應DGX Spark的行列，除了上述4家，還有宏碁、技嘉、微星，預計7月開始供貨。黃仁勳表示，各家廠商都會推出他們的DGX Spark版本，他重申這是專為AI原生開發者而設計的產品，對於開發者、研究人員、學生而言，都希望擁有自己的AI雲端環境，並且設置在自己身邊，可持續運作、隨時能夠使用，以此進行原型設計與初步開發，而非每次要使用時，須連上雲端服務、準備環境，做完之後還必須花時間和心力整理作業環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Spark-2025-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark-2025-03-2.jpg" style="width: 600px;" /></a></p> <p>而在軟體平臺的部分，Nvidia表示，DGX Spark搭配DGX OS，當中預先設置Nvidia AI軟體堆疊，也能存取AI模型部署的加速器套件Nvidia NIM，以及AI應用設計範本Nvidia Blueprints，開發者在此可運用PyTorch、Jupyter、Ollama等常見工具，操作AI推論的原型設計、微調、執行作業，後續可部署至DGX Cloud雲端服務，或設置大量AI加速運算資源的資料中心、雲端基礎架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark%20RAG3.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/DGX Spark RAG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark%20RAG1.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark%20RAG2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Spark%20RAG4.jpg" style="width: 298px;" /> </p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-GTC-NVIDIA AI Infrastructure for Enterprise Computing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-GTC-NVIDIA%20AI%20Infrastructure%20for%20Enterprise%20Computing.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>GB10細部規格下半年公開</strong></span></h3> <p>8月底Hot Chips大會期間，Nvidia資深傑出工程師Andi Skende揭露更詳細的DGX Spark技術規格，例如，網路介面是ConnectX-7，GB10晶片會經由PCIe 5.0 x8介面連接這個硬體裝置，使用者可藉此對接兩臺DGX Spark，並在搭配NCCL框架的狀況下，大幅強化多GPU的平行運算效率，進而擴展執行AI工作負載的運算吞吐量、頻寬、記憶體容量，支援更大、更繁複的AI模型；而且，DGX Spark也支援Wi-Fi、藍牙、USB等連接方式，作業系統採用基於Ubuntu的Nvidia DGX OS。DGX Spark搭配的系統單晶片GB10，熱設計功耗為140瓦，採用進階2.5D封裝技術，裡面結合系統小晶粒（S-dielet）與圖形處理小晶粒（G-dielet），兩者均導入台積電3奈米製程，S-dielet整合CPU、記憶體子系統等元件，G-dielet則是GPU核心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia GB10 Arch-2025-08.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GB10%20Arch-2025-08.png" style="width: 600px;" /></a></p> <p>單就CPU而言，Nvidia在此採用Arm 9.2架構，提供的20顆核心分為兩個叢集，各自包含10顆核心，每顆核心都有自己專屬的L2快取，每個叢集共用16 MB的L3快取。而針對整顆CPU的部分，Nvidia提供16MB的L4快取，促進不同執行引擎的高能效資料共享。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GB10-2025-08-1.png" style="width: 198px; float: right;" /></p> <p>GPU的部分，GB10搭配基於Blackwell架構的iGPU，iGPU組成方式與GB100這批GPU相同，當中具有第五代Tensor Core，以及第四代RT Core（Nvidia未公開這兩種核心的數量配置），可處理2千億個參數的大型AI模型，以及700億個參數的AI模型微調。</p> <p>iGPU支援Nvidia自家的DLSS-4與光線追蹤技術，CUDA核心可提供31 TFLOPS的FP32浮點運算效能，在AI應用上，支援NVFP4運算格式、能達到1,000 TOPS的運算效能。</p> <p>而在GPU存取整個系統單晶片時，這裡設置的NVLink-C2C可提供600 GB/s的匯聚頻寬。針對GPU內含的多個運算單元，Nvidia搭配24MB的L2快取，增加內部存取頻寬，也能促進CPU與GPU的一致性。GB10整合的iGPU，也支援PCIe介面裝置的I/O虛擬化技術SR-IOV，提供1個實體功能，以及255個虛擬功能（virtual functions）。</p> <p>至於高速存取介面（HSIO），GB10除了C2C，也支援PCIe 5.0、USB、Ethernet over PCIe，以及4個顯示器的同時連接，3個DisplayPort（4k @ 120Hz）與1個HDMI 2.1a（8K @ 120Hz SDR/HDR）。在多媒體的處理上，這款融合式晶片也整合視訊的編碼與解碼引擎。</p> <p>關於記憶體的配置，GB10如同Grace Hopper、Grace Blackwell架構晶片，導入支援快取一致性（Cache Coherence）的共享記憶體架構，Nvidia稱為統一一致性系統記憶體（Coherent Unified System Memory），GB10目前配置128 GB容量的256位元LPDDR5x記憶體，原始頻寬可達9,400 Mbs，甚至是301 GB/s。</p> <p>記憶體管理的部分，GB10針對CPU與GPU雙向存取的一致性，採用多種硬體機制，例如，GPU的L2快取採用實體標記的方式，這些快取資料會放置在系統實體位址（System Physical Address，SPA）的空間，而且，能經由GPU與系統各自的記憶體管理單元（MMU），以便支援記憶體位址轉換服務（Address Translation Services，ATS）。</p> <p>GB10的安全性配置倒是令人意外地縝密，支援兩種信任根：一是SROOT處理器，用於系統的安全啟動與憑證管理，一是OSROOT處理器，提供UEFI、作業系統與其他系統軟體元件的身分認證。而且，它們可同時支援基於韌體的信任平臺模組（fTPM），以及獨立的信任平臺模組。</p> <p>到了10月中，Nvidia終於宣布DGX Spark正式開始出貨，這款產品的細部技術規格也全部公開。例如，網路介面有兩種，一是ConnectX-7提供2個QSFP接頭的200GbE埠，一是RJ-45接頭的10GbE埠，無線網路的部分，也明確列出支援Wi-Fi 7與低功耗藍牙5.4；</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX Sprak rear ports.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20Sprak%20rear%20ports.jpg" style="width: 600px;" /></a></p> <p>GB10的CPU，提供的20顆Arm架構核心，其中10顆均為<a href="https://newsroom.arm.com/blog/armv9-cortex-x925-cpu-performance">Cortex-X925</a>，這個Arm智財平臺主打高效能、以往多用於智慧型手機與筆電，另外10顆均為<a href="https://www.arm.com/products/silicon-ip-cpu/cortex-a/cortex-a725">Cortex-A725</a>，該平臺主打高能源效率、以往多用於智慧型手機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex-X925%20core%20components.