iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 9篇
近 24 小時: 17篇
近 7 天: 116篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月11日，React2Shell攻擊活動持續擴大，北韓駭客、挖礦軟體、殭屍網路加入行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172756"><strong style="font-size: 22px;">後門程式PeerBlight鎖定React2Shell而來，企圖綁架Linux主機從事挖礦及DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/assets3eb6f92aedf74f109c7b4b0897(1).png" style="width: 300px; float: right;" /></a></p> <p>資安業者Huntress指出，他們看到駭客利用CVE-2025-55182（React2Shell）攻擊建築與娛樂產業等多個領域，過程中運用了過往未曾出現的惡意程式，其中包括Linux後門程式PeerBlight、反向代理伺服器隧道工具CowTunnel，以及Go語言打造的後利用工具ZinFoq，目的是濫用React主機的運算能力，利用挖礦軟體XMRig從事挖礦。此外，該公司也看到殭屍網路Kaiji的變種在這波活動中散布的情形，此殭屍網路病毒主要功能是發動DDoS攻擊，特別的是，若是IT人員試圖清除有效酬載，就可能導致受害電腦重開機。</p> <p>針對攻擊發生的過程，這些駭客疑似透過自動化掃描的方式，找出存在React2Shell的Next.js應用系統，而他們使用的工具是react2shell-scanner，此為資安業者Assetnote打造，並在GitHub發布，原本的用途是協助企業組織找出存在React2Shell的實體，來緩解相關風險，但如今也被駭客用於尋找下手的目標。</p> <p>一旦成功利用漏洞，他們就會試圖從多個C2伺服器下載其他作案工具，並透過建立隱藏屬性的資料夾，以及濫用systemd服務，來達到持續在受害主機活動的目的。最終，駭客執行經Base64演算法處理的Bash指令碼，從GitHub下載特定版本的XMRig，並與特定加密貨幣錢包及礦池連線。值得一提的是，雖然攻擊者的目標是Linux主機，但Huntress也看到Windows電腦被植入Linux有效酬載的情況，而這也是他們判斷駭客使用自動化漏洞利用工具的重要依據。</p> <p><a href="https://www.ithome.com.tw/news/172743"><strong style="font-size: 22px;">北韓駭客加入利用React2Shell的行列，散布惡意程式EtherRAT</strong></a></p> <p>資安業者Sysdig指出，他們發現有人利用React2Shell散布名為EtherRAT的惡意軟體，過程中使用的作案工具，與北韓駭客先前的活動Contagious Interview有所交集。針對這波活動，可能代表北韓已有國家級駭客開始利用React2Shell，而且各駭客組織之間存在複雜的作案工具共用關係。</p> <p>這起事故出現在React公開漏洞的2天後，Sysdig發現遭到滲透的Next.js應用程式，當中被植入的有效酬載，並非初期利用React2Shell散布的挖礦軟體或竊資軟體，而是功能相當複雜的EtherRAT，因而引起他們的注意。此惡意程式濫用以太坊智慧合約進行C2通訊，並具備5種常駐在Linux環境的機制，一旦執行，還會從nodejs.org下載專屬的Node.js執行期間元件（Runtime）。有別於其他利用React2Shell的惡意活動，主要仰賴PowerShell或是Shell命令，並採用寫死的（Hardcoded，將固定IP位址與網域寫死在程式碼）C2基礎設施，EtherRAT顯得相當特別。</p> <p>針對EtherRAT的攻擊流程，通常從執行經Base64演算法處理的Shell命令開始，在成功利用React2Shell之後，就下載Shell指令碼並執行，然後部署以JavaScript打造的惡意程式。整個流程大致可區分成4個階段。</p> <p><a href="https://www.ithome.com.tw/news/172724"><strong style="font-size: 22px;">北韓IT工作者滲透歐美企業出現新招，先透過釣魚手法冒用合法工程師的身分，再向企業應徵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/B.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/B.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年，北韓IT工作者在北美與歐洲求職，謀取遠距工作職缺，就職後不僅將獲得薪酬用於北韓核武發展，並在所屬公司進行滲透、竊取相關機密，或是從事長期網路間諜活動，多年來美國執法機構圍剿協助犯案的筆電農場（Laptop Farm）與負責人，這些北韓IT工作者也改變做法，「借用」想要求職的工程師身分，滲透歐美企業。</p> <p>威脅情報業者BCA LTD及NorthScan，他們與資安沙箱業者Any.Run聯手，揭露北韓駭客Lazarus旗下團體Famous Chollima（WageMole）最新一波攻擊活動，駭客透過GitHub垃圾訊息、Telegram，以及假的求職平臺等管道，先對想要應徵開發人員或工程師職務的開發人員下手，然後再利用這些開發人員的真實身分，向歐美企業應徵遠距工作職缺。這些駭客透過社交工程手法，藉由令人信服的故事、施壓，以及身分詐騙來推動整個流程，脅迫求職者交出社會安全碼與銀行帳號等身分資料，甚至是裝置的存取權限。</p> <p>對此，他們呼籲企業在面試新員工時，要嚴格執行KYC（確認身分識別）管控，以及對面試者進行背景調查，並訓練人才招募團隊能及早察覺可能的異狀；而對於想要找工作的開發人員或工程師，必須特別留意惡意程式開發挑戰的陷阱，不要使用現職公司的設備參加面試，再者，如果徵才公司出乎意料地願意聘雇，卻要求怪異的合作行為，求職者就要提高警覺，該公司可能想要冒用求職者的身分從事不法行為。</p> <p><a href="https://www.ithome.com.tw/news/172760"><strong style="font-size: 22px;">OWASP公布AI代理的10大資安威脅</strong></a></p> <p>這兩年生成式AI應用起飛，已逐漸融入你我生活，相關的新技術也帶來了新的風險，過去經常發布10大資安風險的非營利組織OWASP，從2023年8月開始，彙整大型語言模型（LLM）的10大資安風險，去年底公布最新的2025版，隨著許多應用聚焦在AI代理，現在他們公布AI代理的10大資安風險。</p> <p>這10大資安風險當中，又以前三大最被凸顯。其中OWASP列為第一的是Agent Goal Hijack，光從字面上不容易直接理解其風險為何，OWASP說明指出，這種風險來自攻擊者操縱AI代理的自然語言輸入，改變原本的目標，導致資料外流、輸出結果被竄改，或是工作流程被挾持的情況，而這的確是時下最常見的AI代理威脅之一。</p> <p>排名第二和第三的威脅，就相對容易理解：分別是工具濫用及漏洞利用（Tool Misuse and Exploitation），以及身分與特殊權限的濫用（Identity and Privilege Abuse），這些威脅展現攻擊者如何顛覆AI代理能力，以及其背後的基礎設施，而且，涉及AI代理的資安威脅，已在各行各業浮現。</p> <p><a href="https://www.ithome.com.tw/news/172727"><strong style="font-size: 22px;">Nvidia修補AI推論伺服器Triton高風險DoS漏洞</strong></a></p> <p>Nvidia公告修補Linux版Triton推論伺服器（Inference Server）兩項高風險漏洞，分別為CVE-2025-33211與CVE-2025-33201。若遭攻擊者利用，可能使推論作業在執行過程中發生錯誤並中止，進而造成阻斷服務（DoS），影響AI模型及相關應用的正常運作。</p> <p>CVE-2025-33211的問題源於Triton推論伺服器對輸入資料中指定的數量（specified quantity）驗證不足。攻擊者可藉由提交特製輸入，使系統在處理階段觸發例外狀況，導致推論服務無法正常運作。</p> <p>CVE-2025-33201則與伺服器在面對異常大型payload時的檢查邏輯不足有關。Nvidia指出，若攻擊者送出的大量資料超過伺服器單次請求可安全處理範圍，可能使系統無法承受負荷而中止，同樣會導致阻斷服務。</p> <p><a href="https://www.ithome.com.tw/news/172731"><strong style="font-size: 22px;">英國公立醫療機構Barts Health NHS Trust遭遇Oracle EBS資料外洩，並公開於暗網</strong></a></p> <p>英國公立醫療機構Barts Health NHS Trust上周公告遭遇Oracle E-Business Suite（EBS）攻擊，致個人資料公開。據媒體報導，外洩的是Barts Health管理的病患和醫院員工資料，此事件同樣發生於今年8月。</p> <p>Barts Health NHS Trust作為一家信託機構，管理倫敦皇家醫院等5家醫院。一如其他受害者，Barts Health信託機構遭到Cl0p駭客從包含發票的資料庫中竊取了某些檔案，並將之張貼於暗網。被竊取的檔案包含多年來需要支付一家Barts Health醫院治療及服務費用的個人資料，包括姓名及地址。Barts Health已緊急採取法律行動，請求英國高等法院開出命令，以阻止這批資料的發布、使用與分享，同時和英格蘭NHS、以及英國網路安全中心、警方合作，並且向英國資料主管機關資訊委員會辦公室（ICO）通報。</p> <p><a href="https://www.ithome.com.tw/news/172585"><strong style="font-size: 22px;">Palo Alto Networks斥資33.5億美元買下可觀測性平臺供應商Chronosphere</strong></a></p> <p>全球最大的獨立資安公司Palo Alto Networks宣布，將以33.5億美元收購新一代的可觀測性平臺Chronosphere，以強化Palo Alto Networks協助企業在現代應用及AI工作負載下，打造統一資料及安全基礎的能力，預計於2026年7月底以前完成交易。</p> <p>Palo Alto Networks表示，現代應用及AI工作負載的成長，使得全天候不中斷的可用性與韌性成為重要任務，Chronosphere正是為此而生，它採用新世代的架構設計，具備AI時代的可擴展能力，可在高成本效率及高可靠性的前提下處理巨大雲端資料量。</p> <p>根據Palo Alto Networks的規畫，整合上述兩個平臺之後，可觀測性的價值將從被動監控躍升為自動化修復平臺，新方案將在Chronosphere所監控的海量資料上部署AI代理人，除了偵測效能問題，還能自主調查根本原因，並以代理人方式完成修復。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-10-000-docker-hub-images-found-leaking-credentials-auth-keys/">逾1萬個Docker Hub映像曝露憑證與API金鑰</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-ads-for-shared-chatgpt-grok-guides-push-macos-infostealer-malware/">惡意廣告假借提供ChatGPT與Grok指引，意圖散布macOS竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-droidlock-malware-locks-android-devices-and-demands-a-ransom/">安卓惡意軟體DroidLock將裝置鎖定，並向受害者進行勒索</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-spiderman-phishing-service-targets-dozens-of-european-banks/">網釣工具包Spiderman鎖定數十家歐洲銀行的用戶而來</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172751"><strong>【12月10日】微軟、SAP等多家科技業者發布12月份例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172725"><strong>【12月9日】AI開發工具與程式助理廣泛存在一系列資安漏洞，可串連形成攻擊鏈IDEsaster</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172708"><strong>【12月8日】殭屍網路及中國駭客傳出已實際利用滿分資安漏洞React2Shell</strong></a></p> </div></div></div>
2025/12/11 13:33作者周峻佑https://www.ithome.com.tw/news/172761
Android間諜軟體ClayRat再進化，新版可自動解鎖手機並遠端操控裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>行動資安廠商Zimperium旗下zLabs研究團隊公布最新分析指出，<a href="https://zimperium.com/blog/return-of-clayrat-expanded-features-and-techniques">新版ClayRat</a>在原本可竊取簡訊、通話紀錄與相片的基礎上，進一步濫用Android無障礙服務與預設簡訊App權限，不僅能自動解鎖手機，還可錄製螢幕、偽造通知並遠端操控裝置。</p> <p>ClayRat在10月首次被揭露時，就已被歸類為快速演進的Android間諜軟體家族，這次則加入更多監控與遠端控制機制，讓受害者更不容易察覺與移除。</p> <p>研究人員指出，攻擊者架設超過25個釣魚網域，偽裝成YouTube等影音平臺頁面，以及車用診斷工具Car Scanner ELM的合法下載頁面，誘導使用者下載惡意安裝檔。此外，ClayRat也被發現利用雲端儲存服務Dropbox散布惡意APK。截至目前，研究人員已在短時間內偵測到超過700個獨立APK。</p> <p>新版ClayRat安裝後，會先引導使用者將其設為預設簡訊App，以取得廣泛簡訊讀寫權限，接著再要求啟用無障礙服務。當兩項關鍵權限到手後，惡意程式便可透過模擬點擊自動操作系統介面，例如關閉Play商店與相關防護機制，降低被Google Play Protect攔截的機會。ClayRat仍採用加密惡意載荷與dropper架構，將真正的惡意模組以AES/CBC加密後藏在資產目錄中，執行時再於本機解密載入，以增加分析難度。</p> <p>這一代ClayRat更專注在攻擊鎖定畫面與螢幕內容，研究人員指出，惡意程式會監看來自SystemUI與Keyguard的無障礙事件，記錄使用者在PIN、密碼或圖形解鎖介面上的每一次輸入，重建解鎖憑證後儲存在本機設定中，供日後自動解鎖使用。同時，ClayRat可透過MediaProjection API啟動螢幕錄製，搭配類VNC遠端桌面機制，長時間串流手機畫面給攻擊者，並支援模擬點擊與滑動，從遠端實際操控受害裝置。</p> <p>新版ClayRat也把通知與覆蓋層當成重要攻擊面，攻擊者可下達指令，要求惡意程式在手機上建立自訂通知，外觀看似來自合法App，實際上會攔截使用者在通知上的回覆內容並回傳伺服器，用於竊取帳號密碼等敏感資訊。</p> <p>研究人員警告，一旦員工手機遭ClayRat感染，攻擊者便可能攔截多因素驗證碼、錄製企業App操作畫面，甚至以受害者身分在通訊工具上發訊或撥打電話，進一步嘗試登入企業系統或發動社交工程攻擊。</p> </div></div></div>
2025/12/11 14:46作者李建興https://www.ithome.com.tw/news/172762
ChatGPT用戶現已可呼叫Photoshop及Acrobat等Adobe工具來支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://news.adobe.com/news/2025/12/adobe-photoshop-express-acrobat-chatgpt" target="_blank">Adobe周三（12/10）宣布</a>，已透過代理式AI技術及模型脈絡協定（Model Context Protocol，MCP），讓ChatGPT用戶可直接於聊天介面中呼叫Adobe Photoshop、Adobe Express，以及Adobe Acrobat等應用來支援影像與文件的編輯。</p> <p>OpenAI是在今年10月開始<a href="https://www.ithome.com.tw/news/171545" target="_blank">於ChatGPT中整合外部應用程式</a>，預覽Apps SDK，以讓使用者於ChatGPT中呼叫某個程式來回答問題，像是點名Spotify來建立派對歌單，或是要Booking.com幫忙尋找巴黎住處，還是請Coursera推薦AI入門課程等，這種查詢類的第三方應用可供所有等級的ChatGPT用戶免費使用。</p> <p>本周加入的Adobe Photoshop、Adobe Express，以及Adobe Acrobat則是屬於專業型的第三方應用，因耗費更多的資源，因此只供ChatGPT付費用戶存取，只要於設定中啟用相關應用程式即可在聊天的過程中呼叫它們。</p> <p>上述的Adobe應用皆為免費的基礎版本，例如ChatGPT用戶可請Photoshop調整影像中特定區塊的亮度、對比及曝光等設定，或是套用Glitch、Glow等創意效果，同時完整保留影像品質。或是瀏覽Express龐大的設計範本庫，挑選最適合的版型，填入文字、替換圖片、加入動畫，並在聊天介面中直接編修，且無須切換應用程式。</p> <p>Acrobat則允許ChatGPT用戶編輯PDF檔案、擷取文字或表格，整理與合併多個檔案、壓縮文件，並在轉成PDF時保持品質及排版；Acrobat for ChatGPT亦可輕鬆遮掩敏感資訊。</p> <p>以Photoshop為例，<a href="https://blog.adobe.com/en/publish/2025/12/10/edit-photoshop-chatgpt" target="_blank">在啟用該程式之後</a>，使用者只需於ChatGPT中上傳想要編輯的照片，然後在提示中提及「Adobe Photoshop，突顯照片中的人物」，接著就可持續輸入各種編輯需求。</p> <p>目前Adobe for ChatGPT的3款應用皆已支援桌面、網頁與iOS平臺，率先支援Android平臺的則是Adobe Express，Photoshop及Acrobat很快就會跟上。</p> </div></div></div>
2025/12/11 11:16作者陳曉莉https://www.ithome.com.tw/news/172757
【資安日報】12月8日，殭屍網路及中國駭客傳出已實際利用滿分資安漏洞React2Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172683"><strong style="font-size: 22px;">多家資安業者與機構警告React2Shell已遭積極利用，全球恐有數萬臺React主機尚未修補</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6932fc54fc99007f046f0805_GreyNoise-Viz-React2Shell.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6932fc54fc99007f046f0805_GreyNoise-Viz-React2Shell.png" style="width: 300px; float: right;" /></a></p> <p>上週React開發團隊揭露滿分漏洞CVE-2025-55182（React2Shell），後續AWS提出警告，Earth Lamia與Jackpot Panda等多組中國國家級駭客組織，在漏洞公布不久就開始積極利用，現在有其他資安業者及研究機構揭露調查情形。</p> <p>威脅情報業者GreyNoise指出，他們大約從世界協調時間（UTC）12月5日凌晨5時左右，開始偵測到積極嘗試利用的情況，並指出攻擊者同時使用新舊基礎設施來從事相關活動，該公司根據HTTP用戶端與TCP堆疊的用戶特徵（fingerprint），確認是高度自動化的攻擊，儘管這是早期針對React2Shell的活動，不過，已有Mirai及其他殭屍網路將其加入漏洞利用工具。</p> <p>資安業者Palo Alto Networks旗下威脅情報團隊Unit 42，也向資安新聞網站Bleeping Computer與CyberScoop透露調查結果，他們指出，被稱為UNC5174或CL-STA-1015的中國國家級駭客，利用React2Shell入侵企業環境，得逞後部署惡意軟體載入工具Snowlight與後門程式Vshell，而且，過程裡還會竊取AWS組態及憑證檔案，至少有30家企業組織受害。</p> <p><a href="https://www.ithome.com.tw/news/172677"><strong style="font-size: 22px;">Cloudflare再傳服務異常，原因是實施React漏洞防護出錯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cloudflare-React2Shell-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloudflare-React2Shell-1.png" style="width: 300px; float: right;" /></a></p> <p>世界協調時間（UTC）12月5日早上8時47分，出現Cloudflare網路發生斷線的情形，約經過半小時就解決，於9時12分所有服務就回復上線（臺北時間同日16時47分到17時12分），受影響的HTTP流量約占Cloudflare服務流量的28%。對此，Cloudflare提出說明，這起事件發生的原因，並非他們遭遇網路攻擊，或是有人從事惡意活動，而是該公司在緩解React滿分漏洞CVE-2025-55182（React2Shell）出現異常造成。</p> <p>為了緩解這項弱點，當時Cloudflare試圖將代理伺服器的HTTP請求解析緩衝區，由原本的128 KB，提高為Next.js預設上限1 MB，目的是讓該公司的網頁應用程式防火牆（WAF）儘可能提供防護。</p> <p>管理團隊利用漸進部署系統第一次變更WAF規則時，發現內部WAF測試工具不支援擴大緩衝，且對客戶流量沒有影響，因此他們做了第二次變更，想將WAF規則測試工具關閉。由於全球配置系統未執行漸進式部署，使得FL1版本的代理伺服器在變更程式執行的過程裡，觸發規則模組的特定臭蟲而引發錯誤，出現HTTP錯誤碼500。</p> <p><a href="https://www.ithome.com.tw/news/172696"><strong style="font-size: 22px;">Palo Alto Networks旗下SSL VPN的入口網站出現新一波大規模掃描</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6931f7f22a77659f93f89394_GreyNoise-Palo-Alto-Dec-25.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6931f7f22a77659f93f89394_GreyNoise-Palo-Alto-Dec-25.png" style="width: 300px; float: right;" /></a></p> <p>上個月傳出有人鎖定Palo Alto Networks旗下的SSL VPN平臺GlobalProtect，一天內攻擊流量爆增40倍，5天內偵測到超過230萬次存取GlobalProtect的活動，半個月後類似的活動再度出現，資安業者上週已發布警告。</p> <p>12月2日威脅情報業者GreyNoise發現新一波攻擊，攻擊者透過超過7千個IP位址，嘗試登入GlobalProtect，這些攻擊都來自一家德國公司3xK GmbH經營的基礎設施，而相關的攻擊並非首度出現，因為GreyNoise比對3個來源用戶端的身分特徵（fingerprint）後發現，這些用戶端曾在9月下旬至10月中旬，用於其他攻擊行動，當時GreyNoise發現，攻擊者使用的自治系統編號（ASN），過往未曾與惡意基礎設施出現關連。