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Cortex-A725%20core%20components.png" style="width: 298px;" /></p> <p>多家系統廠商採用DGX Spark概念的產品，也紛紛宣布上市，像是：</p> <p>●<strong><span style="color:#0000FF;">華碩</span></strong><a href="https://press.asus.com/tw/news/press-releases/zh-asus-ascent-gx10-ai-supercomputer/">推出</a>迷你桌上型AI超級電腦<a href="https://www.asus.com/tw/networking-iot-servers/desktop-ai-supercomputer/ultra-small-ai-supercomputers/asus-ascent-gx10/">Ascent GX10</a>，機箱背部額外配置Kensington安全鎖槽，用戶可選購搭配1 TB、2 TB、4 TB這三種容量的固態硬碟機型，建議售價為97,900元（搭配1 TB固態硬碟）。接下來，他們還會推出2TB與4TB的版本，公布相對應的售價。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ascent GX10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ascent%20GX10-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Ascent GX10-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ascent%20GX10-3.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Ascent GX10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ascent%20GX10-2.jpg" style="width: 198px;" /></a></p> <p>●<span style="color:#0000FF;"><strong>Dell</strong></span><a href="https://www.dell.com/en-us/blog/dell-pro-max-with-gb10-purpose-built-for-ai-developers/">提供</a>高效能AI桌上型電腦系統<a href="https://www.dell.com/zh-tw/shop/%E6%88%B4%E7%88%BE%E5%95%86%E5%8B%99%E5%B0%88%E7%94%A8%E6%A1%8C%E4%B8%8A%E5%9E%8B%E9%9B%BB%E8%85%A6/dell-pro-max-%E6%90%AD%E8%BC%89-gb10/spd/dell-pro-max-fcm1253-micro">Pro Max with GB10</a>，如同Precision或Pro Max桌上型電腦，內建TPM 2.0，用戶可選購搭配2 TB或4 TB容量的固態硬碟機型，隨附意外損壞服務ProSupport Plus，建議售價為120,999元（搭配2 TB固態硬碟）。而且，這兩款產品的Wi-Fi網路模組，都採用AzureWave AW-EM637。</p> <p><a href="https://s4.itho.me/sites/default/files/images/desktop-dell-pro-max-fcm1253-micro-bk-gallery-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/desktop-dell-pro-max-fcm1253-micro-bk-gallery-1.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Pro%20Max%20with%20GB10-4.jpg" style="width: 168px;" /> <a href="https://s4.itho.me/sites/default/files/images/Dell Pro Max with GB10-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Pro%20Max%20with%20GB10-3.jpg" style="width: 198px;" /></a> </p> <p> <a href="https://s4.itho.me/sites/default/files/images/desktop-dell-pro-max-fcm1253-micro-bk-gallery-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/desktop-dell-pro-max-fcm1253-micro-bk-gallery-2.jpg" style="width: 198px;" /></a> </p> <p>●<span style="color:#0000FF;"><strong>HP</strong></span><a href="https://www.hp.com/us-en/newsroom/press-releases/2025/hp-accelerates-the-future-of-work.html">宣布</a>推出<a href="https://www.hp.com/us-en/workstations/zgx-nano-ai-station.html">ZGX Nano G1n AI Station</a>，同樣內建TPM 2.0，用戶可選購搭配1 TB或4 TB容量的固態硬碟機型，Wi-Fi網路模組採用聯發科MT7925。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HP-hero-banner-z6-tablet-v3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HP-hero-banner-z6-tablet-v3.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HP ZGX Nano G1n AI Station-back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HP%20ZGX%20Nano%20G1n%20AI%20Station-back.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HP-rectangle-42-desktop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HP-rectangle-42-desktop.jpg" style="width: 198px;" /></a></p> <p>●<span style="color:#0000FF;"><strong>聯想</strong></span><a href="https://news.lenovo.com/all-new-lenovo-thinkstation-pgx-big-ai-innovation-in-a-small-form-factor/">推出</a>AI開發小型工作站<a href="https://www.lenovo.com/tw/zh/p/workstations/thinkstation-p-series/lenovo-thinkstation-pgx-sff/len102s0023?orgRef=https%253A%252F%252Fwww.google.com%252F&srsltid=AfmBOopYBVgzu7WtmGVQxovUaaJRNJlNNGf08wW0AWYl0inBNLiMNvsT">ThinkStation PGX</a>，內建TPM 2.0，用戶可選購搭配1 TB或4 TB容量的固態硬碟機型，建議售價為135,499元起（搭配1 TB固態硬碟），企業用戶為139,900元（搭配4 TB固態硬碟）享3年Lenovo Premium Support服務，在產品差異上，聯想表示，針對企業用戶，其他競品為1年保固，Lenovo提供三年保固，確保AI工程師在維修上能獲得完整支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ThinkStation PGX front right.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkStation%20PGX%20front%20right.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkStation%20PGX2.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/ThinkStation PGX3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ThinkStation%20PGX3.jpg" style="width: 198px;" /></a></p> <p>●<span style="color:#0000FF;"><strong>微星</strong></span><a href="https://tw.msi.com/news/detail/MSI-EdgeXpert-Personal-AI-Supercomputer-Officially-Available-on-October-15--Empowering-Education--Research--and-Enterprise-AI-Labs-147188">提供</a>個人AI超級電腦<a href="https://ipc.msi.com/product_detail/Industrial-Computer-Box-PC/AI-Supercomputer/EdgeXpert-MS-C931">EdgeXpert</a>，用戶可選購搭配1 TB或4 TB容量的固態硬碟機型，分別為93,238元、128,100元，均是未稅價。相較於其他廠商的DGX Spark，微星表示，這款產品具有三大差異化特色首先是散熱，機箱內部採用均溫板（Vapor Chamber）與熱導管架構Hyper heatpipe，提供與新款筆電與手機同等級的冷卻技術，風扇採用五段式智慧控制曲線，能根據負載即時調整風速，兼顧靜音與效能，而且整個氣流是經由機箱前方開口進氣，主要從後方排出（其他側也有開孔），孔徑大小的配置經過多次模擬，兼顧安規、防塵與外觀需求。<br /> 第二是機箱構造，MSI EdgeXpert外殼使用「塑包鐵結構」，表面溫度可控制在攝氏51度以下，噪音控制在40dB以內，符合微星筆電等級的標準。整機框架採用ㄇ形金屬結構設計，能承受100公斤的壓力；另外也配有 Kensington防盜鎖孔，考慮到企業辦公室安全需求。<br /> 第三是電磁相容（EMC）與無線網路效能，由於MSI EdgeXpert採用高密度、高頻設計，要在桌面環境通過嚴格的EMC測試並不容易，微星特別針對天線位置避開金屬干擾區，重新調整RF布局，讓Wi-Fi模組能在小機構中仍保持穩定效能，在焊錫量控制上也更嚴謹，確保訊號強度與穩定度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MSI EdgeXpert AI-528-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MSI%20EdgeXpert%20AI-528-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/MSI EdgeXpert AI-528-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MSI%20EdgeXpert%20AI-528-2.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Edge%20Expert-pd-photo2.jpg" style="width: 198px;" /></p> <p>●<span style="color:#0000FF;"><strong>技嘉</strong></span><a href="https://www.gigabyte.com/tw/Press/News/2325">供應</a>個人AI超級電腦<a href="https://www.gigabyte.com/tw/AI-TOP-PC/GIGABYTE-AI-TOP-ATOM">AI TOP ATOM</a>，機箱前側額外配置Kensington安全鎖槽，建議售價為169,000元。技嘉科技表示，他們特別為此打造AI開發部署的專用軟體 AI TOP Utility，提供一站式流程，舉凡下載模型、推論、多模態 RAG、機器學習範本等工作，可在本機完成。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GIGABYTE AI TOP ATOM-01-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GIGABYTE%20AI%20TOP%20ATOM-01-Web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GIGABYTE AI TOP ATOM-04-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GIGABYTE%20AI%20TOP%20ATOM-04-web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AI TOP ATOM-cluster-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20TOP%20ATOM-cluster-web.jpg" style="width: 198px;" /></a></p> <p>●<span style="color:#0000FF;"><strong>宏碁</strong></span><a href="https://news.acer.com/hong-qi-tui-chu-nei-jiannvidia-gb10chao-ji-jing-pian-deveriton-gn100-ai-mi-ni-gong-zuo-zhan">提供</a>AI迷你工作站<a href="https://www.acer.com/tw-zh/desktops-and-all-in-ones/veriton-workstations/veriton-gn100-ai-mini-workstation">Veriton GN100</a>，機箱額外配置Kensington安全鎖槽，北美的建議售價為3,999美元起，歐洲、中東和非洲的建議售價為3,999歐元，澳洲的建議售價為6,499澳元；宏碁子公司安圖斯科技（Altos Computing）<a href="https://altos.prezly.com/an-tu-si-ke-ji-tui-chu-quan-xin-altos-brainsphere-gb10-f1da-zao-xin-shi-dai-ai-gong-zuo-zhan?email=proton%40mail.ithome.com.tw">也在10月下半，宣布</a>推出AI 工作站Altos BrainSphere GB10 F1，這款產品也內建安圖斯科技自行研發的開發平臺Altos aiGeni AI，可簡化開發環境設定流程，同時提供硬體資源監控與自動備份功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Acer-Veriton-GN100-AI-Mini-Workstation_03-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Acer-Veriton-GN100-AI-Mini-Workstation_03-web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Acer-Veriton-GN100-AI-Mini-Workstation_01-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Acer-Veriton-GN100-AI-Mini-Workstation_01-web.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Altos BrainSphere GB10 F1-產品圖3-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Altos%20BrainSphere%20GB10%20F1-%E7%94%A2%E5%93%81%E5%9C%963-web.jpg" style="width: 198px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;"><strong>Nvidia DGX Spark</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：3,999美元<br /> ●機箱尺寸：150 x 150 x 50.5公釐<br /> ●系統單晶片：Nvidia GB10 Grace Blackwell Superchip<br /> ●CPU：Nvidia Grace CPU，20顆Arm架構核心，10顆Cortex-X925核心與10顆Cortex-A725核心<br /> ●GPU：Nvidia Blackwell iGPU（第五代Tensor Cores、第四代RT Cores）<br /> ●記憶體：128 GB LPDDR5x，4266 MHz，頻寬為273 GB/s<br /> ●儲存：1臺M.2外形4 TB NVMe SSD<br /> ●網路介面：2個QSFP埠，Nvidia ConnectX-7，200Gb/s Ethernet；1個RJ-45埠，10 Gb/s Ethernet；Wi-Fi 7；Bluetooth 5.4<br /> ●連接埠：4個USB Type-C埠（其中1個可供電）、1個HDMI 2.1a埠<br /> ●軟體：Linux作業系統（DGX OS）<br /> ●耗電量：240瓦<br /> ●重量：1.2公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/10/30 18:21作者李宗翰https://www.ithome.com.tw/review/171853