對此，我們也詢問Palo Alto Networks，不過在截稿之前並未收到回應。</p> <p>不過事隔一天，相關的威脅態勢出現變化，攻擊者轉向SonicWall防火牆設備，針對防火牆作業系統SonicOS的API，進行大規模掃描。GreyNoise提到，雖然基礎設施似乎出現變化，被針對設備廠牌也不同，然而他們看到的攻擊來源用戶端，卻完全一致。</p> <p><a href="https://www.ithome.com.tw/news/172682"><strong style="font-size: 22px;">Slack在臺服務將移轉至中國？ Salesforce澄清臺灣用戶使用全球基礎設施，與阿里巴巴無關</strong></a></p> <p>因線上協作空間而受到不少企業使用的Slack，上周傳出臺灣地區的服務將被畫分為中國，並要求Slack用戶將資料移轉到阿里巴巴，引發資料存放中國，恐遭中國政府監控的情況；對此，iThome向Salesforce臺灣分公司求證，Salesforce臺灣總經理蘇俊熹回應，臺灣服務使用的是全球基礎設施，與中國特規版不同，不論金流或資料、數據中心都與阿里雲無關。</p> <p>上周有國內媒體引用The Information的報導，指出近兩周陸續有用戶收到官方信件通知，Slack通訊協作服務已將臺灣，畫為中國、香港、澳門同一服務地區，Slack用戶需將帳戶轉移到阿里巴巴以繼續使用服務，需要透過阿里雲購買服務。</p> <p>這項消息一經揭露，引發臺灣用戶群的擔憂，不少用戶擔心資料被迫得轉移至阿里雲，更有熱心的用戶詢問Slack客服，客服回應臺灣不受影響，Slack無法收到中國、香港、澳門的支付，用戶分享的客服回應看似安撫用戶的情緒，但也有用戶質疑客服的回應，並未直接回答資料是否存放在阿里巴巴的疑問。</p> <p><a href="https://www.ithome.com.tw/news/172673"><strong style="font-size: 22px;">針對半年前被揭露的Windows捷徑UI零時差漏洞，傳出微軟已默默採取緩解措施</strong></a></p> <p>今年3月趨勢科技揭露Windows捷徑檔（LNK）零時差漏洞ZDI-CAN-25373（後來登記為CVE-2025-9491），由於當時已被用於實際攻擊，該公司旗下的Zero Day Initiative（ZDI）向微軟通報此事之後，微軟認為未達服務條件而不予修補，此事後續也廣泛受到高度關注。事隔半年，又有新的駭客組織加入漏洞利用行列，微軟還是在文件強調，使用者從網路下載的捷徑檔帶有Mark of the Web（MoTW）標記，在開啟前會出現警示訊息，因此依舊認定不需修補。然而上週卻傳出微軟已悄悄調整相關介面的顯示方式，試圖緩解這項漏洞。</p> <p>察覺此事的是第三方修補服務商0patch，他們發現，微軟雖然對外維持CVE-2025-9491不構成需要修補的立場，但已在今年中旬透過更新程式進行調整，LNK檔案的路徑顯示的內容，能完整顯示，不再像原先只能顯示前260個字元，使用者可以全選後貼到文字編輯器詳細檢查。0patch指出，這次調整被視為功能修正而非安全公告，確實讓介面與實際執行內容重新對齊。</p> <p><a href="https://www.ithome.com.tw/news/172653"><strong style="font-size: 22px;">以資安為由，俄羅斯限制蘋果FaceTime的語音及視訊功能</strong></a></p> <p>繼限制YouTube、WhatsApp與Telegram的使用之後，12月4日俄羅斯政府宣布限制蘋果FaceTime的語音及視訊通訊服務。</p> <p>路透社（Reuters）引用俄羅斯國家通訊監管機構Roskomnadzor的說法指出，FaceTime被鎖定的理由是它被用來進行犯罪行動，包括恐怖攻擊、招募同謀，以及詐騙等；塔斯社（ТАСС，俄羅斯國家通訊社）的報導指出，這兩天Roskomnadzor不只限制FaceTime的使用，也封鎖了SnapChat，理由一樣是SnapChat被用來組織犯罪行動。</p> <p>近年來俄羅斯政府經常使用限制或封鎖等手段來向各種平臺施壓，以要求平臺配合審查或資料共享。最常見的形式是部分功能被削弱、被降速、被局部封閉，不過，某種程度還能使用。例如WhatsApp仍可傳送文字，但國際通話受限；或是減少頻寬以讓平臺變慢，而這次不同的是，該國政府已採取完全封鎖的做法。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/clayrat-android-spyware-variant-device-control/">安卓間諜軟體ClayRat出現變種，具備完全控制裝置的能力</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/china-apt-unc5174-hijacks-discord-api-as-covert-c2-channel-to-evade-detection-and-conduct-espionage/">中國駭客UNC5174挾持Discord的API，目的是充當C2通訊管道以迴避偵測</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ncscs-proactive-notifications-warns-orgs-of-flaws-in-exposed-devices/">英國國家網路安全中心推出主動通報服務，對企業組織曝險的裝置提出警告</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/portugal-updates-cybercrime-law-to-exempt-security-researchers/">葡萄牙修正《網路犯罪法》，明定資安研究員在特定條件下不受處罰</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172655"><strong>【12月5日】React滿分資安漏洞已有多組中國駭客加入利用行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172644"><strong>【12月4日】華碩傳出供應商遭駭，外流手機相機軟體開發資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172600"><strong>【12月3日】蠕蟲攻擊活動Shai-Hulud 2.0、GlassWorm鎖定開發環境而來</strong></a></p> </div></div></div>
2025/12/8 17:24作者周峻佑https://www.ithome.com.tw/news/172708
美國匿名電信服務Phreeli上線了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>號稱是全球首個以隱私為優先的匿名電信服務Phreeli，<a href="https://www.businesswire.com/news/home/20251204839897/en/Meet-Phreeli-The-Privacy-by-Design-Mobile-Carrier-You-Can-Trust）" target="_blank">上周四（12/4）於美國正式上線了</a>，使用者只需要提供郵遞區號就能啟用服務，採用雙盲式加密架構Double-Blind Armadillo以隔離用戶身分及通訊行為，且強調絕不銷售通話資料。</p> <p>Phreeli的創辦人暨執行長為長期對抗政府監控的Nicholas Merrill。2004年，Merrill所經營的網路服務收到FBI發出的信函，要求交出用戶資料並附帶封口令，Merrill拒絕配合，也提出了訴訟，同時在2010年創立了Calyx Institute，以打造去追蹤版的Android作業系統CalxyOS，推出零紀綠VPN，以及支援Tor節點服務，並於2013年獲得勝訴。</p> <p><a href="https://www.wired.com/story/new-anonymous-phone-carrier-sign-up-with-nothing-but-a-zip-code/" target="_blank">根據Wired報導</a>，Phreeli屬於行動虛擬網路業者（Mobile Virtual Network Operator，MVNO），自己並不擁有基地臺或實體電信網路，而是向T-Mobile租用網路來提供門號。</p> <p>而Phreeli採用的<a href="https://www.phreeli.com/blog/DoubleBlindArmadillo" target="_blank">Double-Blind Armadillo</a>為一全新的隱私架構與加密協議，有別於多數電信系統是將識別資訊、支付方式及電話號碼等資訊儲存在同一個資料庫中，Double-Blind Armadillo隔離了上述3種元件，這些元件只能透過精心控制的管道通訊，支付服務永遠不會知道哪個電話號碼屬於某個人，電話服務也永遠不會知道號碼主人的姓名，以實現「不可連結」的隱私屬性。</p> <p>Phreeli也支援以金融卡、信用卡或加密貨幣支付，所有的方案都無需綁約，<a href="https://www.phreeli.com/plans" target="_blank">入門方案</a>的月租費為25美元，可無限通話及簡訊，但免費上網流量只有2GB。SIM卡可選擇實體寄送，地址會在寄出後立即刪除，也能直接下載eSIM，或是透過Tor網路取得。</p> <p>Merrill表示，他企圖從源頭解決隱私問題，使用者若不提供資料，資料就不會遺失或被出售，消費者理應享受尊重其隱私的行動服務，Phreeli並非只是另一個無線方案，而是賦予使用者數位獨立性且免於被追蹤。</p> <p>對於外界擔憂匿名電話會被用來進行犯罪行為，Merrill向Wired坦承，任何匿名工具都可能會被濫用，Phreeli將會限制通話及簡訊發送量，也會封鎖濫用者，以防止詐騙與垃圾訊息，不應為了0.1%的犯罪行為而讓社會走向監控。</p> </div></div></div>
2025/12/8 11:26作者陳曉莉https://www.ithome.com.tw/news/172679
Google發布Chrome 143，修補V8引擎高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月2日正式發布的<a href="https://chromereleases.googleblog.com/2025/12/stable-channel-update-for-desktop.html" target="_blank">Chrome 143</a>版本，Google修補13項由外部研究人員通報的資安漏洞，影響Chrome多個核心元件。</p> <p>此次更新涵蓋Windows/macOS（143.0.7499.40/41），Linux（143.0.7499.40），Android（<a href="https://chromereleases.googleblog.com/2025/12/chrome-for-android-update.html" target="_blank">143.0.7499.52</a>），以及iOS（<a href="https://chromereleases.googleblog.com/2025/12/chrome-stable-for-ios-update.html" target="_blank">143.0.7499.92</a>）版本。</p> <p>根據Google官方公告，本次更新修補4項高風險漏洞，分別是：V8 JavaScript/WebAssembly引擎的類型混淆漏洞（CVE-2025-13630），Google Updater的不當實作漏洞（CVE-2025-13631）、DevTools的不當實作漏洞（CVE-2025-13632），以及Digital Credentials元件的使用後釋放漏洞（CVE-2025-13633），除了CVE-2025-13632，其他三個高風險漏洞的CVSS風險分數均為8.8分。另外也修補3項中度風險漏洞，涉及Downloads、Loader與V8引擎。</p> <p>Google也對通報漏洞的外部研究人員提供獎勵，針對V8高風險漏洞（CVE-2025-13630）頒發11,000美元獎金，Google Updater高風險漏洞（CVE-2025-13631）獎金為3,000美元。</p> <p>Google宣稱修補當下並未發現漏洞遭到利用，但考量Chrome長期為攻擊者鎖定的入侵管道，建議使用者透過瀏覽器內建的「設定→關於Google Chrome」檢查更新，企業則建議使用集中部署工具加快更新時程，避免修補空窗期遭攻擊者利用。</p> </div></div></div>
2025/12/8 10:41作者王珮瑤https://www.ithome.com.tw/news/172674
Google發布12月安卓例行更新，修補2項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>12月1日Google<strong><a href="https://source.android.com/docs/security/bulletin/2025-12-01">發布本月安卓例行更新</a></strong>，總共修補107個漏洞，其中較為受到關注的部分，是兩個被用於攻擊行動的零時差漏洞。</p> <p>這兩個漏洞是CVE-2025-48572與CVE-2025-48633，其中，CVE-2025-48572出現在系統框架，為高風險層級的權限提升漏洞（EoP），影響13至16版安卓作業系統；另一個漏洞CVE-2025-48633，也是位於系統框架的高風險漏洞，可被用於資訊洩露（Information Disclosure，ID），同樣影響安卓作業系統13至16版。</p> <p>雖然Google並未說明漏洞其他細節，也沒有提及攻擊者如何利用，但他們提及已掌握遭到利用的跡象，疑為鎖定少數人士的目標式攻擊。過往類似的資安漏洞，往往用於間諜軟體活動，或是國家級駭客針對特定人士的漏洞利用活動。</p> <p>附帶一提，根據漏洞的危險程度，本次Google修補7個重大層級的漏洞，其中1個為系統框架的阻斷服務（DoS）漏洞、4個為位於Linux核心的權限提升漏洞，另有2個為高通元件弱點。</p> </div></div></div>
2025/12/3 10:44作者周峻佑https://www.ithome.com.tw/news/172588
印度政府要求智慧型手機製造商要預裝當地安全程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.reuters.com/sustainability/boards-policy-regulation/india-orders-mobile-phones-preloaded-with-government-app-ensure-cyber-safety-2025-12-01/" target="_blank">路透社</a>（Reuters）及<a href="https://indianexpress.com/article/business/centre-smartphone-makers-preinstall-cybersecurity-app-sanchar-saath-10395899/" target="_blank">The Indian Express</a>周一（12/1）報導，在印度政府的一項命令下，印度電信部已私下要求智慧型手機製造商要在所有的新手機上，預裝由印度政府所開發的安全程式Sanchar Saathi，包括蘋果、小米、三星、Oppo及vivo等於當地銷售的各種品牌。</p> <p>路透社所看到的命令是在11月28日頒布，要求智慧型手機製造商要在90天內預裝Sanchar Saathi於新手機上，之後也必須透過軟體更新將Sanchar Saathi推送至舊裝置上，而且不許消費者刪除該程式。</p> <p>Sanchar Saathi是由印度電信部所開發的安全程式，初期只有網頁版，在2025年1月釋出Android及iOS版，估計已有超過500萬次的下載。它能驗證手機真偽，並透過檢查IMEI來判斷手機是否被列入黑名單；也能封鎖與追蹤遺失及遭竊手機；查看以自己名義註冊的所有行動電話、SIM卡與電信服務；還能用來舉報詐騙電話。</p> <p>The Indian Express引用一名印度政府官員表示，此一命令是「強化網路安全及反垃圾郵件措施」的一環，上周印度電信部也規定WhatsApp、Signal與Telegram等應用程式，必須要求使用者以註冊時所綁定的SIM卡才能登入及使用，不允許跨裝置或無SIM卡使用。</p> <p>新的命令預計將引起手機業者的反彈，特別是蘋果。蘋果不僅反對任何政府要求預裝程式的作法，<a href="https://www.reuters.com/article/world/rift-deepens-between-apple-indias-telecom-regulator-over-anti-spam-app-idUSKBN1H40GN/" target="_blank">在2018年時也曾為了隱私議題與印度政府產生衝突</a>，當時該國政府正在推廣反垃圾通訊程式Do Not Disturb，要求手機應支援該程式的垃圾簡訊及騷擾電話回報功能，但蘋果拒絕讓該程式讀取用戶的通話及簡訊，最終雙方皆讓步，蘋果推出新的垃圾通訊回報API、印度根據蘋果的隱私規範重寫程式而落幕。</p> <p>迄今不管是印度官方或是手機業者皆尚未正式回應此事。</p> </div></div></div>
2025/12/2 09:28作者陳曉莉https://www.ithome.com.tw/news/172563
【資安日報】11月28日，開發人員不慎在程式碼編排平臺曝露企業組織的機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172520"><strong style="font-size: 22px;">程式碼編排服務JSON Formatter和CodeBeautify被上傳大量機敏資訊，已有歹徒爬梳相關資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RecentLinks-15.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RecentLinks-15.png" style="width: 300px; float: right;" /></a></p> <p>過往開發人員在程式碼裡，不慎洩露企業組織開發環境或是內部系統的憑證、權杖（Token），以及帳密資料的情況，資安業者多半在GitHub、GitLab，以及Bitbucket等程式碼儲存庫發現這些問題，然而，提供程式碼重新編排的服務，也出現類似的情形。</p> <p>資安業者watchTowr指出，他們在線上程式碼編排及美化（Beautify、Formatter）服務平臺JSON Formatter和CodeBeautify，發現近期共用程式碼連結（Recent Links）暫存的程式碼裡，曝露了大量的機密資料，而能被任何人隨意取用，影響範圍涵蓋國家關鍵基礎設施、政府機關、金融保險與銀行、科技、資安、零售、航太、電信、醫療照護、教育，以及旅遊等產業。值得留意的是，watchTowr發現，有人已在專門爬梳相關內容，並挖掘及濫用其中的憑證與權杖資料。</p> <p>其中，這類平臺提供的暫存服務，會將使用者輸入的內容存放於雲端，以便分享給別人。然而，watchTowr發現，這種存檔機制不僅採用直覺、常見的網址格式，容易被猜出，還透過近期共享的程式碼片段連結（Recent Links）頁面，讓更多人能夠參考使用者儲存的內容。換言之，當使用者按下網頁上的儲存按鈕，實際上就公開了他們編排的程式碼內容，若是當中含有機密資料，也會隨之曝光。</p> <p><a href="https://www.ithome.com.tw/news/172518"><strong style="font-size: 22px;">Mixpanel遭駭殃及OpenAI API用戶</strong></a></p> <p>資料分析業者Mixpanel本月遭到駭客入侵，導致部分OpenAI API用戶的帳號資訊外洩。OpenAI已於系統中移除了Mixpanel，也終止使用該服務，並開始通知受影響的用戶。</p> <p>事情的揭露，源自Mixpanel周四（11/27）的聲明，該公司是在11月8日偵測到釣魚簡訊攻擊，並快速啟動事件回應流程，包括保護受影響帳號，撤銷所有活躍會話及登入紀錄，輪替受影響帳號的被盜Mixpanel憑證，封鎖惡意IP位址，在自家SIEM平臺上登錄了IOCs，重置所有Mixpanel員工的全球密碼，聘請第三方安全公司，鑑識受影響帳號的身分、會話及匯出日誌，以及實施了額外的控制措施等，並已聯繫所有受到影響的客戶。</p> <p>儘管Mixpanel並未公布受到波及的客戶名單，但OpenAI同一天發表聲明，指出駭客存取了Mixpanel的部分系統，並匯出了一個包含有限客戶身分資料及分析資訊的資料集，OpenAI API用戶的資料可能會出現在該資料集中，如果有的話僅限於該API帳號的名稱，電子郵件位址，根據用戶瀏覽器所提供的大概位置，用於存取該帳號的作業系統及瀏覽器資訊，推薦網站，以及與該API帳號有關的組織或使用者ID。</p> <p><a href="https://www.ithome.com.tw/news/172516"><strong style="font-size: 22px;">針對近期修補的Firefox高風險漏洞，近半年版本皆曝險，恐影響全球1.8億用戶</strong></a></p> <p>利用AI技術進行自動化漏洞分析的資安業者Aisle本周揭露，該公司在Firefox的WebAssembly引擎中發現一個堆疊緩衝區溢位漏洞CVE-2025-13016，該漏洞是因為程式碼裡有一行指標計算錯誤，而讓駭客得以在特定情況下執行任意程式碼，影響全球逾1.8億Firefox用戶。</p> <p>研究人員指出，Mozilla在2025年4月加入這段含有漏洞的程式碼，並同時加入一個用來驗證其行為的回歸測試（Regression Test），但仍未能偵測出問題，直到2025年10月才被Aisle的自主分析器發現。</p> <p>該漏洞影響所有支援WebAssembly GC的Firefox平臺，包括Windows、macOS、Linux與Android，涵蓋Firefox 143到145初期版本以及ESR 140.0至140.4。Aisle於10月2日通報，Mozilla在14天內便完成修補。Aisle宣稱Mozilla為此支付了「可觀」（Substantial）的漏洞獎金，但未透露實際金額。</p> <p><a href="https://www.ithome.com.tw/news/172506"><strong style="font-size: 22px;">Nvidia的機器人生成模型Isaac-GR00T存在漏洞，可被惡意操控機器人</strong></a></p> <p>Nvidia上周修補了旗下機器人生成模型Isaac-GR00T中的兩個安全漏洞，分別為CVE-2025-33183與CVE-2025-33184。這兩項漏洞皆存在於Isaac-GR00T的Python元件中，允許駭客注入惡意程式碼，進而操縱機器人的行為。</p> <p>Nvidia在今年5月正式發表Isaac-GR00T，定位為一組機器人生成式基礎模型家族，可讓機器人學會行為、操作物體、規畫動作與執行控制。它支援零樣本任務學習、模仿學習與運動控制，並可搭配多種模擬環境，方便開發者將模型部署到機器人手臂、自主移動機器人（AMR）或小型家用機器人等設備之上。</p> <p>CVE-2025-33183與CVE-2025-33184皆屬於Python元件的程式碼注入漏洞，成功利用後可能導致程式碼執行、權限擴張、資訊外洩或資料篡改。這意味著駭客能執行任意指令，修改機器人的行為邏輯、關閉安全限制、竄改模型輸入/輸出，甚至直接控制機器人動作。</p> <p><a href="https://www.ithome.com.tw/news/172507"><strong style="font-size: 22px;">Azure Local成為主權私有雲核心，微軟同步擴充SAN、GPU與大規模部署能力</strong></a></p> <p>微軟對主權雲進行多項更新，並明確將Azure Local定位為主權私有雲（Sovereign Private Cloud）的核心基礎設施，開放更大規模叢集部署，並加入外接儲存區域網路（Storage Area Network，SAN）與Nvidia Blackwell架構GPU等能力，鎖定政府與受高度監管產業。</p> <p>過去Azure Local單一叢集最多支援16臺實體伺服器，在更新後可擴展至超過100個節點，運算核心數可達上萬，並以多個整合機架搭配分離式儲存形式提供。整體由Azure Arc控制平面透過Azure入口網站集中管理與監控，讓需要大規模本地部署的組織，在主權私有雲情境下延續與公有雲相同的管理體驗。</p> <p>Azure Local在基礎設施與安全機制上也同步補強，包含新增具機架感知（Rack-aware）的叢集預覽功能與Network Security Group，一方面提升多機架部署的容錯能力，一方面提供一致的網路存取控制模型。</p> <p><a href="https://www.ithome.com.tw/news/172515"><strong style="font-size: 22px;">國泰金控如何從軟體供應鏈安全邁向開源治理，開源戰略鐵三角做法大公開</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/大開源1-開源平台架構-圖片來源-國泰金控.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E9%96%8B%E6%BA%901-%E9%96%8B%E6%BA%90%E5%B9%B3%E5%8F%B0%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpeg" style="width: 300px; float: right;" /></a>國泰金控發展了一套開源套件管理平臺，要用系統化的方式，來實現開源軟體的軟體供應鏈安全管理。鄭正略進一步說明，這套平臺包括了四個部分，套件來源、SBOM表產生、集中式管理的SBOM Hub和AI解決方案。</p> <p>這個開源套件管理平臺可以掃描國泰所用的各項開源套件，套件來源包括了各種Docker映像檔，Java、.NET、Python等開發語言的套件等，掃描了套件組成後，結合CI/CD流程，可以自動產生軟體物料清單，國泰選擇用OWASP基金會的CycloneDX格式來紀錄。包括內部自行開發的軟體，或是第三方供應商提供的軟體的SBOM，最後都會儲存到平臺上的SBOM Hub，進行集中管理和版本控管，確保資訊可以追蹤。</p> <p>套件管理平臺也整合了常見的漏洞資料庫，如CVE、NVD或歐盟EUVD等，來分析SBOM中的組件，是否存在已知的漏洞。還會進一步分析這些SBOM中的軟體授權資訊，協助管理開源軟體的授權合規性。最後，則可以運用一些AI解決方案，來進行異常告警、資安洞察和分析，像是讓AI根據漏洞影響範圍的嚴重性、組件的使用頻率和企業特定環境等因素，自動排列出漏洞修補的優先順序，並提供修補建議。</p> <p><a href="https://www.ithome.com.tw/news/172514"><strong style="font-size: 22px;">【新聞回顧】Salesforce與Gainsight遭到非法存取，疑似勒索軟體團體ShinyHunters發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Salesforce Advisory3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Salesforce%20Advisory3.jpg" style="width: 300px; float: right;" /></a>11月20日多家資安媒體報導Salesforce突然發布公告，警告用戶連接Salesforce的應用系統Gainsight出現異常活動。Gainsight是專攻客戶成功平臺（Customer Success Platform）的供應商，根據Salesforce的調查顯示，有人經由這套系統非法存取用戶的Salesforce資料，似乎與此系統的外部連線存取Salesforce有關。</p> <p>關於受害者數量與攻擊者身分，目前多家科技與資安媒體引述Google威脅情報小組（GTIG）首席分析師Austin Larsen的說法，他表示，已知超過兩百個Salesforce用戶執行個體（instances）受到影響，可能的攻擊者是ShinyHunters（UNC6240），該團體與先前攻擊Salesforce執行個體（Salesloft Drift供應鏈攻擊）的組織有關，如UNC6040。事實上，這次傳出遭到非法存取的Gainsight，也在自家網站公告他們是Salesloft Drift供應鏈攻擊的受害者。</p> <p>第二個與攻擊者身分有關的消息，來自專攻資料外洩事件消息揭露的部落格DataBreaches.Net。11月20日該站發文指出，聯繫ShinyHunters之後，對方的發言人承認這起活動是他們所為，並表示這可能是同一團體對Salesforce發起的第三波大規模攻擊，暗示接下來可能還有下一波攻勢，並揚言Salesforce若不就範，打算成立另一個專屬的資料外洩公告網站，該站將涵蓋Salesloft與Gainsight攻擊活動所竊取的資料，受害組織總數逼近1千家，但站上主要列出的對象是財星500大企業，或其他ShinyHunters認為有利可圖的企業。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安事故</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/multiple-london-councils-it-systems-disrupted-by-cyberattack/">倫敦多個法院遭遇網路攻擊，IT系統服務面臨中斷</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/bloody-wolf-expands-java-based.html">吉爾吉斯與烏茲別克遭鎖定，歹徒試圖散布NetSupport RAT控制受害電腦</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/172376">資安力量匯聚南臺灣《CYBERDAY 2025資安產業日》 11月28日將於臺南沙崙資安服務基地舉行</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/167622">中華資安推出高性價比「資安眼」服務，讓企業輕易做好外部曝險管理</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172512"><strong>【11月27日】新型態網釣手法JackFix假借Windows更新為幌子，企圖散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172487"><strong>【11月26日】開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> </div></div></div>
2025/11/28 13:40作者周峻佑https://www.ithome.com.tw/news/172521
資安業者Aisle揭露Firefox中藏匿6個月的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>利用AI技術進行自動化漏洞分析的資安業者Aisle本周揭露，<a href="https://aisle.com/blog/a-high-severity-webassembly-boundary-condition-vulnerability-in-firefox-cve-2025-13016" target="_blank">該公司在Firefox的WebAssembly引擎中發現一個堆疊緩衝區溢位漏洞CVE-2025-13016</a>，該漏洞是因為程式碼裡有一行指標計算錯誤，而讓駭客得以在特定情況下執行任意程式碼，影響全球逾1.8億Firefox用戶。</p> <p>研究人員指出，Mozilla在2025年4月加入這段含有漏洞的程式碼，並同時加入一個用來驗證其行為的回歸測試（Regression Test），但仍未能偵測出問題，直到2025年10月才被Aisle的自主分析器發現。</p> <p>WebAssembly是一種讓瀏覽器可執行高效能程式的技術，而WebAssembly引擎則負責運行這些程式。此次漏洞正位於引擎內一段用於將WebAssembly陣列資料複製到暫存區的C++程式碼，因指標運算錯誤造成複製範圍誤算，導致資料寫出邊界並形成堆疊緩衝區溢位。CVE-2025-13016的CVSS風險等級為7.5。</p> <p>該漏洞影響所有支援WebAssembly GC的Firefox平臺，包括Windows、macOS、Linux與Android，涵蓋Firefox 143到145初期版本以及ESR 140.0至140.4。</p> <p>此次漏洞雖發生在Firefox本身，但各大Linux發行版都在官方軟體庫提供Firefox套件，因此在漏洞公開後，主要Linux系統皆迅速推出修補更新，包括Ubuntu、Debian、Fedora、Arch Linux與紅帽企業版Linux等，以確保使用者能自動取得安全版本。</p> <p>Aisle於10月2日向Mozilla通報該漏洞，而Mozilla在14天內便完成修補。Aisle並表示Mozilla為此支付了「可觀」（Substantial）的漏洞獎金，但未透露實際金額。</p> </div></div></div>
2025/11/28 08:29作者陳曉莉https://www.ithome.com.tw/news/172516
【資安日報】11月26日，開源輕量級遙測工具Fluent Bit存在一系列可被串連的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172484"><strong style="font-size: 22px;">開源輕量級遙測工具Fluent Bit存在一系列漏洞，攻擊者恐串連並接管雲端基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/69242352e40fa95666fb925c_Screenshot 2025-11-24 at 11_15_24 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/69242352e40fa95666fb925c_Screenshot%202025-11-24%20at%2011_15_24%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Oligo Security公布輕量級遙測代理程式Fluent Bit一系列漏洞，並指出這些漏洞若不處理，攻擊者有機會串連起來，用於接管雲端基礎設施。</p> <p>這些漏洞被登記為CVE-2025-12969、CVE-2025-12970、CVE-2025-12972、CVE-2025-12977，以及CVE-2025-12978，CVSS風險評分介於5.3至9.1，攻擊者有機會用來繞過身分驗證、進行路徑遍歷活動、遠端執行任意程式碼（RCE）、造成服務中斷（DoS），以及操弄標籤（Tag），從而中斷雲端服務、竄改資料，以及深入存取雲端環境與Kubernetes基礎設施，同時，他們也能一併接管事件記錄服務。值得留意的是，其中的CVE-2025-12972存在超過8年，代表這段期間推出的Fluent Bit，都存在相同的資安弱點。</p> <p>對此，Oligo Security與AWS進行合作，並透過Fluent Bit專案，於10月8日發布更新版本4.1.1修補。Oligo Security也確認11月12日發布的4.2版，以及10月12日推出的4.0.12版，修補了相同的漏洞。不過，Google Cloud與微軟Azure並未發布相關公告。</p> <p><a href="https://www.ithome.com.tw/news/172478"><strong style="font-size: 22px;">身分驗證管理平臺Oracle Identity Manager重大漏洞傳出在修補前疑似遭到利用</strong></a></p> <p>今年10月，Oracle在2025年第三季例行更新（Critical Patch Update）當中，修補重大層級的CVE-2025-61757，此弱點出現在身分管理工具Oracle Identity Manager，為預先授權造成的遠端程式碼執行（RCE）漏洞，CVSS風險評分達到9.8分（滿分10分），近期有研究人員表示，該漏洞疑似在Oracle修補前已遭利用。由於先前公布的E-Business Suite（EBS）資安漏洞CVE-2025-61882、CVE-2025-61884，已出現許多災情，這樣的消息也格外引起資安圈高度關注。</p> <p>11月20日，通報此事的資安業者Searchlight Cyber發布部落格文章公布漏洞細節，並指出與年初Oracle Cloud遭到入侵的事故有關，由於該雲端服務同時執行Oracle Access Manager與Oracle Identity Manager，Searchlight Cyber發現新漏洞CVE-2025-61757也能用於入侵Oracle Cloud。此外，相較於Oracle Access Manager先前被利用的漏洞，CVE-2025-61757複雜程度較低，容易遭到利用。</p> <p>同日SANS發布另一篇部落格文章，指出Searchlight Cyber找到的漏洞，在Oracle於10月21日發布修補程式之前，疑似就遭到利用。他們在8月30日至9月9日，看到有人試圖利用，攻擊者透過3個IP位址發動攻擊，由於所有的使用者字串（User Agent）都相同，因此SANS認為，可能是同個攻擊者所為。</p> <p><a href="https://www.ithome.com.tw/news/172475"><strong style="font-size: 22px;">大規模掃描鎖定Palo Alto Networks旗下SSL VPN平臺而來，5天出現230萬次活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/5A4nu0Efh1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/5A4nu0Efh1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者GreyNoise近日提出警告，Palo Alto Networks旗下的SSL VPN平臺GlobalProtect疑似遭鎖定，自11月14日出現掃描活動急劇增加的情況，在一天內爆增40倍，創下近3個月的新高，他們在14至19日，偵測到230萬次針對GlobalProtect登入網頁的URI連線。這些攻擊流量有62%來自德國，另有15%來自加拿大，攻擊範圍涵蓋美國、墨西哥，以及巴基斯坦。</p> <p>值得留意的是，GreyNoise根據攻擊者的特徵（指紋）、基礎設施，以及時間相關性等證據，指出先前發動相關攻擊的駭客組織，似乎也參與這次的大規模掃描活動。</p> <p>針對這樣的情況，我們也透過公關公司詢問Palo Alto Networks，該公司今天表示，確保客戶安全始終是首要任務。此次通報的掃描行為，不構成對該公司環境的威脅或入侵。由此看來，Palo Alto Networks並未否認GreyNoise發現大規模掃描的活動，代表IT人員仍要提高警覺，嚴加防範攻擊者試圖尋找下手目標的現象。</p> <p><a href="https://www.ithome.com.tw/news/172275"><strong style="font-size: 22px;">攻擊手法EchoGram可翻轉AI模型防護，危及大型語言模型輸出安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EchoGram_Diagram.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EchoGram_Diagram.jpg" style="width: 300px; float: right;" /></a></p> <p>AI資安業者HiddenLayer指出，該公司發現並命名了一項名為EchoGram的攻擊技術，可翻轉AI防護模型的判斷，進而危及大型語言模型的安全性。</p> <p>研究人員解釋，包括GPT-4、Claude與Gemini等主流大型語言模型的防護欄主要依賴兩種機制：一是文字分類模型，根據使用者輸入文字判斷是否含有惡意或違規內容；二是LLM-as-a-Judge，由另一個大型語言模型充當審查者，分析提示是否應被主模型執行。兩者雖設計不同，但訓練方式高度相似，皆仰賴良性與惡意提示的標註資料集。研究團隊正是利用此一共通弱點，設計出EchoGram，找出能混淆AI防護模型判斷的小字串，使模型誤判。</p> <p>EchoGram可導致兩種破壞性後果：一是攻擊防護系統，使惡意指令成功通過安全檢測；二是製造大量假警報，使安全團隊陷入誤報浪潮，進而削弱信任度。</p> <p><a href="https://www.ithome.com.tw/news/172267"><strong style="font-size: 22px;">蘋果宣布推出數位ID，未來出示iPhone即可在美國國內機場進行身分驗證</strong></a></p> <p>蘋果宣布正式推出數位ID（Digital ID），可讓使用者在Apple Wallet建立數位化護照，未來出示iPhone和Apple Watch，就能用於美國國內航班身分驗證。</p> <p>數位ID未來會先以Beta版推出，將為美國250多個機場的美國運輸安全管理署（Transportation Security Administration，TSA）的驗照點接受，用作美國國內航班的身分驗證。蘋果預告，未來也會增加數位ID的使用情境。</p> <p>蘋果是在今年6月公布iOS 26、macOS Taohe 26，以及watchOS 26時，首度介紹數位ID。這項技術是實作REAL ID標準，和蘋果之前宣佈的Apple Wallet身分證件（如駕照、州身分證）技術（稱為ID in Wallet）一樣，是利用iPhone及Apple Watch內建的隱私與安全功能建置而成。</p> <p><a href="https://www.ithome.com.tw/news/172203"><strong style="font-size: 22px;">Google推出Private AI Compute，在雲端提供裝置端等級的隱私運算</strong></a></p> <p>Google推出了Private AI Compute，在雲端建立受保護的執行環境，使Gemini大型模型能在隔離環境中處理敏感資料，並維持與裝置端接近的隱私標準，如同蘋果Apple Intelligence所使用的Private Cloud Compute。</p> <p>Google解釋，AI正在變得更有用、更個人化，也更主動。它不再只是完成指令，而是能預先推測使用者的需求，在適當的時間給出個人化建議，或代替使用者處理任務。這種能力的提升，需要更進階的推理與大量運算，有時已超出裝置端所能負擔。這使得Google必須把推理放至雲端，但又不能將資料曝露給Google或工程師，Private AI Compute應運而生。</p> <p>Private AI Compute的核心目標是讓雲端大型Gemini模型能夠處理高度敏感的個人資料，但資料只屬於使用者，Google也無法存取；此外，雲端資料在被模型短暫推理之後就會立即銷毀。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安新聞</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-blender-model-files-deliver-stealc-infostealing-malware/">惡意Blender模型檔案上架3D模型市集，意圖散布竊資軟體StealC V2</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/jackfix-uses-fake-windows-update-pop.html">ClickFix網釣出現新變種JackFix，假借Windows更新名義引誘使用者上當</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/radzarat-spyware-hijack-android-devices/">間諜軟體Razda偽裝成檔案管理工具，意圖挾持安卓裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/prettier-extension-vscode-marketplace-anivia-stealer/">冒牌Prettier延伸套件現身VS Code市集，對開發人員散布竊資軟體Anivia Stealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/palo-alto-networks-to-acquire-observability-platform-chronosphere-in-3-35-billion-deal/">Palo Alto Networks斥資33.5億美元，宣布買下監測平臺供應商Chronosphere</a></strong></p> <h3> </h3> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172464"><strong>【11月25日】中國駭客加入利用WSUS重大漏洞的行列</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172444"><strong>【11月24日】Salesforce用戶再傳遭供應鏈攻擊，駭客鎖定外掛Gainsight而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172398"><strong>【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</strong></a></p> </div></div></div>
2025/11/26 17:43作者周峻佑https://www.ithome.com.tw/news/172487