IBM開源Granite 4.0 Nano邊緣模型，以10億參數平衡效能與效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM釋出<a href="https://huggingface.co/blog/ibm-granite/granite-4-nano">Granite 4.0 Nano系列模型</a>，主打邊緣運算與裝置端應用，將參數量壓低至約10億與3.5億兩個等級，同時維持泛用任務的可用表現。新系列延續Granite 4.0的訓練方法與資料規模，訓練資料量超過15兆個Token，現採Apache2.0授權在Hugging Face開放下載。</p> <p>官方已與vLLM、llama.cpp、MLX等推論框架合作，提供或正完善對Granite 4架構的支援，利於快速評估與部署。</p> <p>本次Nano系列提供兩種架構，其一是採用Hybrid-SSM的Granite 4.0 H 1B（10億）與H 350M（3.5億），目標在低參數條件下提升長序列建模與執行效率，其二是對應傳統Transformer的版本Granite 4.0 1B與350M，考量到部分生態對混合式架構尚未全面最佳化，提供較廣的工具鏈支援。</p> <p>治理與合規是Granite 4.0的重要訴求，IBM再次強調，Granite 4.0家族是第一批獲得ISO/IEC 42001認證的開源模型，所有釋出的檢查點提供數位簽章，可驗證來源與檔案完整性。</p> <p>在評測面向，IBM指出Nano系列針對一般知識、數學、程式碼與安全性等領域具有良好表現，並把指令遵循與工具呼叫列為重點能力，進行IFEval與Berkeley Function Calling Leaderboard v3等任務評測。目前市場上有不少參數約十億的小語言模型，包括Alibaba、Google與LiquidAI等團隊都持續更新此區間的模型，在官方公布的測試組合中，Granite 4.0 Nano的平均成績領先多數同級小模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Xzmabcv6MzAvGapHFhXg4.png" style="width: 580px;" /></p> <p>根據官方測試，Granite-4.0-1B與Granite-4.0-H-1B在通用知識、數學、程式碼與安全性等多項評測的平均準確率均達六成以上，不僅超越Qwen3-0.6B與Gemma-3-1B-IT，也逼近參數更高的1.7B等級模型。在指令遵循與工具呼叫等任務導向測試中，Hybrid-SSM架構特別凸顯優勢，達到78.5%與50.2%的準確率。這些結果顯示Granite 4.0 Nano能在有限參數條件下維持高水準的語意理解與邏輯推論能力，兼顧模型精簡與運算效率。</p> </div></div></div>
2025/10/30 15:23作者李建興https://www.ithome.com.tw/news/171966
微軟公布2026財年首季財報，揭露OpenAI影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周三（10/29）公布截至今年9月30日的<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2026-Q1/press-release-webcast" target="_blank">2026財年第一季財報</a>，該季微軟創下777億美元的營收，成長18%，淨收入為277億美元，成長12%。在<a href="https://www.ithome.com.tw/news/171923" target="_blank">OpenAI正式完成資產重組</a>後，確定微軟握有營利公司的27%股份，微軟也首度於財報中揭露OpenAI所帶來的財務影響。</p> <p>從各部門的營收來看，包括Microsoft 365、LinkedIn與Dynamics的生產力與業務流程（Productivity and Business Processes）締造330億美元的營收，成長17%；涵蓋伺服器產品與雲端服務的智慧雲端（Intelligent Cloud）營收為309億美元，成長28%；更多個人運算（More Personal Computing）營收為138億美元，成長4%。</p> <p>整體而言，涵蓋Azure、GitHub及企業雲端服務的Microsoft Cloud營收在該季達到491億美元，成長26%。</p> <p>這次微軟也首度揭露對OpenAI的投資對該公司財務的影響，<a href="https://www.ithome.com.tw/news/171923" target="_blank">微軟取得了</a>27%的OpenAI Group PBC股份，持股甚至高於OpenAI基金會。</p> <p>不過，OpenAI是家還在大規模燒錢的公司，微軟在2026年第一季認列了30.86億美元的投資損失，使得該公司的淨收入從原本的308億美元減少至277億美元，每股盈餘也因此從4.13美元下滑至3.72美元。去年同期微軟僅認列了來自OpenAI的5.23億美元損失，約為0.07美元的每股盈餘。財報出爐的當天，微軟盤後股價下滑了3.37%，跌至523.3美元。</p> </div></div></div>
2025/10/30 15:37作者陳曉莉https://www.ithome.com.tw/news/171967
惡意NPM套件攻擊PhantomRaven鎖定開發人員，意圖竊取NPM與GitHub憑證等CI/CD機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般來說，在許多NPM套件的供應鏈攻擊當中，往往會將惡意指令寫入套件安裝的設定檔案，以便在開發人員的電腦植入惡意軟體，但如今出現相當罕見的手法，使得惡意套件上架兩個多月才被察覺異狀。</p> <p>資安業者Koi Security揭露<a href="https://www.koi.ai/blog/phantomraven-npm-malware-hidden-in-invisible-dependencies">大規模NPM套件攻擊行動PhantomRaven</a>，攻擊者從今年8月開始，一共上架126個套件，累計下載超過8.6萬次，這些惡意套件會從開發人員的電腦挖掘NPM與GitHub的權杖（Token）或憑證，以及其他CI/CD有關的機敏資訊。但這波攻擊行動引起Koi Security注意的地方，在於植入惡意程式碼的手法更為間接，能躲過NPM生態系統大部分資安工具的偵測，迄今仍有80個套件未遭下架。</p> <p>究竟攻擊者如何達到目的？答案是利用遠端動態相依性（Remote Dynamic Dependencies，RDD）的方式，將惡意程式碼埋藏在未上架於NPM套件庫的另一個相依套件，一旦開發者安裝攻擊者上架於NPM的套件，電腦就會透過安裝檔指定的外部URL，取得未受到NPM列管的惡意套件。</p> <p>這種手法的可怕之處在於，相依套件本身並未在NPM上架，因此，無論資安掃描工具或是相依性分析工具，都不會分析這個相依套件，並忽略其存在。此外，NPM套件庫的說明網頁當中，這種外部相依套件也不會被列入，使得開發人員容易掉以輕心，以為真的不會有其他套件一併被安裝到電腦裡。</p> <p>除此之外，由於相依套件存放於攻擊者控制的伺服器，攻擊者甚至能根據受害者的IP位址提供不同的有效酬載，例如：向使用VPN連線存取的資安研究員派送沒有惡意內容的NPM套件，但向企業網路環境或雲端環境，提供對應的有效酬載。再者，攻擊者還能「放長線釣大魚」，先提供沒有問題的套件通過受害組織的資安檢測，再透過後續的版本更新推送惡意套件。</p> <p>這波攻擊更具威力的地方是做到全程自動化，一旦開發人員下達npm install的命令，此時電腦不僅下載前述的外部相依套件並安裝，還會根據預先安裝（preinstall）的指令碼，自動執行node index.js的命令，部署惡意軟體PhantomRaven，過程中完全沒有任何提示或警告訊息，也不需使用者互動。</p> <p>對於攻擊者的目標，首先，惡意軟體會透過.gitconfig、.npmrc裡的網域名稱，以及package.json作者欄位等資料，尋找開發人員的電子郵件信箱。</p> <p>再者，他們會搜括GitHub Actions、GitLab CI、Jenkins、CircleCI，以及NPM的憑證或權杖，並偵察開發環境的系統資訊，以便確認受害電腦的型態及價值。最終透過HTTP GET、POST，以及WebSocket連線，將資料外傳。</p> <p>值得一提的是，Koi Security指出攻擊者使用的誤植名稱（Typosquatting）手法也有所不同，這些上架的NPM套件名稱，並非隨機的拼寫錯誤，而是根據大型語言模型（LLM）幻覺的弱點而設置。當開發人員向GitHub Copilot或ChatGPT等AI助理詢問的時候，LLM可能會建議他們看似相當合理但實際不存在的套件，攻擊者就將套件設置成這些名稱來達到目的。這種根據LLM可能出現的幻覺而設置套件名稱的手法，Koi Security稱為Slopsquatting。</p> </div></div></div>