【資安週報】1117~1121，電信業提供「小烏龜」已屆EoL，卻未主動幫用戶更換，邊緣裝置產品資安風險成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>回顧2025年11月第三星期的資安新聞，有3起重大消息都與邊緣裝置的產品安全有關，成為大家高度關注的警訊。</p> <p>（一）趨勢科技資深威脅研究員游照臨過去一年來持續揭露「小烏龜」的漏洞問題，最近我們深入專訪了解多項議題，包括：<br /> ●揭露中華電信配發數據機早已達終止生命週期（EoL）的現況，未主動幫使用者更換，若被關鍵基礎設施採用風險極高。事件曝光近一年仍有8千多臺未汰換。<br /> ●指出有漏洞的數據機成為詐騙集團的間接幫兇，像是網路盜刷會利用住宅IP位址隱匿蹤跡，也會利用持卡人附近IP位址盜刷，規避銀行與防詐系統判斷。<br /> ●探討廠商對EoL設備拒絕提供修補程式的議題，指出這類長期結構性問題，呼籲政府、監管單位與產業界檢討採購條款，要求供應商負起持續的韌體安全責任。<br /> （二）資安業者SecurityScorecard揭露中國駭客鎖定華碩WRT系列路由器的Operation WrtHug攻擊行動。該公司與華碩聯手調查後發現，駭客半年內已入侵超過5萬臺裝置，目的是架設ORB網路來隱匿攻擊來源；臺灣可能有1.5萬至2.5萬臺裝置受影響。<br /> （三）資安業者ESET揭露中國駭客PlushDaemon最新攻擊活動，是入侵路由器竄改DNS組態，從而讓受害者電腦自攻擊者的伺服器下載包含惡意的更新。</p> <p>在資安事件方面，引發外界極大關注的是中國資安業者「知道創宇」11月資料外洩，駭客聲稱竊得1.2萬份機密資料，特別是研究人員NetAskari指出，其內容暴露了該公司打造駭客工具，並為中國政府進行情報收集的現象，且其攻擊目標名單涵蓋臺灣、日本、越南等20多個國家。</p> <p>至於其他重要資安事故，包含2起發生於臺灣上市櫃公司的事故，以及一宗來自國際廠商羅技的揭露，我們整理如下：<br /> ●上市紡織業東和發布重訊，說明部分資訊系統遭受駭客網路攻擊。<br /> ●上櫃SI業者中菲電腦發布重訊，說明發生網路資安事件。<br /> ●羅技於瑞士證券交易所及自家網站公告發生資料外洩事件，外界推測也是Oracle EBS零時差漏洞攻擊的受害者。<br /> ●微軟Azure DDoS防護系統偵測緩解一波巨量DDoS攻擊，該公司指出其高峰流量達15.72 Tbps，並查出是Aisuru殭屍網路的攻擊。</p> <p>在最新漏洞利用方面，有3個重要消息，首先，攻擊者針對Fortinet FortiWeb發動零時差漏洞攻擊，目標是CVE-2025-64446，特別的是，威脅情報公司Defused在10月初已揭露有新漏洞遭鎖定利用，多家資安業者指出這是同一個漏洞；其次，英國NHS警告，發現7-Zip漏洞CVE-2025-11001已有攻擊者開始鎖定利用；另外還有攻擊者鎖定Chrome發動零時差漏洞攻擊，目標是CVE-2025-13223。</p> <p>在防護動向上，國內有兩則重要消息公布，一是國安局抽測中國製生成式AI語言模型的結果出爐，包括DeepSeek、豆包、文心一言、通義千問，以及騰訊元寶，指出這些模型普遍存在資安風險，也有內容偏頗的情況，呼籲民眾在挑選AI工具時必須格外小心；另一是針對詐騙集團舉辦假投票活動的盜取帳號手法，LINE揭露從攻擊者角度設想，思考合法功能的濫用行為該如何防禦──繪製授權投票釣魚的運作流程圖，以找出最有效攔截點。</p> <p>產業間還有記憶體漏洞層出不窮的問題，Google揭露最新成果，指出Android在系統層大量採用Rust後，記憶體安全漏洞占比首次降到兩成以下。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172285"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月17日】Fortinet旗下WAF重大漏洞已出現攻擊活動</span></strong></a></h3> <p>基本上，駭客入侵企業內部環境的主要管道，其中之一就是可透過網際網路存取的應用系統，過往最常見的目標是郵件伺服器，但也有針對防火牆或其他網路設備下手的情況，而最近有專門針對網頁應用程式防火牆（WAF）漏洞CVE-2025-64446的攻擊行動，引起資安界高度關注，有多家資安業者調查此事並公布他們的發現。這起事故受到矚目的原因，主要很可能是因為歹徒針對WAF下手並不常見，然而這類系統若是遭駭，攻擊者不僅有機會入侵網頁應用程式，甚至進一步存取受害企業的內部環境。</p> <p>上個月被美國列入已遭利用的漏洞名單（KEV）的資安漏洞CVE-2025-24893，後續發展也受到矚目，資安業者VulnCheck警告，有多組人馬嘗試加入利用漏洞的行列，其中最值得留意的部分，是殭屍網路RondoDox企圖綁架XWiki伺服器。</p> <h3><a href="https://www.ithome.com.tw/news/172323"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</span></strong></a></h3> <p>駭客為了防範資安研究人員進行調查而東窗事發，令人訝異的是，竟然透過合法的資安雲端服務來過濾受害對象，只對一般的使用者下手，若非目標對象，就會顯示無害內容。最近在惡意NPM套件活動裡，攻擊者採用名為Adspect的合法服務來達到目的，這樣的手法不僅罕見，由於濫用合法服務，也使得被導向無害網站的研究人員不易察覺異狀。此外，為了避免有「漏網之魚」，他們也對被導向詐騙網站的受害者，停用瀏覽器的開發工具。</p> <p>近期散布惡意軟體的ClickFix網釣也相當值得留意，其中又以竊資軟體Amatera Stealer的活動非常特別，因為攻擊者在竊資軟體活動之外，還對於較有價值的攻擊目標，安排後續攻擊流程，透過NetSupport RAT進一步控制受害電腦。</p> <h3><a href="https://www.ithome.com.tw/news/172342"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</span></strong></a></h3> <p>今天有兩個已遭利用的零時差漏洞消息受到關注，其中與大多數使用者有關的是CVE-2025-13223，此漏洞影響Chrome與Chromium打造的電腦版瀏覽器，在Google發布Chrome 142.0.7444.175與142.0.7444.176版後，有多款瀏覽器已跟進，例如：<a href="https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security#november-18-2025"><strong>微軟發布142.0.3595.90版Edge</strong></a>、<a href="https://brave.com/latest/"><strong>Brave發布</strong></a>1.84.141版，以及<strong><a href="https://vivaldi.com/blog/desktop/minor-update-7-7/">Vivaldi也對推出不久的7.7版發布更新</a></strong>，修補這項零時差漏洞。其他瀏覽器的用戶近期也要留意相關公告，並及時套用更新。</p> <p>另一個遭到利用的零時差漏洞CVE-2025-58034，出現在網頁應用程式防火牆FortiWeb，由於不到一週前Fortinet才公布重大層級的CVE-2025-64446，究竟攻擊者如何利用CVE-2025-58034，是否將兩者串連？有待研究人員進一步揭露。</p> <h3><a href="https://www.ithome.com.tw/news/172369"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</span></strong></a></h3> <p>今天最受到國內關注的資安新聞，就屬華碩路由器遭來自中國的駭客綁架的事故，揭露此事的資安業者提及，受害路由器最多的地方就是臺灣，若依據比例換算影響規模，全臺可能有1.5萬至2.5萬臺Wi-Fi路由器遭駭，值得留意的是，歹徒利用的弱點，皆為華碩完成修補的已知漏洞，這代表許多使用者仍尚未套用相關更新，而讓歹徒有可乘之機。</p> <p>另一起也相當值得留意的消息，是對於中國駭客PlushDaemon最新的調查發現，有別於先前他們曾經直接針對軟體下手，這次是攻擊路由器設備，讓使用者在執行特定軟體的更新時，電腦逕自從攻擊者的伺服器下載惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/172398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月21日】中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊</span></strong></a></h3> <p>在昨天資安業者SecurityScorecard揭露<strong><a href="https://www.ithome.com.tw/news/172360">針對華碩路由器的大規模攻擊行動</a></strong>，且臺灣有至少1.5萬臺設備遭綁架的事故，今天又有專門針對臺灣的網路間諜活動消息傳出，再度引發關注。這個被命名為APT24的中國駭客組織，被資安廠商發現近3年的活動狀況，其中一個攻擊管道相當特別，一家臺灣數位行銷公司被當作據點，並藉此滲透下游客戶的網站，然後向使用者散布惡意軟體。</p> <p>國際局勢當中，伊朗駭客動作頻頻的現象，也成為今日的另一焦點，我們今天整理兩篇新聞，首先是APT42與UNC1549針對以色列國防產業與航太、航空機構的網路間諜活動，另一件新聞，則是關於Imperial Kitten與MuddyWater藉由網路攻擊協助定位導彈射擊目標的情況。</p> </div></div></div>
2025/11/24 13:39作者羅正漢https://www.ithome.com.tw/news/172429
Google否認以用戶Gmail內容訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>網路近日瘋傳Google利用Gmail內容訓練AI模型的說法，Google上周末否認。引起軒然大波的資安業者也澄清，此事是出於Google功能描述文字更新造成的誤解。</p> <p>Google的<a href="https://support.google.com/mail/answer/15604322?hl=en&co=GENIE.Platform%3DAndroid#zippy=%2Cwhat-are-googles-legal-bases-of-processing-for-users-in-the-european-economic-area-united-kingdom-or-switzerland%2Chow-long-is-your-workspace-content-activity-used-to-provide-smart-features-and-to-improve-these-features" target="_blank">智慧功能（Smart Features）</a>位於個人版Gmail/Chat/Meet以及Google Workspace與其他Google產品中，可提升使用體驗，例如Gmail的智慧草擬（Smart Compose）、把Gmail中的航班行程或邀請加入行事曆等、或者在Google Maps中顯示餐廳預約等。</p> <p>近日Google更新智慧功能的設定（setting）文字並拉到醒目之處，促使<a href="https://x.com/eevblog/status/1991293066175492297/photo/1" target="_blank">某些X使用者</a>及專業人士如資安公司<a href="https://www.malwarebytes.com/blog/news/2025/11/gmail-is-reading-your-emails-and-attachments-to-train-its-ai-unless-you-turn-it-off" target="_blank">MalwareBytes Labs</a>提出警告。他們以為Google最近變更Gmail智慧功能（smart features）的預設功能，由預設關閉改成啟用。若未調整，形同同意Gmail存取用戶所有私密訊息和附件來訓練AI模型。不希望私密訊息被拿去當訓練資料集的用戶，必須手動到「設定」選單中關閉「智慧功能」。</p> <p>但Google官方很快向<a href="https://www.theverge.com/news/826902/gmail-ai-training-data-opt-out" target="_blank">The Verge</a>等媒體否認此事。Google說這類報導誤導用戶，Google並未修改任何人的預設，且智慧功能多年前就有了，該公司從來沒有使用用戶的Gmail內容來訓練Gemini模型。</p> <p>MalwareBytes於11月22日<a href="https://www.malwarebytes.com/blog/news/2025/11/gmail-is-reading-your-emails-and-attachments-to-train-its-ai-unless-you-turn-it-off" target="_blank">發出更新版部落格承認</a>，Google的Gmail智慧功能文字及位置些許變更造成誤解，讓許多人（包括MalwareBytes）以為Gmail內容可能被用來訓練AI模型，且以為用戶被強迫加入（opt-in）同意。</p> <p>仔細研讀Google變更文字及其他報導後，MalwareByte Labs結論，Gmail的確有掃描用戶email內容是為了提供智慧功能，像是過濾垃圾郵件、分類、提供信件內容建議，但這些都是正常Gmail運作，和Google訓練生成式AI模型是兩回事。MalwareByte Labs解釋，Google關於「智慧功能」的描述太模糊，偏偏「智慧」這個詞容易被人聯想為人工智慧（AI），加上Google已經把Gemini整合進Google幾乎所有產品中，才造成大家的混淆。</p> <p>業者並澄清，Google仍然預設智慧功能為關閉，用戶必須自己opt-in才會啟動。</p> </div></div></div>
2025/11/24 09:35作者林妍溱https://www.ithome.com.tw/news/172408
【資安日報】11月21日，中國駭客APT24入侵臺灣一家數位行銷業者，藉此進行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在昨天資安業者SecurityScorecard揭露<strong><a href="https://www.ithome.com.tw/news/172360">針對華碩路由器的大規模攻擊行動</a></strong>，且臺灣有至少1.5萬臺設備遭綁架的事故，今天又有專門針對臺灣的網路間諜活動消息傳出，再度引發關注。這個被命名為APT24的中國駭客組織，被資安廠商發現近3年的活動狀況，其中一個攻擊管道相當特別，一家臺灣數位行銷公司被當作據點，並藉此滲透下游客戶的網站，然後向使用者散布惡意軟體。</p> <p>國際局勢當中，伊朗駭客動作頻頻的現象，也成為今日的另一焦點，我們今天整理兩篇新聞，首先是APT42與UNC1549針對以色列國防產業與航太、航空機構的網路間諜活動，另一件新聞，則是關於Imperial Kitten與MuddyWater藉由網路攻擊協助定位導彈射擊目標的情況。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172377"><strong style="font-size: 22px;">中國駭客APT24入侵臺灣數位行銷業者從事供應鏈攻擊，散布惡意程式BadAudio</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/watering-hole-apt24-fig4_max-1700x1700.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/watering-hole-apt24-fig4_max-1700x1700.jpg" style="width: 300px; float: right;" /></a></p> <p>Google威脅情報團隊（GTIG）追蹤中國駭客APT24的活動，自2022年開始，該組織透過多種管道，散布惡意程式BadAudio，這些管道包括：有策略地發動駭入網站的行動，以及魚叉式網路釣魚，值得留意的是，APT24已多次滲透特定臺灣數位行銷公司的供應鏈。</p> <p>針對這些駭客的活動，起初GTIG在2022年11月，看到逾20個網站遭入侵，攻擊者疑似隨機挑選目標下手，範圍涵蓋地區型產業及休閒用品等廣泛領域，對網站注入JavaScript惡意酬載，根據瀏覽網站的使用者特徵（指紋），挑選目標下手，專門針對Windows用戶，排除macOS、iOS，以及安卓作業系統。特別的是，他們排除了作業系統內建的IE與Edge，以及衍生的其他瀏覽器，這代表他們縮小範圍，試圖針對潛在具有高價值的目標而來。</p> <p>不過，在上述透過網站的策略之外，去年這些駭客也從事更具目標性的攻擊。GTIG在去年7月看到APT24從事供應鏈攻擊，入侵一家臺灣數位行銷公司，導致超過1千個網域受到波及，而且，這家公司去年多次被這些駭客重複入侵。APT24將惡意指令碼注入受害公司廣泛使用的JavaScript程式庫，並利用域名搶注（Typosquatting）的網域名稱，來冒充合法的CDN服務。</p> <p><a href="https://www.ithome.com.tw/news/172386"><strong style="font-size: 22px;">伊朗駭客APT42從事SpearSpecter攻擊活動，鎖定以色列國防機構與政府組織而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SpearSpecter-flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SpearSpecter-flow.png" style="width: 300px; float: right;" /></a></p> <p>以色列國家數位安全局（Israel National Digital Agency，INDA）本週提出警告，被稱為APT42、Mint Sandstorm，以及CharmingCypress的伊朗駭客組織，從事網路間諜活動SpearSpecter，他們鎖定具有高價值的國防與政府官員，假借邀請參加重要會議為由，透過假的會議網頁竊取帳密資料，為了進一步從事長期間諜活動，他們散布PowerShell後門TameCat，藉此對受害電腦進行遠端控制與收集資料。值得留意的是，他們也將目標人士的家族成員納入攻擊範圍，藉此對官員施壓。</p> <p>INDA指出，這些駭客並未使用大規模網釣的策略，而是花費數天至數週的時間與目標人士建立關係，為了讓受害者降低戒心，他們也會透過即時通訊軟體WhatsApp進行更為直接的互動。不僅如此，APT42會根據攻擊目標的價值與活動目的，來調整攻擊的策略。</p> <p>針對SpearSpecter的攻擊流程，通常APT42會藉由社群媒體與公開的資料，對目標人士進行廣泛的偵察，進而設計特定情境取信受害者，並冒充關係人士來互動，以建立信任關係。這些駭客多半會舉辦專屬會議來進行，甚至曾舉行實體會議，此外，他們還會運用WhatsApp增加信任。</p> <p><a href="https://www.ithome.com.tw/news/172394"><strong style="font-size: 22px;">伊朗駭客UNC1549鎖定航太與國防領域而來，透過第三方供應商及VDI環境從事供應鏈攻擊</strong></a></p> <p>資安業者Mandiant本週揭露伊朗駭客組織對中東地區的網路間諜活動，警告UNC1549的活動於去年中旬開始出現變化。這群駭客長年鎖定中東地區的國防、航太，以及航空產業，為了能夠取得受害企業組織的初始存取權限，現在他們採取雙重策略來達到目的，其中一種是利用精心設計的網釣活動，竊取憑證與散布惡意軟體；另一種是利用第三方供應商與合作夥伴的信任連線，做為發動攻擊的管道。</p> <p>Mandiant提及，對於國防承包商等資安成熟度較高的組織，他們通常投入大量資源進行防禦，不過，面對第三方供應商及合作夥伴之間的保護措施可能較為寬鬆，若是攻擊者事先入侵外部夥伴，往往能降低突破的資安防護的難度。</p> <p>UNC1549的活動最早可追溯到2023年底，通常會使用複雜的初始存取管道來接觸目標組織，除了從第三方關係組織取得存取管道，以及透過高針對性的網路釣魚，他們也會透過Citrix、VMware，以及Azure的虛擬桌面基礎架構（VDI），來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/172396"><strong style="font-size: 22px;">伊朗駭客入侵軍用船艦的自動識別平臺與監視器，意圖協助軍隊進行飛彈射擊</strong></a></p> <p>駭客對敵營從事網路攻擊，以此協助軍事行動的情況，在烏克蘭戰爭裡不時傳出，其中有許多是俄羅斯駭客從事這類活動，如今有大型雲端業者揭露新的調查結果，指出伊朗駭客試圖藉由入侵軍事系統，掌握海上與陸上的軍事行動。</p> <p>Amazon本週發布調查報告，揭露伊朗駭客Imperial Kitten與MuddyWater配合軍事行動的網路攻擊，其中，Imperial Kitten於2021年，成功入侵其中一艘軍用船隻的自動識別系統（Automatic Identification System，AIS），從而存取船隻的重要基礎設施，Amazon威脅情報團隊察覺此事，並與受害組織著手處理。</p> <p>得逞後，他們食髓知味，擴大對更多的船隻下手，並藉此存取其中一艘船上的監視鏡頭，從而掌握即時畫面的情報。到了去年1月底，駭客將目標集中在特定船艦的AIS系統，結果事隔數日，胡塞武裝部隊就對Imperial Kitten監控的特定船隻發射飛彈。雖然胡塞武裝部隊並未成功，但Amazon指出，顯然網路攻擊嚴重影響軍事行動的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/multi-threat-android-malware-sturnus-steals-signal-whatsapp-messages/">安卓惡意軟體Sturnus鎖定加密通訊軟體Signal、WhatsApp而來，意圖竊取對話內容</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/tsundere-botnet-expands-using-game.html">殭屍網路Tsundere以知名遊戲為誘餌，企圖綁架Windows電腦擴張版圖</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172392"><strong style="font-size: 22px;">ServiceNow Now Assist預設代理群組設計存在瑕疵，恐放大二階提示注入風險</strong></a></p> <p>雲端資安業者AppOmni研究人員指出，企業要是採用ServiceNow Now Assist AI代理的預設設定，讓多個代理在平臺內自動協作，即使啟用提示防護，仍可能遭二階提示注入攻擊，讓高權限代理在不知情下幫攻擊者執行未授權操作。研究強調，風險關鍵不僅在模型本身，更在代理探索與代理群組（Team）的設計，可能放大設定不當帶來的風險。</p> <p>要是提示內容進一步引導代理指派角色，可能出現替攻擊者加上Admin角色的情境，特別是在啟用SMTP時，代理甚至可能被誘導寄出含敏感資料的郵件成為外洩管道。風險上限取決於同一代理群組中代理具備哪些工具與權限，當查詢型與高權限操作混在一起時，影響範圍自然放大。</p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">AppOmni</span>回報研究結果，ServiceNow確認這屬於系統依設計運作的行為，並未將其視為程式漏洞，而是透過更新平臺文件，強調代理探索與代理群組設定可能帶來的安全風險，提醒使用者需透過正確組態降低風險。</p> <p><a href="https://www.ithome.com.tw/news/172294"><strong style="font-size: 22px;">AI推論框架存在ShadowMQ通訊漏洞，商用與開源多個推論引擎受影響</strong></a></p> <p>資安業者Oligo Security揭露，一系列影響人工智慧推論引擎的重大遠端程式碼執行漏洞，出現在Meta、Nvidia與微軟等業者使用的推論框架，以及vLLM、SGLang與Modular Max等開源專案，問題源頭被研究團隊統稱為ShadowMQ。這些框架多被用來支撐雲端LLM服務與企業內部人工智慧平臺，未更新修補，就有讓攻擊者在推論叢集上執行任意程式碼的風險。</p> <p>ShadowMQ並不是某一個單一產品的錯誤，研究人員指出，多個框架使用ZeroMQ進行節點間通訊時，採用Python的pickle模組從網路Socket直接反序列化收到的物件，像是透過recv_pyobj這類方便函式，一旦該Socket對外開放，而且沒有任何驗證機制，攻擊者只要能連上通訊埠，就可能送入特製資料，在反序列化過程中觸發任意程式碼執行。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-sonicwall-sonicos-flaw-allows-hackers-to-crash-firewalls/">SonicWall修補防火牆高風險SSL VPN漏洞，未經身分驗證攻擊者可造成服務中斷</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/d-link-warns-of-new-rce-flaws-in-end-of-life-dir-878-routers/">已終止支援的D-Link路由器DIR-878存在RCE漏洞，概念驗證程式碼已公開</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172369"><strong>【11月20日】華碩路由器成ORB網路的綁架目標，臺灣是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172342"><strong>【11月19日】瀏覽器V8引擎存在零時差漏洞，用戶應儘速更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172323"><strong>【11月18日】惡意NPM套件濫用雲端資安防護服務，意圖過濾資安研究員</strong></a></p> </div></div></div>
2025/11/21 18:06作者周峻佑https://www.ithome.com.tw/news/172398
Google更新Quick Share以與AirDrop互通，Android手機與iPhone可以互傳檔案了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google周四（11/20）<a href="https://blog.google/products/android/quick-share-airdrop/" target="_blank">更新了Android Quick Share</a>，以讓它能與蘋果的AirDrop互通，讓Android裝置與iPhone、iPad及Mac能夠互傳檔案。<a href="https://arstechnica.com/gadgets/2025/11/the-eu-made-apple-adopt-new-wi-fi-standards-and-now-android-can-support-airdrop/" target="_blank">Ars Technica則說</a>，這是因為歐盟的《數位市場法》（Digital Markets Act，DMA）要求蘋果放棄私有的AWDL（Apple Wireless Direct Link），改採開放的Wi-Fi Aware標準，才促成了這樁美事。</p> <p>Android Quick Share與AirDrop各是Google及蘋果裝置內建的近距離檔案分享功能，它們的概念相同，都是先利用藍牙來發現附近的裝置，再透過裝置對裝置（peer-to-peer）無線通訊技術Wi-Fi Direct來建立高速且加密的P2P連線，讓使用者可直接分享照片、影片、文件與網址，而不需連結網路。然而，僅管概念相同，兩者卻因底層所採用的協定不同而無法相通。</p> <p>根據Ars Technica的報導，蘋果是在歐盟的壓力下才自iOS 26/iPadOS 26開始，支援開放的Wi-Fi Aware。Wi-Fi Aware是由Wi-Fi聯盟（Wi-Fi Alliance）所制定的「近距離裝置發現與直接通訊」標準，它讓兩臺裝置不需要路由器、基地臺或事先配對，就能自動偵測彼此並建立點對點連線。</p> <p>總之，目前最新的Pixel 10系列，已可透過更新後的Quick Share與蘋果的AirDrop互傳檔案，但僅支援AirDrop的「開放所有人10分鐘」（Everyone for 10 minutes）模式（另外兩個模式為關閉及僅限聯絡人）。</p> <p>當Pixel 10、Pixel 10 Pro、Pixel 10 Pro XL或Pixel 10 Pro Fold用戶<a href="https://support.google.com/android/answer/9286773" target="_blank">在裝置上開啟Quick Share後</a>，系統會開始掃描附近的裝置；若這些iPhone、iPad或Mac已將AirDrop設為「開放所有人10分鐘」，它們就會出現在可分享清單中。使用者可選擇要傳送的檔案與目標裝置，並等待對方於AirDrop通知中按下「接受」即可完成傳輸。</p> <p>Google表示，Quick Share與AirDrop的互通以安全為核心打造，通訊層以記憶體安全語言Rust撰寫，避免常見的記憶體漏洞。整個功能遵循安全設計原則，經過威脅模型分析、內部安全審查與滲透測試，跨平臺傳輸以加密的點對點連線進行，不會經過伺服器或記錄內容，所有分享都需接收者同意。Google也委託NetSPI進行第三方驗證，確認無資訊外洩並具備高安全性。</p> </div></div></div>
2025/11/21 15:26作者陳曉莉https://www.ithome.com.tw/news/172391
xAI推出Grok 4.1公開評測資料，主打情感互動並提升查證可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>xAI發布新一代大型語言模型<a href="https://x.ai/news/grok-4-1">Grok 4.1</a>，並同步公開多項評測結果，強調在情感互動、創作能力與查證可靠性上較前一版本全面提升。Grok 4.1已在grok.com、X平臺與iOS、Android應用推出，並成為Auto模式的預設模型，目前僅透過這些消費端介面提供使用，尚未透過xAI公開API讓開發者串接。</p> <p>為驗證模型穩定度，xAI在正式發布前兩周，讓Grok 4.1初期版本在grok.com與行動端悄悄負責部分真實流量，再透過盲測比對不同模型的回答品質。依官方資料，Grok 4.1在真人偏好測試中以約64.78%的比例勝出，顯示使用者普遍更喜歡新版本的回應風格與理解能力。</p> <p>這次更新並非單純擴增模型規模，xAI將訓練重點放在較難量化的訊號，例如語氣掌握、人際互動、人格一致性與整體對齊。官方表示，團隊以具推理能力的代理式推理模型作為獎勵模型，讓系統自動評估大量回答並反覆微調，目標是在保持推理水準的前提下，使模型能讀懂語境、情緒與細微意圖。</p> <p>xAI表示，Grok 4.1在EQ-Bench 3情緒商數測試與Creative Writing v3創作評比中，均優於前代Grok 4。官方也正與基準作者合作，準備把完整成績納入公開排行榜。EQ-Bench3以多輪角色扮演情境評估模型的同理心與情緒理解能力，而Creative Writing v3則透過多種題材檢視模型敘事結構與文風的一致性。</p> <p>事實性與可靠性是Grok 4.1的另一主打重點，針對非思考模式與搜尋工具的組合重新調整判斷策略，以降低資料查詢任務中的幻覺率。依xAI統計，前一代Grok 4 Fast的整體幻覺率為12.09%，Grok 4.1下降至4.22%。</p> <p>xAI也引用公開學術基準FActScore，使用約500筆人物傳記題目，將模型回答拆解為原子事實並比對可靠資訊來源。在這項測試中，Grok 4.1的FActScore指標為2.97%，前代約為9.89%，分數明顯下降，代表模型在長篇敘述中更能避免虛構細節。</p> <p>在第三方評比中，xAI引用LMArena Text Arena的成績來說明Grok 4.1的能力。根據官方資料，思考模式的grok-4.1-thinking曾以1483 Elo名列榜首，非思考版grok-4.1則以1465 Elo緊追其後，超越多款競爭模型的完整推理設定，但在<a href="https://lmarena.ai/leaderboard/text/overall">最新排行榜</a>，甫發布的Gemini 3 Pro立刻登上首位，Grok 4.1系列則下滑至第2與第3名。</p> </div></div></div>
2025/11/20 08:39作者李建興https://www.ithome.com.tw/news/172355
Flutter 3.38對應iOS 26與Android 15，完成UIScene與16 KB記憶體分頁支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Flutter團隊<a href="https://blog.flutter.dev/whats-new-in-flutter-3-38-3f7b258f7228">釋出Flutter 3.38與Dart 3.10</a>，重點放在平臺相容與開發體驗調整，以及透過dot shorthands語法糖與強化Widget Previews來改善開發體驗。此次更新全面支援iOS 26、Xcode 26與macOS 26，同時因應Apple與Google的兩項新要求，分別是UIScene生命周期與Android 15的16 KB記憶體分頁大小相容性。</p> <p>在iOS部分，Apple宣布自iOS 26之後的新版本起，所有以最新SDK建置的UIKit應用都必須採用UIScene生命周期，否則無法啟動。為此，Flutter 3.38正式納入UIScene支援，並提供兩種搬遷方式，開發者可依官方文件手動修改AppDelegate與Info.plist，或是啟用實驗功能，透過指令自動調整設定。</p> <p>對於依賴應用生命周期事件的外掛，開發者也需更新至UIScene事件版本，否則未來將出現警告。另外，Flutter近期也導入Xcode 26的devicectl指令，取代以往需要啟動Xcode應用的部署流程，使在實體裝置測試與CI環境中的安裝與除錯更穩定。</p> <p>Android端的更新重點則是Google即將在2025年11月1日強制執行的16 KB記憶體分頁大小政策，從Android 15起，以Android 15或以上版本為目標的應用需支援16 KB記憶體分頁配置，否則可能在高記憶體裝置上無法啟動或效能受限。Flutter 3.38預設ndkVersion更新為NDKr 28，官方同時建議開發者採用Flutter內建的compileSdkVersion與targetSdkVersion設定，避免不同版本的Gradle、Kotlin與AGP組合導致編譯錯誤。同時，Flutter 3.38也修正了一項自3.29以來的記憶體洩漏問題，改善Activity銷毀時資源未釋放的情況。</p> <p>在開發體驗的更新，Dart 3.10推出dot shorthands語法糖，讓開發者可省略重複型別宣告，像是以.start取代MainAxisAlignment.start，或.all取代EdgeInsets.all，減少樣板程式碼。Widget Previews功能也持續強化，現在能在VS Code與Android Studio中直接預覽元件畫面，並支援亮暗主題、自訂配色與多組預覽設定。</p> </div></div></div>
2025/11/18 23:05作者李建興https://www.ithome.com.tw/news/172326
【資安日報】11月17日，Fortinet旗下WAF重大漏洞已出現攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>基本上，駭客入侵企業內部環境的主要管道，其中之一就是可透過網際網路存取的應用系統，過往最常見的目標是郵件伺服器，但也有針對防火牆或其他網路設備下手的情況，而最近有專門針對網頁應用程式防火牆（WAF）漏洞CVE-2025-64446的攻擊行動，引起資安界高度關注，有多家資安業者調查此事並公布他們的發現。這起事故受到矚目的原因，主要很可能是因為歹徒針對WAF下手並不常見，然而這類系統若是遭駭，攻擊者不僅有機會入侵網頁應用程式，甚至進一步存取受害企業的內部環境。</p> <p>上個月被美國列入已遭利用的漏洞名單（KEV）的資安漏洞CVE-2025-24893，後續發展也受到矚目，資安業者VulnCheck警告，有多組人馬嘗試加入利用漏洞的行列，其中最值得留意的部分，是殭屍網路RondoDox企圖綁架XWiki伺服器。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172274"><strong style="font-size: 22px;">Fortinet公告網頁應用程式防火牆存在重大漏洞，有多家資安業者透露一個月前就被用於攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-64446-55.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-64446-55.png" style="width: 300px; float: right;" /></a></p> <p>11月14日資安業者Fortinet發布資安公告，指出旗下的網頁應用程式防火牆（WAF）系統FortiWeb，存在重大層級的資安漏洞CVE-2025-64446，該弱點出現於圖形使用者介面（GUI），為路徑遍歷漏洞，未經授權的攻擊者能透過特製的HTTP或HTTPS請求，於目標系統執行管理命令，CVSS風險為9.1分（但該漏洞在美國國家漏洞資料庫登記為9.8分）。該公司表示，此漏洞已被用於實際攻擊，呼籲IT人員應儘快套用新版軟體。</p> <p>有資安新聞媒體指出，Fortinet察覺該漏洞的原因，源自其他資安業者一個月前發現的攻擊行動。根據Bleeping Computer的報導，最早於10月6日威脅情報業者Defused透露，他們偵測到不尋常的漏洞利用活動，攻擊者透過JSON Web Token（JWT）有效酬載意圖建立管理者帳號，過程中利用未知的漏洞，疑似是CVE-2022-40684的變形。</p> <p>後續有多家資安業者跟進調查此事，並於近日公布結果。例如：資安業者Orange Cyberdefense確認此漏洞遭到大規模利用、資安業者Rapid7發現駭客論壇有人疑似兜售漏洞；資安業者watchTowr對於攻擊者利用的弱點進行分析，指出該漏洞實際上由兩個部分組合而成，一個是出現在URI的路徑遍歷漏洞，另一個為HTTP請求標頭內容造成的身分驗證繞過漏洞。</p> <p><a href="https://www.ithome.com.tw/news/172277"><strong style="font-size: 22px;">殭屍網路RondoDox鎖定XWiki伺服器而來，利用重大層級已知漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/U34NqOOe9s.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/U34NqOOe9s.jpg" style="width: 300px; float: right;" /></a></p> <p>10月底資安業者VulnCheck提出警告，開源維基引擎XWiki的重大漏洞CVE-2025-24893遭到積極利用，相關活動最早可追溯到3月，攻擊者用於從事兩階段攻擊，部署挖礦軟體；最近該公司透露進一步調查的結果，指出殭屍網路RondoDox也加入漏洞利用的行列。</p> <p>11月14日VulnCheck再度提出警告，在他們揭露漏洞利用活動的情況後，有多組人馬加入漏洞利用的行列，攻擊類型與活動相當多種，涵蓋殭屍網路與挖礦軟體，以及攻擊者自製的掃描工具。其中，最引起他們注意的部分，是RondoDox於11月3日將漏洞加入武器庫之後，鎖定XWiki的活動急速增加，在7日達到高峰，之後趨緩，11日又再度升溫。</p> <p>不過，使用RondoDox的駭客並非唯一加入利用漏洞行列的人馬，VulnCheck也看到，有人透過bash指令下載經過Base64處理的有效酬載，解開後會下載另一個有效酬載，其功能就是執行挖礦軟體。此外，原本兩週前攻擊IP位址僅有2個，現在增加到5個。</p> <p><a href="https://www.ithome.com.tw/news/172266"><strong style="font-size: 22px;">駭客宣稱利用約聘人員存取憑證，竊得三星公司機密資料</strong></a></p> <p>三星疑似因遭駭客利用約聘人員的失誤，得以竊取三星包括軟體原始碼、加密金鑰、憑證，以及用戶個資等公司資料。</p> <p>根據資安媒體Cybernews報導，有人上周在駭客論壇兜售宣稱竊自三星公司多種機密資訊。帳號名GOD的駭客聲稱，他是利用一名約聘人員的存取憑證，駭入多家公司系統，其中一家是三星。</p> <p>這名人士宣稱，他在駭入三星後，從其MS SQL及AWS S3資料庫存取公司資料。資料類型涵括了軟體原始碼、私密金鑰、SMTP憑證、配置檔、寫死在程式中的憑證，另外也從醫療資訊的備份資料，掌握可辨識身分的個人資料（PII）。</p> <p><a href="https://www.ithome.com.tw/news/172279"><strong style="font-size: 22px;">國安局警告中國打造的生成式AI模型存在資安風險</strong></a></p> <p>中國打造的應用程式不時傳出暗中收集個資，或是回傳資料的情況，引發外界對其產生資安疑慮，而這樣的議題也隨著AI工具的流行，焦點轉移到中國開發的AI系統。隨著中國對臺灣的威脅不斷增加，相關議題引起我國政府重視並進行檢驗，警告各界必須特別留意中國製AI工具存在的威脅。</p> <p>11月16日國家安全局公布5款中國製的生成式AI語言模型的抽測結果，他們警示所有模型不僅普遍存在資安風險，也有內容偏頗的情況，呼籲民眾在挑選AI工具時必須格外小心，並留意可能會造成的資料外洩。</p> <p>這次抽測的生成式AI模型，包括：DeepSeek、豆包、文心一言、通義千問，以及騰訊元寶。檢驗內容涵蓋兩大層面，在應用程式安全性的部分，國安局參考的標準，是數位發展部制訂的行動應用APP基本資安檢測基準v4.0，依據5種類別與15項指標進行分析，結果發現，通義千問違規項目有11項最多，豆包與騰訊元寶各有10項；文心一言與DeepSeek，分別有9項與8項。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/north-korean-hackers-turn-json-services.html">北韓駭客濫用JSON服務，藉此散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kraken-ransomware-benchmarks-systems-for-optimal-encryption-choice/">勒索軟體HelloKitty餘黨另起爐灶Kraken，並在加密檔案前確認受害電腦的性能</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/iranian-hackers-launch-spearspecter-spy.html">伊駭客APT42從事SpearSpecter攻擊活動，鎖定以色列國防機構與政府組織而來</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172206"><strong style="font-size: 22px;">開源權重大型語言模型經不起多輪提示攻擊，企業採用安全風險浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-11-04-at-2_03_41 PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-11-04-at-2_03_41%E2%80%AFPM.png" style="width: 300px; float: right;" /></a>Cisco AI Defense研究人員指出，多輪提示攻擊（Multi-Turn Attack）正成為開源權重模型的主要弱點。在這份針對8款開源權重大型語言模型的黑箱（Black Box）測試中，研究團隊發現模型在多輪對話中更容易被誘導產生違規輸出，攻擊成功率最高達92.78%，最低也有25.86%，整體約為單輪攻擊的2到10倍。</p> <p>研究以AI Validation平臺進行自動化測試，涵蓋阿里巴巴的Qwen3-32B、Meta的Llama 3.3-70B-Instruct、Mistral Large-2、DeepSeek v3.1、Google的Gemma-3-1B-IT、微軟Phi-4、OpenAI的GPT-OSS-20b，以及智譜AI的GLM-4.5-Air等模型。測試過程完全採黑箱方式，研究人員未事先掌握模型內部架構或防護機制，並依據MITRE ATLAS與OWASP的AI安全分類來判定模型的防禦能力。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/researchers-find-serious-ai-bugs.html">AI推論引擎存在重大漏洞，恐波及Meta、Nvidia、微軟LLM</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-dsl-series-routers/">華碩DSL系列路由器存在重大漏洞，若不處理攻擊者可繞過身分驗證</a></strong></p> <p> </p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/172247"><strong style="font-size: 22px;">導入Rust有成，Google讓Android記憶體漏洞降至兩成以下，還提升交付效率</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Memory-Unsafe-Code-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Memory-Unsafe-Code-image2.png" style="width: 300px; float: right;" /></a></p> <p>Google的Android團隊公布2025年最新資安統計，指出Android平臺中屬於記憶體安全類型的漏洞占比，首次降到所有漏洞數量的兩成以下。團隊將關鍵因素歸結為近年在系統層大量導入Rust，且新寫程式碼優先改用記憶體安全語言，逐步壓低整體風險。</p> <p>Android團隊強調，他們刻意把觀察焦點放在新增與仍在活躍開發的程式碼，因為歷史資料顯示，多數嚴重漏洞來自新變更。</p> <p>Google在Android平臺把Rust當作C與C++的直接替代方案，引入作業系統層所需的低階控制與可預測性，同時利用語言本身的記憶體安全特性。從內部統計來看，新增加的Rust程式碼量已經與C++相當，Android平臺累積Rust程式碼約有500萬行，規模足以進行跨語言的品質與效率比較。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172260"><strong>【11月14日】勒索軟體駭客Akira將目標擴張到Nutanix虛擬化平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172236"><strong>【11月13日】Citrix NetScaler與思科ISE重大漏洞在公布前即遭國家級駭客利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172213"><strong>【11月12日】微軟修補已遭利用的Windows核心零時差漏洞</strong></a></p> </div></div></div>
2025/11/17 18:02作者周峻佑https://www.ithome.com.tw/news/172285
導入Rust讓Android記憶體漏洞降至兩成以下，還提升交付效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://security.googleblog.com/2025/11/rust-in-android-move-fast-fix-things.html" target="_blank">Google的Android團隊公布2025年最新資安統計</a>，指出Android平臺中屬於記憶體安全類型的漏洞占比，首次降到所有漏洞數量的兩成以下。團隊將關鍵因素歸結為近年在系統層大量導入Rust，且新寫程式碼優先改用記憶體安全語言，逐步壓低整體風險。</p> <p>Android團隊強調，他們刻意把觀察焦點放在新增與仍在活躍開發的程式碼，因為歷史資料顯示，多數嚴重漏洞來自新變更。</p> <p>Google在Android平臺把Rust當作C與C++的直接替代方案，引入作業系統層所需的低階控制與可預測性，同時利用語言本身的記憶體安全特性。從內部統計來看，新增加的Rust程式碼量已經與C++相當，Android平臺累積Rust程式碼約有500萬行，規模足以進行跨語言的品質與效率比較。</p> <p>Android團隊估算，目前Rust程式碼的記憶體安全漏洞密度約為每百萬行0.2個，相較之下，歷年C與C++程式碼的密度大約落在每百萬行1,000個記憶體安全漏洞的等級，兩者相差約千倍。Rust仍可能出現記憶體安全問題，但Android團隊認為，關鍵不在於會不會有，而是出現的頻率與密度可降低的程度。</p> <p>Android團隊分享了一個差點出現在正式版本的Rust記憶體安全問題，他們在CrabbyAVIF元件發現線性緩衝區溢位，在一般情況下可能形成無明顯症狀的記憶體破壞，但因Android預設採用Scudo強化配置器，會在特定配置的記憶體區塊周邊加入防護頁面，讓問題直接表現為可觀察的當機，才得以在測試階段被攔截。這個案例說明了Rust本身無法消除所有風險，同時展示語言層安全與記憶體配置器等多層防禦機制如何互相補強。</p> <p>Android使用產業常見的DORA指標衡量軟體交付表現，從同樣規模的變更比較Rust與C++。團隊內部統計顯示，在Android第一方程式碼中，Rust變更在程式碼審查階段被要求修改的次數比C++少約兩成，待在審查流程中的時間也短約四分之一，更重要的是，中大型變更被迫回退的比例，Rust約只有C++的四分之一，也就是說Rust變更一旦部署，較少需要撤回重來。</p> <p>即便導入記憶體安全語言，作業系統與硬體驅動開發仍不可避免要使用unsafe Rust或C、C++處理FFI與硬體操作。Android團隊坦言，不可能禁止unsafe，但可以集中在少數受控區域，並提供更完整的教育與審查。他們在自家Comprehensive Rust教材中新增unsafe專章，協助開發者理解soundness、未定義行為，以及如何撰寫安全註解與封裝unsafe區塊。從內部統計來看，大約只有4%程式碼落在unsafe區塊內，而整體漏洞密度仍遠低於C與C++的水準。</p> </div></div></div>
2025/11/14 14:56作者李建興https://www.ithome.com.tw/news/172247