2025/10/30 11:21作者周峻佑https://www.ithome.com.tw/news/171953
竊資軟體透過NPM套件散布，針對三大平臺盜取敏感資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了隱匿惡意意圖，攻擊者將惡意程式碼進行混淆處理已經常態，現在有人將有效酬載的程式碼經過4道混淆處理，並根據開發人員電腦執行的作業系統類型，透過NPM套件散布竊資軟體。</p> <p>資安業者Socket近期<a href="https://socket.dev/blog/10-npm-typosquatted-packages-deploy-credential-harvester">發現10個惡意NPM套件</a>，攻擊者以誤植名稱（Typosquatting）的手法，模仿TypeScript、discord.js，以及ethers.js等知名套件名稱，引誘開發人員上當。這些套件在7月4日上架，迄今已被下載9,900次，一旦開發人員下載安裝，這些套件就會根據受害電腦執行的作業系統（Windows、Linux，或macOS），植入對應的竊資軟體，從密碼管理工具、瀏覽器，以及身分驗證服務挖掘帳密與憑證，特別的是，攻擊者為降低開發人員戒心，過程裡還會顯示假的驗證碼。</p> <p>雖然這些惡意套件能在NPM套件庫存活長達4個月的關鍵，主要還是在惡意程式碼經過4層混淆處理而難以被察覺異狀，但其他手法還是相當值得留意。首先，攻擊者在惡意套件的安裝流程當中，加入了預先安裝（preinstall）的指令碼，目的是確保惡意酬載在NPM套件安裝完成之後就會執行。</p> <p>攻擊者先透過install.js確認受害電腦的作業系統，然後下載對應的惡意程式載入工具app.js，而這就是Socket提及經過4層混淆處理的有效酬載。</p> <p>這些手法分別是：能自我解碼的Eval函數包裝手法、以動態金鑰與XOR演算法進行解碼、URL編碼處理，以及控制流程的混淆。</p> <p>特別的是，此惡意程式還會在套件安裝完成後，顯示以ASCII打造的驗證碼，這樣的做法在NPM套件攻擊相當罕見。Socket認為，攻擊者這麼做可能有幾個目的，首先，讓惡意軟體看起來像合法工具，並讓開發人員認為套件來源可靠。</p> <p>再者，由於圖靈驗證需要使用者互動，有機會繞過自動安全掃描機制，而且，這麼做還能讓惡意程式延遲執行，使得惡意軟體與NPM套件之間的關連降低。</p> <p>在惡意酬載下載真正的竊資軟體之前，還會將受害電腦的IP位址傳送到攻擊者的伺服器，藉此讓攻擊者追蹤攻擊流程，確認受害電腦符合攻擊目標，並排除特定的國家或地區用戶。接著，攻擊者才會下載檔案大小為24 MB的二進位程式，此檔案是以Python打造而成的應用程式，功能是到不同平臺挖掘帳密資料。</p> <p>值得留意的是，攻擊者特別針對Windows、macOS，以及不同的Linux桌面環境，挖掘內建帳密管理機制存放的帳密。以Windows而言，他們針對Windows認證管理員（Credential Manager）；而在macOS電腦上，他們針對鑰匙串系統（Keychain）而來；此外，攻擊者也對KDE桌面環境的KWallet、GNOME的Keyring下手。在作業系統的帳密管理機制之外，攻擊者也染指Firefox，並在受害電腦當中，試圖從OAuth驗證程式庫、JWT權杖，以及Ubuntu作業系統搭載的LaunchPad模組，找出用於身分驗證的權杖。</p> </div></div></div>
2025/10/30 13:14作者周峻佑https://www.ithome.com.tw/news/171963
Alphabet財報出爐，單季營收首度突破1,000億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s206.q4cdn.com/479360582/files/doc_financials/2025/q3/2025q3-alphabet-earnings-release.pdf" target="_blank">Alphabet周三（10/29）公布2025年第三季財報</a>，該季創下了1,023億美元的營收，成長16%，這也是Alphabet史上首次單季營收突破1,000億美元；該季的淨營收為350億美元，成長33%。超乎華爾街分析師預期的表現讓Alphabet當天盤後大漲7.13%，股價衝上294.8美元。</p> <p>從財報中可看出，在1,023億美元的營收中，有870億美元來自Google服務，成長13.8%；Google Cloud營收為151.6億美元，成長33.5%；新創事業（Other Bets）營收為3.4億美元，下滑11.3%。其中，Google服務的營業收入（Operating income）335億美元，Google Cloud為36億美元，新創事業則虧損了14.3億美元，略低於去年同期所虧損的11.2億美元。</p> <p>儘管外界一直認為AI可能會削弱Google搜尋的廣告業務，但今年第三季Google搜尋依舊創造了565.7億美元的營收，還比去年同期成長了14.5%。</p> <p>Alphabet與Google執行長Sundar Pichai表示，該季Alphabet各項主要業務皆實現兩位數的成長，也創下史上首季單季營收突破1,000億美元的新紀錄。該公司的AI全棧策略帶來新動能，並以飛快速度推出服務，包括AI Overviews與AI Mode的全球上線。</p> <p>此外，旗下的Gemini模型平均每分鐘處理70億個Token，且Gemini程式已有6.5億的每月活躍用戶；另有價值1,550億美元、尚未履約的Google Cloud訂閱；以及3億個以Google One及YouTube Premium為主的付費訂閱用戶。</p> <p>隨著整體業務的成長，以及雲端客戶需求增加，Alphabet預期2025年的資本支出將落在910億美元至930億美元之間，未來也將持續投資以滿客戶需求，以及把握擴充各領域的機會。</p> </div></div></div>
2025/10/30 13:19作者陳曉莉https://www.ithome.com.tw/news/171964
Azure與Microsoft 365服務異常，微軟指Azure Front Door設定變更所引發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.status.microsoft/zh-tw/status/history/">發生</a>雲端服務連線異常，包含Azure與Microsoft 365等服務出現延遲、逾時與錯誤，部分使用者無法進入公司網路或管理入口網站。微軟在狀態頁表示，事件自臺灣時間10月29日23時45分起影響使用Azure Front Door（AFD）的服務。微軟確認非預期的租戶層級設定變更為觸發原因，已回退至最後已知良好設定，並暫停客戶的AFD設定變更以避免擴散。 </p> <p>這起故障的可見影響包含Azure入口網站故障，微軟列舉受影響的服務涵蓋App Service、Azure SQL Database、Azure Portal、Azure Virtual Desktop、Container Registry、Microsoft Entra ID、Microsoft Sentinel、Microsoft Copilot for Security與Microsoft Defender External Attack Surface Management等，另外Power Apps相依元件也受到影響，目前也已緩解。</p> <p>微軟已將Azure入口網站暫時改由非AFD路徑提供服務，並逐步讓健康節點恢復承載與流量回填。依官方時序，入口網站於臺灣時間10月30日01時26分起脫離AFD，01時30分起封鎖新配置變更，01時40分開始回退最後已知良好設定，02時30分起全球推送修正設定，02時45分起展開節點的人工復原與流量漸進導回。修復期間，Azure Front Door的客戶設定變更仍維持暫時封鎖，待風險完全排除後才會解除限制。</p> <p>這起事故主要衝擊依賴AFD全球內容傳遞的雲端服務與企業使用者操作，微軟已透過回退設定與分階段復原節點來降低影響。後續最新狀態以Azure狀態頁公告為準，企業可持續留意官方更新並視情況採取臨時因應措施。</p> <p>另外，<a href="https://www.ithome.com.tw/news/171852">近期AWS也出現大規模中斷</a>。US-EAST-1區域在10月20日因DynamoDB的DNS自動化流程出錯導致解析異常，連鎖影響EC2、Lambda與NLB等核心服務，總計共有142項服務受牽連，歷時約15小時才完全復原。</p> </div></div></div>
2025/10/30 12:00作者李建興https://www.ithome.com.tw/news/171955
Meta營收成長25%，淨收入下滑83%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.atmeta.com/investor-news/press-release-details/2025/Meta-Reports-Third-Quarter-2025-Results/default.aspx" target="_blank">Meta周三（10/29）公布</a>該公司2025年第三季營收，該季Meta創造了512.4億美元的收入，比去年同期成長26%，淨收入為27.09億美元，下滑83%。Meta當天的盤後股價下挫超過6%，跌至704美元左右。</p> <p>在512.4億美元的營收中，有507.7億美元來自程式家族（Family of Apps），成長20.6%，另外的4.7億美元來自Reality Labs，成長43%。其中，程式家族的營業收入接近250億美元，而Reality Labs則虧損了44億美元，虧損金額與去年相當。</p> <p>該季Meta淨收入之所有下滑，是因為《大而美》（One Big Beautiful Bill Act）法案一方面減少了該公司未來幾年的現金稅賦，卻也縮減了Meta未來可用的節稅額度；同時《企業替代最低稅》（U.S. Corporate Alternative Minimum Tax）要求企業支付最低稅額，讓Meta過去原本累積的大多數遞延稅賦資產無法使用，為一次性沖銷這些可能失效的節稅資產，形成159.3億美元的非現金費用。</p> <p>若未扣除該費用，Meta第二季的淨收入應為186.4億美元。</p> <p>其它值得注意的是，Meta的成本/費用及資本支出也都持續成長。今年第三季的成本/費用為307.1億美元，成長32%，資本支出為193.7億美元，增加12.2%。</p> <p>Meta表示，該公司正處於一個令人興奮的發展階段，除了改善現有的核心服務，並有機會建立全新的AI體驗與服務，徹底改變未來用戶與其產品的互動模式；實現這些機會的關鍵在於基礎設施容量，而且他們也發現運算需求持續顯著成長，甚至超過上一季的預期。Meta將會大力投資以滿足運算需求，包括自建基礎設施，以及與第三方雲端供應商合作，估計這將進一步提高明年的資本支出與費用。</p> <p>這使得Meta預期2026年的資本支出成長及總費用，都將遠高於2025年，主要來自於基礎設施成本增加，以及員工薪資的增加，因為2025年新聘的員工到2026年才會反映出一整年的費用，特別是AI人才。</p> </div></div></div>
2025/10/30 12:17作者陳曉莉https://www.ithome.com.tw/news/171962
Nvidia以Hyperion 10及Cosmos布局Level 4生態，攜手Uber建立10萬輛自駕車隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-uber-robotaxi" target="_blank">Nvidia周二（10/28）正式發表</a>Level 4自駕車量產參考架構Drive AGX Hyperion 10 ，宣布將與Uber合作，自2027年起於全球部署10萬輛Level 4自駕車隊。另也公布了加入Hyperion 10生態體系的汽車品牌、自駕車技術公司，以及自駕車貨運公司。</p> <p>Nvidia不僅是全球繪圖晶片及AI晶片龍頭，也是自駕車晶片最大供應商，並以Nvidia Drive作為自駕車技術品牌，納入自駕車量產參考架構Hyperion，自駕車軟體堆疊Nvidia Drive AV，自駕車作業系統DriveOS，感測與中介軟體DriveWorks，以及世界模型（World Model）訓練平臺Nvidia Cosmos等。</p> <p>本周發表的Hyperion 10是Nvidia專為Level 4自動駕駛所打造的量產級車載平臺，它整合了兩顆採用Blackwell架構的DRIVE AGX Thor車載晶片，提供超過2,000 FP4 TFLOPS 的推論算力，能支援世界模型與VLA（Vision-Language-Action）等新一代自駕AI演算法；此外，它內建14個攝影機、9個雷達、1個光達，以及12個超音波感測器，並整合DriveOS、DriveWorks與 OTA 能力，替自駕車公司提供可直接量產的Level 4硬體標準。</p> <p>而圍繞著Hyperion 10的生態體系則包括車廠、自駕車技術公司與自駕車貨運公司。其中，Stellantis、Lucid及Mercedes-Benz等車廠，都準備採用Hyperion 10架構來建置Level 4自駕車。</p> <p>還有Avride、May Mobility、Momenta、Nuro、Pony.ai、Wayve與WeRide等自駕車技術業者，也都打算在Nvidia Drive Level 4平臺上開發軟體堆疊；而Aurora、Volvo Autonomous Solutions及Waabi等自駕貨運公司，則正利用Nvidia Drive平臺開發Level 4的自動駕駛卡車。</p> <p>至於Uber則計畫利用Hyperion 10及Nvidia Drive生態打造全球首個Level 4自駕車營運網路，預計自2027年開始於全球部署10萬輛自駕車，並在同一叫車平臺同時整合人類駕駛與自駕車隊。雙方還將共同建置以Cosmos為核心的自駕資料工廠，負責訓練世界模型與VLA自駕AI，形成從資料蒐集到車端部署的閉環體系。</p> <p>其中，<a href="https://investor.uber.com/news-events/news/press-release-details/2025/Uber-to-Deploy-One-of-the-Worlds-Largest-Networks-of-Autonomous-Vehicles-Powered-by-NVIDIA-AI-Architecture/default.aspx" target="_blank">Stellantis將成為Uber自駕車隊的首批供應商</a>，計畫向Uber提供至少5,000輛搭載Hyperion 10的Level 4自駕車。</p> <p>目前自駕車對Nvidia的營收貢獻度並不高，<a href="https://www.ithome.com.tw/news/170864" target="_blank">根據該公司截至今年7月27日的2026財年第二季財報</a>，在467億美元的營收中，有411億美元來自資料中心，43億美元來自遊戲，6億美元來自專業視覺化部門，僅有5.9億美元來自汽車與機器人部門。</p> </div></div></div>
2025/10/30 08:22作者陳曉莉https://www.ithome.com.tw/news/171943
Cloudflare與Chrome合作測試MTC協定，提升後量子網路效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare宣布與Chrome Security合作，<a href="https://blog.cloudflare.com/bootstrap-mtc/">啟動Merkle Tree Certificates（MTC）測試</a>，目標是在不增加延遲與流量負擔的情況下，讓網際網路逐步導入後量子（Post-Quantum，PQ）安全機制。此次實驗將在雙方各自的TLS與憑證發行系統上進行，Chrome負責向用戶端發布所需更新並控制釋出節奏，Cloudflare則預計自2026年初起，在部分免費用戶網站觀察相容性與效能變化。未使用Chrome實驗版本的訪客將不受影響。</p> <p>Cloudflare指出，目前其邊緣網路已有約半數流量採用後量子加密保護，但要從加密進展到認證的全面升級，仍面臨挑戰。原因在於後量子簽章與公鑰的資料量遠大於現行的橢圓曲線數位簽章演算法（ECDSA）機制，要是直接套用至現行Web公鑰基礎設施（WebPKI）與TLS交握，會讓每次連線攜帶更多資料，進而影響載入速度與伺服器的運算成本。以目前的WebPKI設計來看，一次典型TLS交握平均涉及約5個簽章與2個公鑰，當全面改用後量子演算法，整體封包大小與延遲都會明顯上升。</p> <p>而MTC的設計改為由發行端維護憑證發行日誌，將多張憑證以批次方式建成Merkle樹，憑證頒發機構（CA）對該批次的已簽署檢查點（Checkpoint）進行簽署。瀏覽器可預先取得並離線驗證這些檢查點，連線時伺服器只需送出憑證及其對應的Merkle樹包含證明（Merkle Tree Inclusion Proof）。</p> <p>要是用戶端的狀態足夠新，整個交握流程只需一個簽章、一把公鑰與一段包含證明即可完成，大幅減少傳輸量與計算負擔。為避免用戶端狀態不夠新導致失敗，MTC定義2種憑證型態，常態使用無簽章憑證（Signatureless Certificate），必要時回退到完整憑證（Full Certificate）以確保連線成功。</p> <p>此次實驗不會改變既有的信任架構，Cloudflare將在Workers平臺上以Static CT API模擬發行端，並對每張MTC配對一張由既有受信任CA簽發的啟始憑證（Bootstrap Certificate）。Chrome的基礎設施會對照MTC與啟始憑證內容是否一致，僅在驗證通過後才將對應的樹頂資訊推送至瀏覽器。</p> <p>Cloudflare與Chrome期望藉由該實驗回答3個關鍵問題，其一，協定的可塑性是否足以應對現今網路環境中各種實作差異與中間設備，避免出現連線中斷，其二，MTC是否真的能帶來實際效能改善，例如縮減交握封包與降低簽章驗證的計算成本，其三，瀏覽器端維持最新狀態的比例是否足夠高，以確保伺服器與用戶端能有效同步。</p> <p>當實驗結果正面，MTC便有機會納入WebPKI，成為後量子認證的過渡方案，在維持既有安全信任模式的同時，顯著降低交握成本與延遲。Cloudflare表示，待實驗完成後，將公開分享測試成果與後續推動計畫，並持續與IETF社群合作，推進MTC標準化的討論。</p> </div></div></div>