【資安日報】11月13日，Citrix NetScaler與思科ISE重大漏洞在公布前即遭國家級駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>今年上半開始，針對<a href="https://www.ithome.com.tw/tags/citrix">Citrix</a>與<a href="https://www.ithome.com.tw/tags/cisco">思科</a>應用系統與設備的攻擊行動頻傳，因此一旦這些廠商公布非常嚴重的資安漏洞，即使他們並未透露是否掌握遭到利用的跡象，外界還是不禁會懷疑漏洞已被用於實際攻擊。最近Amazon威脅情報團隊發布的調查報告，引起資安圈高度關注，因為他們掌握有國家級駭客在Citrix與思科修補特定漏洞之前，就將其用於實際攻擊行動，並對受害裝置部署後門。</p> <p>勒索軟體攻擊濫用遠端管理工具（RMM）的情況，也越來越頻繁，最近有英國資安業者針對兩大勒索軟體Medusa、DragonForce攻擊行動提出警告，利用這些勒索軟體犯案的駭客，入侵受害組織的管道存在共通點，那就是尚未修補特定已知漏洞的SimpleHelp伺服器。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172219"><strong style="font-size: 22px;">國家級駭客鎖定思科與Citrix零時差漏洞從事攻擊</strong></a></p> <p>今年6月至7月，Citrix與思科先後修補重大層級漏洞CVE-2025-5777（CitrixBleed 2）和CVE-2025-20337（CVSS風險評為9.3和10分），如今有資安事故調查的結果指出，國家級駭客早在上述公告發布之前，就將其用於實際攻擊行動，引起資安界高度關注。</p> <p>Amazon威脅情報團隊指出，在Citrix與思科尚未揭露前，他們發現就有國家級駭客就將兩項零時差漏洞用於攻擊行動，不僅如此，攻擊者透過自行打造的惡意軟體犯案，並試圖利用其他的未公開漏洞。由於這些遭濫用的漏洞影響Citrix NetScaler設備，以及思科網路存取控制（NAC）平臺Identity Services Engine（ISE），這些存取控制基礎設施的資安風險也隨之增加，對此，Amazon呼籲企業，對於特殊權限的資安設備與端點，應透過防火牆或分層機制限制存取，來防範相關威脅。</p> <p>這起攻擊活動之所以曝光，起初Amazon是在密罐陷阱服務MadPot偵測到漏洞利用嘗試的情形，發現時間是在CVE-2025-5777公開之前，他們進一步根據利用這個Citrix漏洞的威脅著手調查，結果找到能夠攻擊思科ISE設備的有效酬載，經過與思科確認，攻擊者利用當時尚未登記的反序列化弱點CVE-2025-20337，該漏洞能讓駭客在ISE進行預先身分驗證，並且遠端執行任意程式碼，最終得到管理員權限。</p> <p><a href="https://www.ithome.com.tw/news/172234"><strong style="font-size: 22px;">遠端管理工具SimpleHelp已知漏洞遭利用，駭客於英國部署勒索軟體Medusa與DragonForce</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Medusa-note-FINAL.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Medusa-note-FINAL.png" style="width: 300px; float: right;" /></a></p> <p>英國資安業者Zensec揭露勒索軟體Medusa與DragonForce在當地的攻擊活動，這些歹徒在今年上半，利用已知漏洞CVE-2024-57726、CVE-2024-57727，以及CVE-2024-57728（CVSS風險評分介於9.9至7.2），鎖定尚未修補的遠端管理平臺SimpleHelp伺服器下手，一旦受害組織以SYSTEM權限執行這套遠端管理工具，攻擊者就能在極為隱密的狀況下，利用取自網域控制器等重要資產的高權限身分，對下游客戶出手。</p> <p>針對兩種勒索軟體攻擊的流程，Zensec指出，Medusa主要是透過第三方供應商或是代管服務供應商尚未修補與配置不當的SimpleHelp系統，得到受害組織的初始入侵管道。他們特別提及所有事故當中SimpleHelp皆以SYSTEM權限執行，因此駭客能透過已遭入侵的伺服器充當中繼點，並接觸下游客戶。</p> <p>另一個勒索軟體DragonForce的攻擊者，雖然也透過SimpleHelp取得受害組織的初始入侵管道，並提升權限，不過他們通常也會部署AnyDesk或其他的遠端管理工具，並建立本機管理員帳號，目的是進一步控制並簡化橫向移動的工作。</p> <p><a href="https://www.ithome.com.tw/news/172229"><strong style="font-size: 22px;">中國駭客滲透意圖左右美國國際政策的非營利組織，濫用防毒元件載入惡意程式</strong></a></p> <p>為了探聽美國政府的國際政策，中國資助的國家級駭客近期頻頻鎖定協助美國政府的企業組織下手，最近有資安業者公布相關事故調查結果，引起外界關注。</p> <p>資安業者賽門鐵克揭露今年4月美國非營利組織遭到中國駭客入侵的事故，而該組織被盯上的原因，就是他們積極影響美國政府的國際議題政策。駭客在取得初始存取權限後，企圖建立長期存取的管道。根據攻擊過程使用防毒軟體Vipre AV的元件vetysafe.exe側載惡意DLL檔案sbamres.dll，賽門鐵克認為攻擊者來自中國。他們提及，這類手法Salt Typhoon、APT41旗下團體Earth Longzhi都曾使用。</p> <p>這起攻擊活動的跡象，最早出現在4月5日，攻擊者試圖對特定的伺服器下手，進行一系列的已知漏洞大規模掃描，這些漏洞包括：Log4j遠端程式碼執行（RCE）漏洞CVE-2021-44228（Log4Shell）、Atlassian Confluence開發協作平臺OGNL漏洞CVE-2022-26134，以及Apache Struts漏洞CVE-2017-9805等。</p> <p><a href="https://www.ithome.com.tw/news/172222"><strong style="font-size: 22px;">日立子公司GlobalLogic、英國衛福部的Oracle EBS系統也遭駭</strong></a></p> <p>Oracle E-Business Suite（EBS）資料外洩事故持續擴大，日立集團旗下數位工程服務供應商GlobalLogic本周通報上萬員工資料外洩；另外，英國國家健康服務局（National Health Service，NHS）則是駭客宣稱已成功入侵。</p> <p>GlobalLogic本周向美國緬因州檢察長辧公室報告Oracle EBS資料外洩事件，並以電子郵件通知受影響人士，根據通報的資料，受影響現任及前任員工達10,471人。</p> <p>以Cl0p勒索軟體為首的駭客組織FIN11，近月來在網路上高調公布新的受害者名單。根據Hackread報導，這群駭客本周又宣稱從英國NHS的Oracle EBS竊得資料，並揶揄NHS忽視安全性，不在乎其用戶。不過，駭客未說明手中握有多少NHS的資料。</p> <p><a href="https://www.ithome.com.tw/news/172199"><strong style="font-size: 22px;">2025社群冒名詐騙報告書出爐，偽冒「貸款申請」情境最嚴峻</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）Gogolook_2025社群冒名詐騙報告書_ASOC.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89Gogolook_2025%E7%A4%BE%E7%BE%A4%E5%86%92%E5%90%8D%E8%A9%90%E9%A8%99%E5%A0%B1%E5%91%8A%E6%9B%B8_ASOC.jpg" style="width: 300px; float: right;" /></a>社群冒名詐騙問題持續升溫，Gogolook與台灣數位信任協會及中華民國電腦稽核協會合作，於今年11月5日共同發布《2025社群冒名詐騙報告書》，解析最新詐騙趨勢。</p> <p>根據2025社群冒名詐騙報告書指出，我們特別關注兩大重點，首先，這份報告將鎖定台灣的冒名貼文，畫分出三大情境、七種類型，其中以假借貸款申請的占比最高；另一項重要調查結果，是解析了3種詐騙傳播鏈。簡單來說，這些假冒企業組織個人名義的貼文，普遍會引導受害者前往下一互動目的地，報告中歸納出3種導流網址類別：（一）導向數位平臺：粉絲專頁、私訊或IG貼文；（二）導向外部連結：假冒企業網站或購物下單頁面；（三）導向邀請加入私域群組或好友帳號：以LINE即時通訊為主。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/gootloader-is-back-using-new-font-trick.html">惡意軟體GootLoader捲土重來，藉由字型手法隱身在WordPress網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/danabot-malware-is-back-to-infecting-windows-after-6-month-break/">遭執法單位圍剿的DanaBot另起爐灶，採用洋蔥網路及反向連接節點來隱匿攻擊來源</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/whatsapp-malware-maverick-hijacks.html">惡意軟體Maverick鎖定巴西大型銀行用戶，透過網頁版WhatsApp挾持瀏覽器連線階段</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lazarus-group/">北韓駭客Lazarus對航太與國防機構從事網路間諜活動，透過惡意文件散布後門Comebacker</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xhunt-apt/">駭客組織xHunt針對Exchange與IIS伺服器而來，植入PowerShell打造的後門</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172146"><strong style="font-size: 22px;">加密未必保密，LLM串流封包大小與時序恐洩露對話主題</strong></a></p> <p>微軟發表的Whisper Leak資安研究，揭露即使大型語言模型的對話透過TLS加密，攻擊者仍可能僅憑封包大小與傳輸間距，推斷出使用者與聊天機器人的對話主題。也就是說，加密雖能防止內容被竊聽，但流量模式本身仍可能成為隱私弱點。微軟指出，已與多家人工智慧服務業者合作修補風險，包含OpenAI、Mistral與xAI等。</p> <p>研究人員針對大型語言模型的串流模式回應進行分析，由於模型通常以逐字產生的方式輸出Token，使用者在輸入問題後，會即時看到模型生成文字。研究人員指出，要是攻擊者能監控網路流量，無論是ISP層級的觀測、公共Wi-Fi上的竊聽，或同一區域網路的監聽，都可能在不解密任何內容的情況下，判斷出對話主題。</p> <p>由於大型語言模型在串流回應時是逐一產生Token並傳回，因此每次輸出會轉成一段位元組資料再由封包傳送。即使內容被TLS加密，封包的長度與送出時間仍保留在網路層可觀測的後設資料中，攻擊者如果蒐集大量已知主題的範例，就能用機器學習把封包長度序列與到達時序當作特徵進行訓練，學習出不同主題對應的流量指紋。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/172217"><strong style="font-size: 22px;">Google啟動Android開發者身分驗證新制，保留側載並新增學生與進階用戶方案</strong></a></p> <p>Google宣布啟動Android開發者身分驗證的早期測試計畫，同時確認未來仍會保留側載與第三方商店發行機制，並對學生與進階用戶設計兩種不同的使用路徑，企圖在防堵詐騙與維持開放性之間取得平衡。相較於今年8月僅說明政策方向惹議，Google這次聽取社群意見微調方法，並開始逐步實施。</p> <p>在Google最新的說明中，新制的核心目標仍是對抗詐騙與惡意程式。該公司提到，在東南亞常見的情境裡，攻擊者假借銀行客服名義，要求受害者側載偽冒的驗證App，實際上卻是攔截簡訊與通知中一次性密碼的惡意程式，使用者登入真正的金融服務時，攻擊者便能取得二階段驗證資訊。Google認為，即使已有Play Protect與各式警示，只要開發者可以匿名反覆換名發布程式，仍難以消滅這類攻擊，因此要把應用程式與已驗證開發者身分綁定，壓縮攻擊者不斷換殼的空間。</p> <p>另一方面，Google也回應進階使用者對側載自由的期待，確認將設計一套新的安裝流程，容許在明確理解風險後，仍選擇安裝未經驗證的應用程式；針對學生與業餘開發者族群，Google表示正設計專用帳號型態，希望避免打擊入門者與實驗性專案。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172213"><strong>【11月12日】微軟修補已遭利用的Windows核心零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172185"><strong>【11月11日】尋找手機與行動裝置的功能遭濫用，北韓駭客Konni用於抹除受害者裝置</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172147"><strong>【11月10日】蠕蟲GlassWorm再度出現於IDE延伸套件平臺Open VSX</strong></a></p> </div></div></div>
2025/11/13 17:12作者周峻佑https://www.ithome.com.tw/news/172236
Google啟動Android開發者身分驗證新制，保留側載並新增學生與進階用戶方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google宣布<a href="https://android-developers.googleblog.com/2025/11/android-developer-verification-early.html">啟動</a>Android開發者身分驗證的早期測試計畫，同時確認未來仍會保留側載與第三方商店發行機制，並對學生與進階用戶設計兩種不同的使用路徑，企圖在防堵詐騙與維持開放性之間取得平衡。相較於今年8月僅說明政策方向，Google這次聽取社群意見微調方法，並開始逐步實施。</p> <p>Google在8月表示，未來安裝在官方認證Android裝置上的應用程式，都必須由通過身分驗證的開發者註冊。不論來源是Google Play、第三方商店或APK側載，Google規畫在2026年3月向所有開發者開放驗證，2026年9月先在巴西、印尼、新加坡與泰國上路，2027年再逐步擴及全球。</p> <p>在Google最新的說明中，新制的核心目標仍是對抗詐騙與惡意程式。官方提到，在東南亞常見的情境裡，攻擊者假借銀行客服名義，要求受害者側載偽冒的驗證App，實際上卻是攔截簡訊與通知中一次性密碼的惡意程式，使用者登入真正的金融服務時，攻擊者便能取得二階段驗證資訊。</p> <p>Google認為，即使已有Play Protect與各式警示，只要開發者可以匿名反覆換名發布程式，仍難以消滅這類攻擊，因此要把應用程式與已驗證開發者身分綁定，壓縮攻擊者不斷換殼的空間。</p> <p>針對學生與業餘開發者族群，Google表示正設計專用帳號型態，讓這類開發者可以不走完完整驗證流程，將作品發布到有限數量的裝置。官方並未在此次公告中詳述資格與限制，只強調這是回應只在小圈子分享作品需求的設計，希望避免打擊入門者與實驗性專案。</p> <p>另一方面，Google也回應進階使用者對側載自由的期待，確認將設計一套新的安裝流程，容許在明確理解風險後，仍選擇安裝未經驗證的應用程式。該流程將以更明確的警示文字與互動設計，降低使用者在詐騙者高壓指示下，被一步步按照指令繞過安全機制的機會，同時保留讓具備判斷能力的使用者自行決定的空間。目前這套流程仍在設計階段，Google表示會持續蒐集社群意見後再公布細節。</p> </div></div></div>
2025/11/13 12:13作者李建興https://www.ithome.com.tw/news/172217
Google裝置追蹤工具遭濫用，北韓駭客Konni從事安卓裝置資料破壞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般來說，手機的「尋找我的裝置」的用途，主要是在手機遺失的情況下協助用戶追蹤及尋找，並透過遠端抹除裝置的機制防範個資外洩，然而現在歹徒竟用來當作抹除受害手機的資料。</p> <p>韓國資安業者Genians發現<a href="https://www.genians.co.kr/en/blog/threat_intelligence/android">北韓駭客Konni最新的攻擊行動</a>，他們將惡意檔案偽裝成舒壓應用程式，透過韓國即時通訊平臺KakaoTalk散布，這波活動引起Genians格外關注的地方，在於攻擊者的目的，是濫用Google的Find Hub（前身為「尋找我的裝置」）服務，藉由遠端恢復原廠設定的功能，抹除受害者的安卓手機資料，而這是首度有駭客團體濫用此種機制進行資料破壞的行動。</p> <p>這波攻擊與Genians在去年7月揭露的<a href="https://www.genians.co.kr/blog/threat_intelligence/autoit?hsLang=en">網釣活動</a>有關，當時Konni假借韓國國稅局的名義，或是脫北者獎學金申請為幌子，於受害電腦植入AutoIT指令碼，藉此長時間監控受害者。這種指令碼秘密駐留在受害電腦，疑似長時間處於休眠，然而在這段期間Konni也持續監控系統狀態並進行竄改，以便持續在受害電腦活動，並透過C2伺服器部署額外的惡意模組來達到進一步控制的目的。</p> <p>這些額外模組是什麼？Genians提及主要是RAT木馬程式，其中包含LilithRAT、RemcosRAT、QuasarRAT，以及RftRAT。</p> <p>不過，Genians發現上述網釣活動並非個別的獨立事件，因為Konni在得逞後，會將受害電腦納入攻擊基礎設施，並充當中繼站，利用KakaoTalk傳送惡意檔案。</p> <p>Konni先後在9月5日與15日濫用受害者的帳號，他們先對一名專為脫北青年提供心理諮商的輔導員下手，透過KakaoTalk聲稱對學生提供舒壓計畫資料來從事惡意活動，並導致多臺設備感染惡意程式。事隔10天，這些駭客又利用另一名受害者的KakaoTalk帳號，對其他人大肆散布惡意文件。</p> <p>其中最不尋常的地方在於，Konni會濫用Find Hub確認受害者的地理位置，若是受害者外出，他們就會遠端對安卓手機或是平板下達恢復原廠設定的命令，使得這些行動裝置無法正常運作，進而切斷存取KakaoTalk等即時通訊應用程式的管道，延遲察覺異狀及回應的時間。得逞後Konni就會隨機利用竊得的KakaoTalk帳號，快速散布惡意檔案。</p> <p>Genians指出，Konni能夠濫用Find Hub的關鍵，在於他們事先取得受害者的Google與Naver帳號，然後登入Gmail並檢視近期的存取記錄，透過Google帳號管理介面來取得恢復Naver帳號的電子郵件信箱，接著他們存取Naver帳號，並清除來自Google的警示電子郵件，最終透過Find Hub服務來找到已經註冊的手機或平板電腦，最終下達多次遠端回復原廠設定的命令。此時，他們會存取受害者電腦已經登入的KakaoTalk，並當作散布惡意檔案的管道。</p> <p>對於攻擊者的身分，Genians提及Konni和北韓駭客組織Kimsuky與APT37出現交集，這三組人馬在攻擊目標與基礎設施重疊，但根據入侵指標（IoC），以及濫用WordPress作為替代基礎設施，並運用位於俄羅斯、美國，以及德國的主機當作C2節點，還有將RAT木馬的中繼節點分散於日本或荷蘭等國家，確認攻擊者是Konni。</p> </div></div></div>
2025/11/11 16:03作者周峻佑https://www.ithome.com.tw/news/172182
Amazon低價電子商務品牌Bazaar擴大進軍包括臺灣及香港在內的14個市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation/amazon-bazaar-app" target="_blank">Amazon上周五（11/7）宣布</a>，將以Amazon Bazaar品牌擴大進軍亞洲、拉丁美洲及非洲市場，提供低價電子商務服務，大多數的商品將低於10美元，並已開放包括臺灣、香港、菲律賓、秘魯、阿根廷及牙買加等市場下載Android及iOS程式，目前支援英文、繁體中文、西班牙文、法文、葡萄牙文及德文等6種語言。</p> <p>身為全球電子商務龍頭的Amazon，近年來持續面臨Temu與Shein兩大購物網站的低價競爭，在2024年11月正式推出了低價電子商務平臺<a href="https://www.ithome.com.tw/news/166011" target="_blank">Amazon Haul</a>，號稱所有商品價格皆低於20美元，且大多數商品低於10美元，只要訂單超過25美元即可免費送貨，迄今已於美國、英國、德國、法國、義大利、西班牙、日本及澳洲市場推出。</p> <p>至於Amazon Bazaar則是Amazon根據語言及文化差異微調的名稱，同樣定位為低價電子商務平臺，目前提供數十萬種平價商品，大多數商品低於10美元，消費者可使用既有的Amazon帳號或建立新帳號，達到當地免運金額即可免費配送，多可在兩周內到貨，並可於15天內免費退貨，支援Visa、Mastercard及American Express等信用卡。</p> <p>Amazon Bazaar已先行於墨西哥、沙烏地阿拉伯與阿拉伯聯合大公國進行測試，現在則擴大部署至臺灣、香港、菲律賓、科威特、卡達、巴林、阿曼、秘魯、厄瓜多、阿根廷、哥斯大黎加、多明尼加、牙買加與奈及利亞等14個新市場。</p> <p>除了供應相對低價的商品之外，Bazaar將提供Amazon平臺上的一致體驗，包括商品評論與星級評價，同時強調所有商品皆通過Amazon的合規檢查，以確保符合安全標準及政策。</p> </div></div></div>
2025/11/10 13:58作者陳曉莉https://www.ithome.com.tw/news/172142
間諜軟體LandFall鎖定三星裝置零時差漏洞，透過WhatsApp傳送訊息得逞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月，蘋果與Meta修補零時差漏洞<a href="https://www.ithome.com.tw/news/170738">CVE-2025-43300</a>與<a href="https://www.ithome.com.tw/news/170921">CVE-2025-55177</a>，Meta並指出攻擊者串連兩項漏洞而用於攻擊，後續三星也修補Meta與WhatsApp聯手通報的零時差漏洞，引起關注的同時，也令大家好奇攻擊者如何對三星用戶下手？近日有資安業者公布調查結果。</p> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/landfall-is-new-commercial-grade-android-spyware/">安卓間諜軟體LandFall的攻擊行動</a>，相關惡意活動最早可追溯到去年7月，鎖定伊拉克、伊朗、土耳其，以及摩洛哥等國家而來，過程裡利用三星今年4月修補的手機零時差漏洞CVE-2025-21042（三星評估CVSS風險評分為8.8，美國國家漏洞資料庫評為9.8）。此間諜軟體具備全面監控的能力，包含麥克風錄音、地理位置追蹤，以及收集圖片、聯絡人與通話記錄。</p> <p>針對漏洞利用的流程，攻擊者透過格式錯誤的數位負片檔案（DNG檔）觸發，並在受害裝置植入間諜軟體，而對於間諜軟體的來源，Palo Alto Networks推測，這項威脅與專門開發及販售商業間諜軟體的公司（Private Sector Offensive Actors，PSOA）有關，原因是相關活動與其他中東的商業間諜軟體共用部分基礎設施，但他們無法確認LandFall開發商的身分。</p> <p>對於LandFall攻擊行動的發現，源自於Palo Alto Networks對於前述iOS與WhatsApp漏洞利用鏈的調查，於是他們在調查iOS惡意程式調查的過程，找到了專門針對三星行動裝置的間諜軟體，其共通點在於利用了CVE-2025-21042，攻擊者使用的DNG圖檔，在結尾嵌入ZIP壓縮檔，一旦三星手機的圖片程式庫libimagecodec.quram.so存在漏洞，手機就會從ZIP檔解開程式庫並執行間諜軟體。</p> <p>此間諜軟體包含兩項元件：惡意程式載入工具b.so，以及竄改SELinux政策的工具l.so。前者為Arm64架構ELF執行檔的共用物件，主要功能是當作後門程式；後者的功能是讓間諜軟體能持續在受害裝置活動。</p> <p>值得留意的是，雖然這起攻擊行動攻擊者運用的漏洞是CVE-2025-21042，但Palo Alto Networks提及與三星<a href="https://www.ithome.com.tw/news/171197">今年9月修補的零時差漏洞CVE-2025-21043</a>相當類似，兩者都出現在libimagecodec.quram.so，攻擊者皆透過DNG檔案觸發，而且，兩個漏洞公開揭露的時間相當接近。</p> </div></div></div>
2025/11/10 11:04作者周峻佑https://www.ithome.com.tw/news/172135