2025/10/30 08:42作者李建興https://www.ithome.com.tw/news/171941
支援代理式AI開發環境，MariaDB推統一雲端資料庫平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MariaDB發布<a href="https://mariadb.com/newsroom/press-releases/mariadb-unveils-unified-cloud-database-platform-designed-to-accelerate-agentic-ai-application-development/">Enterprise Platform 2026</a>，推出統一的雲端資料庫平臺，整合交易、分析與人工智慧向量運算能力，內建檢索增強生成（RAG）與智慧代理功能，主打在單一平臺上加速代理式人工智慧應用開發，並降低資料搬移與整合的複雜度。</p> <p>MariaDB近年持續強化人工智慧相關功能，今年導入原生向量搜尋後，Enterprise Platform 2026再進一步推出RAG一鍵可用方案，讓開發者能在資料庫內直接完成RAG流程，無需自行產生嵌入、額外的向量儲存或檢索工作管線。平臺同時新增兩個預先配置的AI Copilot，分別支援開發者與資料庫管理任務。開發者可透過Text-to-SQL自然語言查詢資料，而DBA Copilot則能協助執行效能調校與除錯，提高維運效率。</p> <p>針對代理式應用的需求，MariaDB Cloud提供無伺服器資料庫服務。該模式可依使用量自動縮放資源，並採按需計費，降低閒置成本，同時能應付人工智慧代理在高峰期的瞬間運算負載。</p> <p>MariaDB還與Exasol合作推出MariaDB Exa，針對多TB級營運資料提供高效能分析能力。官方表示，MariaDB Exa在複雜查詢上，可較傳統OLTP引擎快上千倍，並較多款主流分析引擎快上數倍，讓企業能即時從營運資料取得分析結果，而無需再將資料搬移至外部系統。</p> <p>企業級功能也同步更新，MariaDB指出，Enterprise Platform 2026的核心伺服器Enterprise Server 11.8，在初步基準測試中，相較10.6版有約250％的效能提升。新版整合全新的企業管理工具，提供拓樸感知的監控介面、查詢開發與資料庫結構管理功能。安全面則透過MaxScale強化資料庫防火牆，可記錄並強制執行查詢規則，降低潛在風險與誤用。</p> </div></div></div>
2025/10/30 08:54作者李建興https://www.ithome.com.tw/news/171942
【資安日報】10月29日，勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及勒索軟體威脅，許多人第一個會想到<a href="https://www.ithome.com.tw/tags/lockbit">LockBit</a>，也有人可能會想到今年上半犯案連連的<a href="https://www.ithome.com.tw/tags/dragonforce">DragonForce</a>，然而，與上述兩個勒索軟體<a href="https://www.ithome.com.tw/news/171615">結盟</a>的<a href="https://www.ithome.com.tw/tags/qilin">Qilin</a>，他們的活動也不斷出現在近期新聞版面，例如：該組織於8月底宣稱<a href="https://www.ithome.com.tw/news/170849">入侵日產汽車旗下設計公司CBI</a>，9月底傳出朝日啤酒遭勒索軟體，<a href="https://www.ithome.com.tw/news/171609">Qilin也表明是他們所為</a>。在上週<a href="https://www.ithome.com.tw/news/171904">趨勢科技公布這些駭客的攻擊手法</a>後，本週思科威脅情報團隊Talos公布最新調查結果，指出這些駭客曾在6月及8月，都入侵接近100個企業組織，其中又以製造業受害的情況，最為嚴重。</p> <p>最近兩年的商業間諜軟體活動，相關攻擊多半鎖定行動裝置，但最近有一項Chrome零時差漏洞的調查結果引起關注，半年前發現Chrome零時差漏洞CVE-2025-2783攻擊行動的資安業者卡巴斯基，指出這起事故是一度消聲匿跡的Hacking Team東山再起，他們成立名為間諜軟體開發公司Memento Labs，並發起這波攻擊行動。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171928"><strong style="font-size: 22px;">思科回顧今年勒索軟體Qilin攻擊事故，6月與8月均有近百個組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qilin_6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qilin_6.jpg" style="width: 300px; float: right;" /></a></p> <p>從年初至今，勒索軟體Qilin的攻擊事故不斷傳出，這樣的威脅態勢引起資安業者關注，並公布相關調查結果供企業組織防範，在趨勢科技指出這些駭客運用Linux版加密程式迴避偵測之後，有其他資安團隊揭露新的發現。</p> <p>思科威脅情報團隊Talos指出，Qilin在今年6月與8月公布的受害企業組織數量達到高峰，這兩個月攻擊者都聲稱有接近100家遭駭，不過，即使是其他月份，幾乎都有超過40家受害，這樣的情況使其成為全球最具威脅的勒索軟體。從受害組織的產業類型來看，製造業接近四分之一（23%）最嚴重，其次是專業與技術服務，以及批發貿易，分別占18%與10%。</p> <p>針對這些駭客手法的特性，Talos特別提及在竊取資料的流程，他們廣泛濫用名為Cyberduck的開源工具，而對於資料內容的重要性，Qilin會透過作業系統內建的記事本（notepad.exe）、小畫家（mspaint.exe），以及IE瀏覽器（iexplore.exe）開啟檔案來確認，試圖在大量檔案找出有價值的敏感資料。而對於加密工具的運用，Talos發現有兩種型態，其中一種加密程式透過公用程式PsExec進行跨主機散布，另一種則是能對網路共享資料夾進行加密，在部分攻擊行動裡，Qilin會同時運用兩種工具來加密檔案。</p> <p><a href="https://www.ithome.com.tw/news/171932"><strong style="font-size: 22px;">義大利間諜軟體開發商東山再起，濫用Chrome零時差漏洞散布惡意程式Dante</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" style="width: 300px; float: right;" /></a></p> <p>今年3月Google修補Chrome零時差漏洞CVE-2025-2783（CVSS風險評為8.3分），當時通報此事的資安業者卡巴斯基指出，這項出現在Windows版Mojo元件的漏洞，有機會繞過Chrome沙箱保護機制，且已被用於網釣攻擊Operation ForumTroll，本週他們公布更多細節。</p> <p>從事這波攻擊行動的駭客組織，與義大利間諜軟體開發公司Memento Labs有關。這家公司的前身被稱為Hacking Team，相關活動可追溯到2022年，主要目標就是俄羅斯及白俄羅斯的人士。一旦收信人點選釣魚郵件的連結，並透過Chrome或其他以Chromium為基礎開發的瀏覽器存取，就會觸發CVE-2025-2783，最終導致電腦感染間諜軟體Dante。卡巴斯基根據程式碼的相似性，研判Operation ForumTroll活動裡，運用了Memento Labs開發的作案工具。</p> <p>基本上，只要受害者點選釣魚郵件的連結，就會觸發電腦感染Dante的流程，將受害者導向惡意網站並進行漏洞利用。攻擊者針對收信人寄送量身打造的釣魚信，聲稱要邀請他們參與世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」。