【資安日報】11月6日，Google發布安卓11月例行更新，修補零點擊漏洞受到高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天有許多消息與資安漏洞有關，其中又以Google發布安卓11月例行更新最受到關注，原因是其中有一個是危險程度最高的資安漏洞CVE-2025-48593，一旦攻擊者成功利用，就能遠端執行任意程式碼（RCE），而且過程中完全不需使用者點擊，儘管Google並未公布其他資訊，不過有資安新聞網站推測，攻擊者很可能透過特製網路封包與側載第三方應用程式的手法來觸發漏洞。</p> <p>另一項值得注意的消息，是漏洞利用的攻擊行動，駭客鎖定的是微軟在10月例行更新（Patch Tuesday）之後發布額外修補程式的WSUS資安漏洞CVE-2025-59287，資安業者Darktrace已發現相關攻擊行動，其中一起受害組織被植入竊資軟體Skuid。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172031"><strong style="font-size: 22px;">微軟WSUS漏洞掃描活動遽增，攻擊者用於植入Skuld竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/690272e225fcab7691cc7864_Screenshot 2025-10-29 at 1_02_37 PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/690272e225fcab7691cc7864_Screenshot%202025-10-29%20at%201_02_37%E2%80%AFPM.png" style="width: 300px; float: right;" /></a></p> <p>微軟在10月的安全更新修補Windows Server Update Services（WSUS）遠端程式碼執行（RCE）漏洞CVE-2025-59287，兩周前傳出有人根據已經公布的概念驗證程式碼（PoC），企圖將這項漏洞用於攻擊行動。</p> <p>系統網路安全協會（SANS）本周提出警告，他們發現漏洞攻擊活動遽增的現象。SANS的感測器通報防火牆紀錄偵測到上周以來，針對8530及8531二個TCP通訊埠的掃描活動大幅增加，通報量來到3,000到3,200起，為前幾周的4倍左右。</p> <p>同時，資安廠商Darktrace發現已經有實際漏洞濫用活動，他們看到美國資訊及通訊公司與教育機構遭到入侵，其中一起攻擊者於受害組織植入了竊資軟體Skuld。</p> <p><a href="https://www.ithome.com.tw/news/172077"><strong style="font-size: 22px;">物流與貨運業者遭到鎖定，歹徒利用遠端管理工具入侵網路環境，竊取貨物牟取經濟利益</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-10-29 at 7_10_16 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-10-29%20at%207_10_16%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>為了以合法手段掩護非法活動，駭客運用受害企業組織建置的應用程式、作業系統內建元件，或是企業組織常用的工具從事寄生攻擊（LoL），最近濫用遠端管理工具（RMM）的情況，突然變得極為頻繁。</p> <p>週一資安業者Proofpoint揭露針對運輸業者及物流業者的攻擊行動，就是這種型態的事故。攻擊者透過網路攻擊竊取帳號與相關權限，假冒合法身分競標貨物，並與犯罪組織合作，在運輸過程竊取貨物並轉售牟利。在網路攻擊的流程當中，合法的遠端管理工具濫用是主要關鍵。Proofpoint強調，雖然他們本次調查的事故發生在北美，但這種類型的網路犯罪活動，在全球各地都會發生，其中事故最頻繁的地區，涵蓋巴西、墨西哥、印度、美國、德國、智利，以及南非。</p> <p>針對相關事故發生的時間，最早可追溯到今年1月，不過，Proofpoint在過去兩個月內，就發現接近20起事故，由於得逞後往往能造成數百萬美元的損失，因此這樣的情況已經引起當局重視。</p> <p><a href="https://www.ithome.com.tw/news/172080"><strong style="font-size: 22px;">SonicWall說明9月防火牆組態備份服務遭駭，確認攻擊者是國家級駭客</strong></a></p> <p>9月中旬資安業者SonicWall通知用戶有資安事故，原因是防火牆管理員備份組態的雲端服務MySonicWall遭未經授權存取，這些備份資料包含密碼、金鑰，以及其他敏感資訊，由於可能用於侵入防火牆而引起外界關注，後續在10月中旬表示，所有MySonicWall用戶都受到影響，現在SonicWall公布最新調查結果，揭露攻擊者的身分。</p> <p>本週SonicWall指出，這起事故其實是國家資助的駭客所為，他們透過API呼叫的方法對雲端環境下手，從而達到未經授權存取雲端備份檔案的目的。SonicWall強調，先前頻繁針對該廠牌防火牆的勒索軟體駭客組織Akira，與本次事故無關。</p> <p>對於這起事故是否也影響MySonicWall以外的產品或服務？SonicWall強調，旗下產品或韌體未受到波及，該公司的系統、工具、原始碼，以及客戶的網路環境，也沒有遭到破壞或服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/172062"><strong style="font-size: 22px;">瑞典隱私保護局調查Miljödata外洩勒索案，150萬筆公部門個資流入暗網</strong></a></p> <p>瑞典隱私保護局（IMY）宣布，針對人資與職業安全系統供應商Miljödata遭駭客攻擊導致大量個資外洩一事，正式展開GDPR稽核。此次稽核鎖定Miljödata本身，以及哥德堡市政府、阿姆胡特市政府與西曼蘭省政府3個使用單位。IMY指出，檢方掌握的外流規模超過150萬名自然人資料，且多數檔案已在暗網被公開。</p> <p>IMY將調查資安控制是否失當，以及處理的個資類型與對象，包含是否涉及受保護身分者、已離職多年員工與兒少，並不排除後續依風險擴大抽查對象。官方表示，這起外洩事件導致瑞典相當比例人口的個資在暗網曝光，其中部分屬於敏感性資訊。</p> <p>事件發生於今年8月底，Miljödata遭勒索軟體入侵，數周後外洩資料陸續出現在暗網。外洩內容涵蓋姓名、電話、住址、生日、性別、電子郵件與政府核發個人識別號碼等敏感資訊。Have I Been Pwned網站在9月將此事件納入資料庫，顯示約87萬筆獨立電子郵件地址受到影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/google-uncovers-promptflux-malware-that.html">惡意軟體PromptFlux濫用Gemini動態改寫程式碼，企圖強化迴避偵測的能力</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/lotl-attack-malware-windows-native-ai-stack">寄生攻擊出現新型態手法，攻擊者可濫用作業系統內建的AI平臺傳送惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gootloader-malware-is-back-with-new-tricks-after-7-month-break/">惡意軟體Gootloader休兵半年重出江湖，透過SEO中毒散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/mysterious-smudgedserpent-hackers.html">駭客組織鎖定伊朗與以色列局勢而來，鎖定學者與外交政策專家下手</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hyundai-autoever-america-data-breach-exposes-ssns-drivers-licenses/">現代汽車旗下的北美IT服務供應商資料外洩，社會安全碼與駕照曝險</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172075"><strong style="font-size: 22px;">Google修補Android系統元件零點擊RCE漏洞</strong></a></p> <p>11月3日Google發布11月Android例行安全更新，特別的是，這次僅有修補二項Android漏洞，其中又以零點擊的遠端程式碼執行（RCE）漏洞最受到關注。</p> <p>本月修補的二項漏洞都是位於系統核心元件。其中嚴重程度被列為最高的CVE-2025-48593，由於攻擊者不必取得額外權限，即可遠端執行程式碼，過程不需任何使用者點擊等互動。本漏洞影響範圍涵蓋Android 13到16。</p> <p>對於這個漏洞造成的危險，根據Cybersecurity News報導指出，濫用這類漏洞，攻擊者只要傳送改造過的網路封包，或利用側載或第三方軟體平臺載入惡意App。而一旦遠端程式碼執行成功，Android裝置可能被竊取資料、植入勒索軟體或被收編為殭屍網路成員。</p> <p><a href="https://www.ithome.com.tw/news/172082"><strong style="font-size: 22px;">NPM套件React Native命令列工具存在重大漏洞，攻擊者恐在開發環境執行任意命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/JFrog-detects-React-Native-vulne.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/JFrog-detects-React-Native-vulne.png" style="width: 300px; float: right;" /></a></p> <p>在網站開發領域熱門的React Native Community CLI（@react-native-community/cli）的NPM套件，資安業者JFrog本週揭露當中存在重大層級的漏洞CVE-2025-11953，由於該套件每週下載次數約為2百萬，因此漏洞的影響範圍將會非常廣泛，恐有數百萬開發人員曝險，呼籲開發人員要儘速套用20.0.0以上的新版套件因應。</p> <p>上述漏洞存在於4.8.0至20.0.0-alpha.2版套件，一旦攻擊者成功利用漏洞，就有機會在未經身分驗證的情況下，於開發伺服器執行任何作業系統層級的命令，CVSS風險值為9.8（滿分10分），Meta獲報後，於10月初發布20.0.0版修補。</p> <p>不過，JFrog強調並非所有使用此NPM套件的開發人員都受到漏洞影響。首先，開發人員必須透過套件啟動React Native專案，並透過特定命令啟動開發伺服器Metro，就有可能曝險。他們提及，若是開發人員並未使用Metro，應該就不會受到影響。</p> <p><a href="https://www.ithome.com.tw/news/171999"><strong style="font-size: 22px;">Docker漏洞可讓駭客在主機寫入檔案</strong></a></p> <p>資安廠商Imperva發現，Docker存在一項重大漏洞CVE-2025-62725，可讓攻擊者在雲端容器寫入任意檔案。</p> <p>問題是出在Docker Compose，它可組合多個容器成為一個完整服務。Docker Compose支援眾多開發任務，它是在Docker Engine上的一層，能將數行YAML程式碼變成一個能執行的應用程式。</p> <p>2025年10月初Imperva在研究Docker Compose對OCI物件的支援時，發現它的高風險路徑遍歷（path traversal）漏洞。該漏洞能讓攻擊者逃出Compose的快取目錄，而在主機系統上寫入任意檔案。這項漏洞風險值CVSS 8.9，已經由Docker團隊修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/184149/security/chrome-142-released-two-high-severity-v8-flaws-fixed-100k-in-rewards-paid.html">Google發布Chrome 142大改版，修補多項V8引擎高風險漏洞，其中2項研究人員獲得5萬美元獎勵</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171871"><strong style="font-size: 22px;">GitLab 18.5強化DevSecOps運作，推出AI自動規畫與資安分析功能</strong></a></p> <p>程式碼託管與DevOps平臺GitLab推出18.5版，持續以人工智慧與自動化為核心，提升產品規畫與資安分析的效率，並同步強化合規管理與開發體驗。本次更新導入全新Duo Planner與Duo資安分析代理，協助團隊在產品決策與漏洞管理中運用人工智慧自動化分析，並新增Maven虛擬發行管理介面與個人首頁功能，讓平臺操作更直覺。</p> <p>新版GitLab加入2項新的人工智慧代理功能。首先是，針對產品經理設計的Duo Planner代理，能分析待辦清單並運用RICE或MoSCoW等優先排序框架，協助評估開發項目的重要性與時程配置，減少手動整理資料的負擔。另一項Duo資安分析代理則能自動列出專案漏洞，檢視CVE與EPSS分數調整嚴重度，並建立對應議題（Issue），讓資安分析師能更快釐清風險並採取行動。</p> <p>本次GitLab針對自託管與Dedicated版本引入實例級合規與資安政策管理，企業可在單一頂層群組集中建立與配置框架與政策，並套用到整個實例內所有頂層群組與其專案，且各群組仍保有自行定義政策的彈性。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172061"><strong>【11月5日】俄羅斯駭客濫用Hyper-V及Linux VM迴避EDR偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172032"><strong>【11月4日】新型態惡意軟體濫用OpenAI的API隱匿行蹤</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172013"><strong>【11月3日】澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵</strong></a></p> </div></div></div>
2025/11/6 17:18作者周峻佑https://www.ithome.com.tw/news/172086
Google修補Android系統元件零點擊RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/docs/security/bulletin/2025-11-01?hl=zh-tw#2025-11-01-security-patch-level-vulnerability-details" target="_blank">Google本周發布11月Android安全更新</a>，修補二項Android漏洞，包含一個零點擊的遠端程式碼執行漏洞。</p> <p>本月修補的二項漏洞都是位於系統（System）核心元件。其中CVE-2025-48593出在讓攻擊者不必取得額外權限，即可遠端執行程式碼，而且不需任何使用者點擊等互動。本漏洞嚴重性被列為「最高」，影響Android 13到16。</p> <p><a href="https://cybersecuritynews.com/android-0-click-rce-vulnerability/" target="_blank">CybersecurityNews報導</a>，濫用這類漏洞，攻擊者只要傳送改造過的網路封包，或利用側載或第三方軟體平臺載入惡意App。而一旦遠端程式碼執行成功，Android裝置可能被竊取資料、植入勒索軟體或被收編為殭屍網路成員。</p> <p>CVE-2025-48581則為提權（elevation of privilege,EoP）漏洞，意謂攻擊者可在存取裝置後，進一步存取重要資訊或功能元件。本漏洞嚴重性被列為「高」，影響Android 16。</p> <p>由於二漏洞影響的是Android核心元件，因此所有Android裝置都受影響。該公司呼籲所有使用者更新到最新版本Android，並檢查裝置是否顯示為「security patch level of 2025-11-01」以上。不過要注意的是，只有Android 10以上版本的裝置才能獲得更新。兩漏洞是否遭到濫用或存在PoC程式不得而知。</p> <p>Google說，在公告後48小時會將原始碼修補程式發布到Android Open Source Project（AOSP）。</p> </div></div></div>
2025/11/6 10:27作者林妍溱https://www.ithome.com.tw/news/172075
Google Maps即將導入Gemini，帶來全新對話式導航體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/gemini-navigation-features-landmark-lens/" target="_blank">Google周三（11/5）宣布</a>，Google Maps將全面整合AI助理Gemini，推出全新的對話式導航體驗。新版Maps預計於未來數周在Android與iOS上推出，隨後也會在Android Auto支援Gemini。</p> <p>Google Maps產品總監Amanda Leicht Moore表示，這套基於Gemini的新導航體驗結合免手動語音操作與自然對話互動，讓駕駛「就像有位熟門熟路的朋友坐在副駕」，一路協助處理大小事。</p> <p>Gemini助理整合語音與AI推理能力，駕駛可在行進間用口語方式處理多項任務，包括搜尋沿途店家、查詢電動車充電站，或在Android上分享預計抵達時間。例如駕駛可詢問：「沿路有沒有價格親民、又提供素食選項的餐廳？」接著再說：「幫我把明天下午5點的足球練習加到行事曆。」此外，路況通報也變得更自然，只要說一句「前面好像塞車」即可完成回報。</p> <p>Gemini也讓導航指引更直覺，不再只報出距離，而會利用沿途的真實地標來引導方向，例如：「在Thai Siam餐廳後右轉。」Moore指出，Google分析了2.5億個地點，並與Street View交叉比對，以挑選出街景中真正可見、且最有助導航判斷的地標。</p> <p>另有一個交通壅塞提醒，會在使用者尚未啟動導航時，便主動提醒道路前方的異常狀況。</p> <p>即使已抵達目的地，Google Maps依舊還能利用Gemini來強化Lens以協助探索周邊，只要點選搜尋列上的相機，舉起手機就能識別視野中的餐廳、咖啡廳或麵包店，當地圖上出現定位點之後，點選麥克風即可詢問這個地點的特色。</p> <p>在上述的功能中，真實地標導航、主動交通提醒，以及強化版的Lens都會率先於美國市場推出。</p> </div></div></div>
2025/11/6 11:03作者陳曉莉https://www.ithome.com.tw/news/172076
OpenAI Sora Android版已部署到美國、臺灣市場等地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日釋出Android版Sora影片生成程式，將首先推向美國、加拿大、臺灣等7個市場。</p> <p>Sora先是於9月先推出iOS版，下載量在第一周便衝上超過100萬次，躍居App Store第一名。<a href="https://play.google.com/store/apps/details?id=com.openai.sora" target="_blank">Android用戶現在可以在Google Play Store下載</a>。</p> <p><a href="https://help.openai.com/en/articles/12461230-sora-app-and-sora-2-supported-countries" target="_blank">OpenAI並將Sora App使用的模型提升到Sora 2</a>。</p> <p>Sora Android App第一階段將提供給美國、加拿大、臺灣、日本、韓國、泰國及越南等市場。OpenAI警告，在支援市場以外地區存取Sora服務的Android用戶，可能會導致帳號封鎖或停權。</p> <p>一周前，<a href="https://help.openai.com/en/articles/10250692-sora-supported-countries" target="_blank">OpenAI也將Web版Sora及Sora 2推向英國及歐盟</a>。在此之前，<a href="https://www.reddit.com/r/OpenAI/comments/1nv0jyp/sora_2_europe_how_to_activate/" target="_blank">用戶也是設法透過VPN連到美國或加拿大等地區搶先使用</a>。</p> </div></div></div>
2025/11/6 09:58作者林妍溱https://www.ithome.com.tw/news/172073
【資安日報】11月4日，新型態惡意軟體濫用OpenAI的API隱匿行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著企業組織對於資安越來越重視，駭客也透過以合法掩護非法的策略，隱匿攻擊活動以免東窗事發，其中針對遠端透過C2控制受害電腦的手段，最近幾年最常見的是濫用合法雲端服務來達到目的，但這樣的情況本週出現變化，在今天有兩個相關資安事故消息，其中一個是惡意軟體SesameOp的攻擊行動，駭客運用了OpenAI的特定API來達到目的；另一起事故是惡意軟體Airstalk活動，國家級駭客攻擊行動CL-STA-1009濫用裝置管理平臺Workspace ONE Unified Endpoint Management的API而得逞。</p> <p>今天新聞當中，鎖定裝置管理平臺下手的現象也相當值得關注，除了前述的Workspace ONE Unified Endpoint Management，本週有資安業者揭露裝置管理平臺Lanscope Endpoint Manager重大資安漏洞CVE-2025-61932被用於實際攻擊的情況，中國駭客組織Bronze Butler用於入侵受害企業組織。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/172025"><strong style="font-size: 22px;">惡意軟體SesameOp濫用OpenAI的API從事攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SesameOp-fig21.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SesameOp-fig21.png" style="width: 300px; float: right;" /></a></p> <p>為了迴避偵測，駭客經常濫用合法雲端服務建置C2通訊，然而最近有人對AI助理的API下手，以此隱匿行蹤而不被發現。</p> <p>微軟事件回應團隊指出，他們在今年7月發現名為SesameOp的後門程式，其中最特別的地方，就是濫用OpenAI Assistants API作為C2通道。針對這項發現，微軟強調此事並非漏洞或配置錯誤所致，他們與OpenAI分享調查結果，並聯手進行後續處置，OpenAI停用攻擊者的API金鑰及相關帳號。兩家公司進一步調查此事，確認SesameOp僅有運用有限的API呼叫，並未與OpenAI的模型或服務進行互動。</p> <p>微軟是在調查一起複雜的資安事故時，發現這支惡意程式，當時攻擊者已在受害企業組織的網路環境活動數個月。微軟看到駭客設置結構複雜的Web Shell，這些作案工具的用途，就是用來執行攻擊者下達的命令。相關命令透過戰略性設置的惡意處理程序進行中繼處理，而這些處理程序的運作方式，是濫用多個已遭惡意程式庫滲透的Visual Studio公用程式，攻擊者透過名為.NET AppDomainManager注入的手法來啟動，從而達到迴避偵測的目的。</p> <p><a href="https://www.ithome.com.tw/news/172026"><strong style="font-size: 22px;">國家級駭客散布惡意軟體Airstalk，鎖定業務流程外包業者從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-231110-163077-5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-231110-163077-5.png" style="width: 300px; float: right;" /></a></p> <p>駭客以合法服務掩蓋網路犯罪的情況，其中一種就是利用雲端服務來充當C2通訊管道，不過，在最近一起供應鏈攻擊裡，攻擊者竟是透過受害組織的裝置管理平臺來達到目的。