值得留意的是，攻擊者精通俄文，且符合當地書信寫作方式，完全沒有語言方面的錯誤，而這正是從事這波活動的APT駭客特徵。</p> <p><a href="https://www.ithome.com.tw/news/171929"><strong style="font-size: 22px;">Google駁斥數百萬筆Gmail信箱外洩</strong></a></p> <p>資安專家Troy Hunt撰文透露，主持威脅情報分析平臺Synthient的美國大四學生Ben撰寫名為＜The Stealer Log Ecosystem: Processing Millions of Credentials a Day＞的資安報告，探討竊資軟體生態系運作方式，為此他蒐羅遭到竊資軟體盜取而流落到眾多公開及暗網資料源的Gmail憑證，搜集的平臺包含社群平臺、論壇、Telegram及Tor等。最後，這名研究人員將這批資料提供給了Hunt主持的非營利網站Have I Been Pwned（HIBP）建立外洩資料庫，方便用戶查詢自己資料是否外洩。</p> <p>然而，上述消息經媒體報導，已經變成1.83億筆資料從Gmail外流，使得Google於10月28日在社群網站X駁斥這是假消息，強調Gmail具有強大防護，使用者都獲得持續的保障。該公司指出，該報導是「不準確的，是對竊資軟體資料庫的誤解」。因為這些資料源自是過去蒐集自網際網路的資料，並非特定人、工具或平臺遭到新攻擊。</p> <p>對此，Hunt也發文說明，Synthient的資料集並非是Gmail被駭，而是裝置被惡意程式感染之後，遭到竊取的用戶憑證，只是Gmail是最大業者，故資料佔多數。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-herodotus-android-malware-fakes-human-typing-to-avoid-detection/">安卓惡意程式Herodotus為避免活動被察覺有異，刻意模仿人類打字的頻率</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-atroposia-malware-comes-with-a-local-vulnerability-scanner/">惡意軟體Atroposia整合漏洞掃描工具，以便攻擊者進行後續攻擊活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bidi-swap-the-bidirectional-text-trick-that-makes-fake-urls-look-real/">資安業者揭露BiDi Swap手法，可透過瀏覽器解讀文字方向的方式愚弄使用者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phantomcaptcha-clickfix-attack-targets-ukraine-war-relief-orgs/">新型態ClickFix攻擊PhantomCaptcha鎖定烏克蘭戰爭而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-cophish-attack-steals-oauth-tokens-via-copilot-studio-agents/">新型態攻擊手法濫用Microsoft Copilot Studio，攻擊者可竊取OAuth憑證</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171935"><strong style="font-size: 22px;">研究揭露TEE.fail攻擊，1000美元裝置可破解Intel、AMD處理器與Nvidia GPU機密運算</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TEE_fail-la.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/TEE_fail-la.jpg" style="width: 300px; float: right;" /></a></p> <p>喬治亞理工與普渡大學研究團隊公布TEE.fail研究，證實以低成本DDR5記憶體匯流排攔截即可破壞現代可信執行環境（Trusted Execution Environment，TEE）保護。團隊在實驗中，從Intel TDX與AMD SEV-SNP系統提取關鍵金鑰與證明資訊，進而偽造可通過官方驗證的證明報告（Quote），衝擊雲端機密運算的信任基礎。研究同時指出，Nvidia機密運算的信任鏈受CPU端TEE影響，存在被間接繞過的風險。</p> <p>TEE.fail研究重點在於DDR5匯流排攔截裝置，能被動觀察DRAM讀寫流量。雖然CVM（Confidential Virtual Machine）記憶體內容經加密，但Intel與AMD的實作採用與實體位址相關的決定性加密，導致相同明文在相同實體位址會產生相同密文（Ciphertext），攻擊者不需解密即可比對特徵，鎖定加密運算的關鍵步驟。</p> <p>此攻擊手法不僅影響CPU，Nvidia機密運算透過與CVM建立加密通道以及遠端證明來保護GPU工作負載，但研究指出，GPU證明未綁定特定CVM身分，攻擊者可借用他處取得的合法報告，來誤導其工作負載受保護，實際卻可能在非機密的環境運行。</p> <p><a href="https://www.ithome.com.tw/news/171939"><strong style="font-size: 22px;">微軟修補有史以來最嚴重的ASP.NET Core漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/request_smuggling_06.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/request_smuggling_06.png" style="width: 300px; float: right;" /></a></p> <p>10月份例行更新（Patch Tuesday）微軟一口氣修補175個資安漏洞，其中有3個已被用於實際攻擊、3個在微軟公開前被揭露最受到關注，但後來有另一項風險值接近滿分的資安漏洞也受到各界的注意，並引起高度討論。</p> <p>這項資安漏洞可被用於繞過安全功能，登記編號為CVE-2025-55315，存在於ASP.NET Core，CVSS風險評為9.9（滿分10分），攻擊者可透過發送惡意的HTTP請求來觸發，一旦成功利用，攻擊者就有機會檢視敏感資訊，例如：存取其他使用者的身分驗證資料、竄改目標伺服器的檔案，以及造成伺服器當機，影響機密性、完整性，以及可用性。微軟針對ASP.NET 2.3、8.0、9.0，以及Visual Studio 2022發布修補程式。</p> <p>本週ASP.NET開發人員Andrew Lock發布部落格文章公布更多細節，並指出這項漏洞為何被認定極為危險，因為攻擊者一旦用來發動HTTP請求走私攻擊，就有可能從事各式惡意行為。他說明這項漏洞造成的原因，與名為Chunk Extensions與chunked transfer encoding的功能對HTTP請求的處理過於寬鬆有關，在特定的情況下，\n有可能被錯誤解讀，而引發HTTP請求走私。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171837"><strong style="font-size: 22px;">AIxCC競賽隊伍現身HITCON 2025，解析用AI發現修補漏洞的經驗</strong></a></p> <p>今年AI資安技術出現新亮點，重大進展在於，業界開始出現懂得運用AI自動發現並修補漏洞的團隊。這場技術革命的引爆點，是美國DARPA兩年前宣布舉辦的AI Cyber Challenge（AIxCC）競賽，今年8月勝負結果出爐，決賽團隊打造的網路推理系統（CRS）系統也開源釋出，可望促進後續更多的應用與創新，並加速整個產業的變革。</p> <p>此一全新技術變革，也是臺灣資安界關注的焦點。今年8月舉行的台灣駭客年會HITCON 2025，特別邀請到AIxCC的3支決賽隊伍成員，來臺親自分享第一手資訊，揭露開發可自主發現與修補漏洞系統的經驗。對於尚未接觸過AI漏洞修補技術的臺灣資安從業者或資安生力軍，可藉此了解發展這些應用的過程與構想。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月28日】OpenAI推出的AI瀏覽器存在設計瑕疵，攻擊者可用假網址下達惡意指令</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月27日】微軟發布WSUS緊急更新，起因疑與漏洞攻擊活動有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171847"><strong>【10月23日】中國駭客針對歐洲及中東電信業者從事網路間諜活動</strong></a></p> </div></div></div>
2025/10/29 17:53作者周峻佑https://www.ithome.com.tw/news/171940