</p> <p>資安業者Palo Alto Networks揭露國家級駭客攻擊行動CL-STA-1009，駭客運用名為Airstalk的惡意程式，鎖定業務流程外包業者（BPO）從事供應鏈攻擊，企圖從受害電腦竊取瀏覽器存放的敏感資料，包括Cookie、上網記錄，以及書籤，再者，該惡意程式還能讓攻擊者對受害電腦進行螢幕截圖。</p> <p>此惡意程式的獨特之處，在於駭客濫用VMware的裝置管理平臺Workspace ONE Unified Endpoint Management（原名AirWatch）特定API，來建立C2通道，主要遭到濫用的功能，包含管理自定型態裝置的屬性，以及檔案上傳機制。</p> <p><a href="https://www.ithome.com.tw/news/172029"><strong style="font-size: 22px;">裝置管理工具Lanscope存在重大漏洞，中國駭客Bronze Butler用於散布後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BRONZEBUTLER2510-fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BRONZEBUTLER2510-fig2.png" style="width: 300px; float: right;" /></a></p> <p>10月20日日本電腦緊急應變中心（JPCERT/CC）提出警告，當地軟體業者Motex旗下的裝置管理平臺Lanscope Endpoint Manager存在重大資安漏洞CVE-2025-61932（CVSS風險評為9.8分），該漏洞已被用於攻擊行動，最早可追溯到今年4月，呼籲用戶要儘速套用修補程式，後續美國網路安全暨基礎設施安全局（CISA）將其加入已遭利用的漏洞名冊（KEV），本週有資安業者公布相關攻擊活動的情形。</p> <p>資安業者Sophos指出，被稱為Bronze Butler、Tick的中國駭客組織，將此漏洞用於實際攻擊，他們在今年中旬看到駭客以此取得初始存取管道，然後在受害組織的網路環境提升權限並橫向移動。過程中，使用名為Gokcpdoor的惡意程式，並透過能公開取得的AD資訊轉存工具goddi、遠端桌面連線，以及壓縮軟體7-Zip，進行橫向移動並將竊得的資料傳送到外部。</p> <p>惡意程式Gokcpdoor主要的功能是當作後門，可用來與C2伺服器建立代理伺服器連線來接收命令。但除了運用Gokcpdoor，Sophos也看到Bronze Butler在部分受害主機改用C2框架Havoc。</p> <p><a href="https://www.ithome.com.tw/news/172027"><strong style="font-size: 22px;">Apache OpenOffice員工、程式碼資料疑遭Akira勒索軟體駭客竊取</strong></a></p> <p>根據Cyber Press、Cyber Security News報導，勒索軟體Akira上周宣稱取得開源生產力軟體Apache OpenOffice開發組織的內部資料，包含員工個資、程式碼及漏洞資料，檔案容量共約23 GB。</p> <p>Akira駭客組織10月底在其資料公布網站中聲稱，即將上傳其取得的Apache OpenOffice開發維護單位資料，包括員工個資如實體地址、電話號碼、出生日期、駕照、社會安全碼，以及信用卡資訊。此外，駭客宣稱還握有財務資料、機密文件、以及涉及應用程式漏洞和開發問題的多項報告。</p> <p>不過，目前沒有研究人員證實駭客說法的真實性。Apache軟體基金會發言人拒絕回應此事。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=190702&SPOKE_DATE=20251103&COMPANY_ID=8411"><strong style="font-size: 22px;">金屬包裝容器業者福貞旗下子公司遭網路攻擊</strong></a></p> <p>11月3日金屬包裝容器業者福貞發布資安重訊，指出他們位於福建的子公司發生部分資訊系統遭到網路攻擊的情況。該公司根據目前評估，表示無個資、機密，以及重要文件外洩的情況，對公司營運無重大影響。</p> <p>這則資安重訊很有可能與近期勒索軟體Radar聲稱對其下手有關，威脅情報平臺FalconFeeds.io指出，<a href="https://x.com/FalconFeedsio/status/1985360231728382125">11月3日Radar聲稱入侵Kingcan Holdings Limited</a>，並將該公司列於受害者名單。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/184076/security/old-linux-kernel-flaw-cve-2024-1086-resurfaces-in-ransomware-attacks.html">近兩年前揭露及修補的Linux核心漏洞CVE-2024-1086，已被用於勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/cybercriminals-exploit-remote.html">物流與貨運業者遭到鎖定，歹徒利用遠端管理工具入侵網路環境，竊取貨物牟取經濟利益</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/claude-ai-apis-can-be-abused-for-data-exfiltration/">研究人員揭露濫用Anthropic Claude的API竊取資料的攻擊手法</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/172021"><strong style="font-size: 22px;">DNS伺服器軟體BIND存在高風險資安漏洞，迄今仍有超過6千臺系統尚未修補</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3HEzgMvnG3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3HEzgMvnG3.png" style="width: 300px; float: right;" /></a></p> <p>10月22日網際網路系統協會（ISC）發布DNS伺服器軟體BIND更新，修補3項高風險資安漏洞CVE-2025-40778、CVE-2025-40780，以及CVE-2025-8677，這些漏洞一旦遭到利用，攻擊者有機會遠端進行快取中毒攻擊，或是造成服務中斷（DoS）的現象。由於BIND是目前最普遍使用的DNS伺服器軟體，因此，相關漏洞的處理，茲事體大，用戶應儘速升級9.16.50、9.18.41、9.20.15，或9.21.14版因應。ISC強調，這些漏洞沒有其他替代緩解措施能夠因應。</p> <p>值得留意的是，事隔一週，仍有6千至8千臺BIND伺服器存在相關漏洞。Shadowserver基金會提出警告，他們在10月30日看到8898臺BIND主機尚未修補CVE-2025-40778，到了11月1日降至6653臺。我們實際檢視相關資料，11月2日又出現增加的現象，共有8223臺DNS解析器曝險，其中亞洲地區最多，有3555臺，歐洲與美洲居次，分別有2063臺與1674臺。從國家來看，美國有約1300臺最多，俄羅斯、伊朗，以及法國居次，分別有637、598、547臺。在臺灣，有71臺BIND伺服器尚未修補而曝險。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/11/googles-ai-big-sleep-finds-5-new.html">Google旗下AI資安代理Big Sleep再度立功，於Safari找到5項資安漏洞</a></strong></p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/172028"><strong style="font-size: 22px;">資安專家參與勒索軟體攻擊，遭美國司法部起訴</strong></a></p> <p>美國司法部上個月起訴了涉及散布勒索軟體並向受害組織敲詐的3名駭客：Ryan Goldberg、Kevin Martin，以及另一名未具名的共謀C，根據芝加哥太陽報（Chicago Sun-Times）本周披露，Goldberg是以色列資安業者Sygnia的跨國企業事件回應經理，而Martin則是美國加密貨幣支付暨反詐欺監控服務供應商DigitalMint的勒索軟體威脅談判專家，C同樣也任職DigitalMint。</p> <p>根據起訴書，這3名被告在2023年5月至2025年4月間總計入侵了5家美國企業，包括醫療器材公司、製藥公司、醫療診所、工程公司，以及無人機製造商，部署了ALPHV BlackCat勒索軟體，再索討30萬至1,000萬美元不等的贖金，當中只有被勒索1,000萬美元的醫療器材公司低頭，交出了127萬美元的贖金。</p> <p>這些專家是否濫用其原本職務權限或客戶資訊來發動攻擊，起訴書中並未說明。Sygnia執行長Guy Segal向TechCrunch證實，在公司得知Goldberg涉嫌參與勒索軟體攻擊，已將他解聘。另外兩名被告在執行攻擊行動時，都擔任DigitalMint員工，但皆於今年離職。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171867"><strong style="font-size: 22px;">Mozilla開始要求Firefox擴充程式開發者揭露資料蒐集作法</strong></a></p> <p>Mozilla宣布，自今年11月3日起，所有新提交的Firefox擴充程式都必須在manifest.json檔案新增「browser_specific_settings.gecko.data_collection_permissions」欄位，明確揭露它們是否蒐集或傳輸個人資訊。</p> <p>manifest.json是Google在2009年為Chrome擴充程式所設計的設定檔，用於描述擴充程式的名稱、版本、權限與行為，後被Mozilla採納並應用於Firefox上。「browser_specific_settings.gecko.data_collection_permissions」是Mozilla新建置的欄位，舉凡新擴充程式都必須增設該欄位，就算不蒐集或傳輸個人資料，也要於該欄位中表明「無需資料蒐集權限」。</p> <p>因此，當使用者開始安裝擴充程式時，該資訊將與擴充程式所請求的任何權限一同呈現。倘若該擴充程式公開上架，那麼資料蒐集資訊也會顯示在addons.mozilla.org（AMO）上；若是擴充程式支援桌面版Firefox 140或是Android版Firefox 142以前的版本，那麼開發人員必須在使用者安裝之後，馬上提供一個方法來控制該擴充程式的資料蒐集與傳輸。</p> <p><a href="https://www.ithome.com.tw/news/171723"><strong style="font-size: 22px;">【從AI發現漏洞到自動修補的資安革新】解析美國DARPA AIxCC競賽，高品質修補成決賽勝出重點</strong></a></p> <p>用AI挖掘漏洞今年邁入新里程，相關重要發展，可追溯至2023年，美國白宮宣布舉行AI網路挑戰賽（AIxCC），當時共有42支隊伍報名參賽，目標是設計AI驅動的網路推理系統（Cyber Reasoning System，CRS），發展可自動發現與修補漏洞的解決方案。</p> <p>這項賽事歷經兩年的比拚，今年8月，美國國防高等研究計畫署（DARPA）公布最終成績，並揭示決賽帶來的重大成果，自動修補能力更是成為最新關注焦點。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/mitre-attack/attack-v18-8f82d839ee9e">MITRE發布第18版資安框架ATT&CK，大幅調整偵測層面，遷移至結構化及行為為中心的策略</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/172013"><strong>【11月3日】澳洲尚有超過150臺思科IOS XE路由器遭BadCandy入侵</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171989"><strong>【10月31日】駭客宣稱經營開源專案，實則明目張膽發展網路犯罪工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171973"><strong>【10月30日】NPM套件攻擊行動出現新型態攻擊手法，駭客濫用罕見功能迴避偵測</strong></a></p> </div></div></div>
2025/11/4 16:44作者周峻佑https://www.ithome.com.tw/news/172032
YouTube因AI重組開始優退美國員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI興起，Google旗下YouTube上周宣布組織調整，並啟動美國員工自願離職方案。</p> <p><a href="https://sources.news/p/youtube-announces-ai-reorg-and-layoffs" target="_blank">Sources引述消息人士報導</a>，YouTube執行長Neal Mohan上周透過內部信件宣布此事，也獲得官方證實。</p> <p>Mohan在內部備忘錄中指出，未來YouTube下一領域是AI，AI具有潛力改造平臺的方方面面，而YouTube必須要讓自己更能把握這個契機。他說，這是對YouTube核心領導結構十年來的第一次更新。</p> <p>伴隨這次宣布YouTube啟動美國員工的自願離職方案。此外，YouTube也宣布產品部門將切分成三個團隊，全部直接向Mohan報告。三個部門分別是訂閱產品，包括YouTube Music & Premium及OTT；Viewer產品主要在使用者體驗的改善，包含YouTube App、YouTube Kids、Learning等；以及創作者&社群，主要任務為支援創作者和維運社群。</p> <p>最新宣布顯示YouTube計畫裁減中間管理職，藉由組織扁平化加速作業效率。而其他科技巨擘也都在今年基於AI到來，而採取加速組織運作、預算集中AI的人員精簡行動，包括<a href="https://www.ithome.com.tw/news/169864" target="_blank">微軟</a>裁員9000人、<a href="https://www.ithome.com.tw/news/171831" target="_blank">Meta</a>重組AI部門、<a href="https://www.ithome.com.tw/news/171911" target="_blank">Amazon</a>因為要減少中間層級而裁減1.4萬人、年初<a href="https://www.ithome.com.tw/news/167215" target="_blank">Google</a>對硬體及Android部門進行優退等。</p> </div></div></div>
2025/11/3 20:35作者林妍溱https://www.ithome.com.tw/news/172014
開源社群聯手倡議，呼籲維持Android開放性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在8月宣布，從2026年9月起Android認證裝置僅能安裝，經開發者驗證並完成註冊的應用，此政策涵蓋第三方市集與側載（Sideloading）應用程式。首波自2026年9月起於巴西、新加坡、泰國與印尼實施，2027年起擴大到更多地區，Google強調此舉是為提高防詐與惡意軟體防護，並不等同關閉側載。</p> <p>開源社群以<a href="https://keepandroidopen.org">Keep Android Open</a>為號召，網站彙整監管機關投訴窗口、開放信連署與Google問卷回饋，主張新制可能壓縮第三方應用市集與自由發布空間，並促請監管單位審視其對市場競爭與數位主權的影響。</p> <p>依Google對外文件，未完成驗證與註冊的開發者，所屬應用未來將無法在認證裝置上安裝。不過，驗證將蒐集開發者姓名、聯絡資訊，並可能要求政府核發身分證明。Google同時建立Android Developer Console供僅在Play以外的發行者使用，並規畫學生與業餘開發者的受限發布帳戶，這類帳戶免收25美元一次性費用，但發布規模有安裝數上限，而完整發布帳戶則需收取一次性25美元費用。</p> <p>受影響最受關注的是以自由軟體為主的F-Droid，該專案在9月與10月連續發文，表示要是所有應用必須透過Google驗證註冊，F-Droid將難以維持既有的審查與發行流程，因此專案方無法代替上游開發者向Google登記套件識別與金鑰。</p> <p>Google在常見問題中明確表示，開發期間可透過ADB安裝未驗證應用，企業以受管控通道發放的內部應用也不在此限，也就是說，開發測試與企業內部發布可持續，但面向一般使用者的公開安裝則需完成身分與應用註冊。</p> <p>截至10月30日，<a href="https://news.ycombinator.com/item?id=45742488">Hacker News相關討論串</a>獲得超過2,500點數與約800則留言，社群普遍對新制可能削弱第三方市集與F-Droid的可用性表達憂慮，主張應保留裝置擁有者的選擇權與可關閉的安全開關，也有人認為真正風險多源於社交工程與合法應用情境加上權限誤用，強化身分驗證未必能有效減少詐騙。</p> <p>另有開發者主張把資源投入替代平臺如PostmarketOS，不再向Google請願維持開放，但也有意見指出銀行與政府App的依賴使一般使用者難以脫離主流平臺。少數聲音支持更嚴格的驗證以抑制惡意軟體，並提到歐盟等監管機制可能成為後續變因。</p> </div></div></div>
2025/10/31 08:06作者李建興https://www.ithome.com.tw/news/171974
【資安日報】10月29日，勒索軟體Qilin今年6月與8月均聲稱對近百個組織下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及勒索軟體威脅，許多人第一個會想到<a href="https://www.ithome.com.tw/tags/lockbit">LockBit</a>，也有人可能會想到今年上半犯案連連的<a href="https://www.ithome.com.tw/tags/dragonforce">DragonForce</a>，然而，與上述兩個勒索軟體<a href="https://www.ithome.com.tw/news/171615">結盟</a>的<a href="https://www.ithome.com.tw/tags/qilin">Qilin</a>，他們的活動也不斷出現在近期新聞版面，例如：該組織於8月底宣稱<a href="https://www.ithome.com.tw/news/170849">入侵日產汽車旗下設計公司CBI</a>，9月底傳出朝日啤酒遭勒索軟體，<a href="https://www.ithome.com.tw/news/171609">Qilin也表明是他們所為</a>。在上週<a href="https://www.ithome.com.tw/news/171904">趨勢科技公布這些駭客的攻擊手法</a>後，本週思科威脅情報團隊Talos公布最新調查結果，指出這些駭客曾在6月及8月，都入侵接近100個企業組織，其中又以製造業受害的情況，最為嚴重。</p> <p>最近兩年的商業間諜軟體活動，相關攻擊多半鎖定行動裝置，但最近有一項Chrome零時差漏洞的調查結果引起關注，半年前發現Chrome零時差漏洞CVE-2025-2783攻擊行動的資安業者卡巴斯基，指出這起事故是一度消聲匿跡的Hacking Team東山再起，他們成立名為間諜軟體開發公司Memento Labs，並發起這波攻擊行動。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171928"><strong style="font-size: 22px;">思科回顧今年勒索軟體Qilin攻擊事故，6月與8月均有近百個組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qilin_6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qilin_6.jpg" style="width: 300px; float: right;" /></a></p> <p>從年初至今，勒索軟體Qilin的攻擊事故不斷傳出，這樣的威脅態勢引起資安業者關注，並公布相關調查結果供企業組織防範，在趨勢科技指出這些駭客運用Linux版加密程式迴避偵測之後，有其他資安團隊揭露新的發現。</p> <p>思科威脅情報團隊Talos指出，Qilin在今年6月與8月公布的受害企業組織數量達到高峰，這兩個月攻擊者都聲稱有接近100家遭駭，不過，即使是其他月份，幾乎都有超過40家受害，這樣的情況使其成為全球最具威脅的勒索軟體。從受害組織的產業類型來看，製造業接近四分之一（23%）最嚴重，其次是專業與技術服務，以及批發貿易，分別占18%與10%。</p> <p>針對這些駭客手法的特性，Talos特別提及在竊取資料的流程，他們廣泛濫用名為Cyberduck的開源工具，而對於資料內容的重要性，Qilin會透過作業系統內建的記事本（notepad.exe）、小畫家（mspaint.exe），以及IE瀏覽器（iexplore.exe）開啟檔案來確認，試圖在大量檔案找出有價值的敏感資料。而對於加密工具的運用，Talos發現有兩種型態，其中一種加密程式透過公用程式PsExec進行跨主機散布，另一種則是能對網路共享資料夾進行加密，在部分攻擊行動裡，Qilin會同時運用兩種工具來加密檔案。</p> <p><a href="https://www.ithome.com.tw/news/171932"><strong style="font-size: 22px;">義大利間諜軟體開發商東山再起，濫用Chrome零時差漏洞散布惡意程式Dante</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" style="width: 300px; float: right;" /></a></p> <p>今年3月Google修補Chrome零時差漏洞CVE-2025-2783（CVSS風險評為8.3分），當時通報此事的資安業者卡巴斯基指出，這項出現在Windows版Mojo元件的漏洞，有機會繞過Chrome沙箱保護機制，且已被用於網釣攻擊Operation ForumTroll，本週他們公布更多細節。</p> <p>從事這波攻擊行動的駭客組織，與義大利間諜軟體開發公司Memento Labs有關。這家公司的前身被稱為Hacking Team，相關活動可追溯到2022年，主要目標就是俄羅斯及白俄羅斯的人士。一旦收信人點選釣魚郵件的連結，並透過Chrome或其他以Chromium為基礎開發的瀏覽器存取，就會觸發CVE-2025-2783，最終導致電腦感染間諜軟體Dante。卡巴斯基根據程式碼的相似性，研判Operation ForumTroll活動裡，運用了Memento Labs開發的作案工具。</p> <p>基本上，只要受害者點選釣魚郵件的連結，就會觸發電腦感染Dante的流程，將受害者導向惡意網站並進行漏洞利用。攻擊者針對收信人寄送量身打造的釣魚信，聲稱要邀請他們參與世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」。值得留意的是，攻擊者精通俄文，且符合當地書信寫作方式，完全沒有語言方面的錯誤，而這正是從事這波活動的APT駭客特徵。</p> <p><a href="https://www.ithome.com.tw/news/171929"><strong style="font-size: 22px;">Google駁斥數百萬筆Gmail信箱外洩</strong></a></p> <p>資安專家Troy Hunt撰文透露，主持威脅情報分析平臺Synthient的美國大四學生Ben撰寫名為＜The Stealer Log Ecosystem: Processing Millions of Credentials a Day＞的資安報告，探討竊資軟體生態系運作方式，為此他蒐羅遭到竊資軟體盜取而流落到眾多公開及暗網資料源的Gmail憑證，搜集的平臺包含社群平臺、論壇、Telegram及Tor等。最後，這名研究人員將這批資料提供給了Hunt主持的非營利網站Have I Been Pwned（HIBP）建立外洩資料庫，方便用戶查詢自己資料是否外洩。</p> <p>然而，上述消息經媒體報導，已經變成1.83億筆資料從Gmail外流，使得Google於10月28日在社群網站X駁斥這是假消息，強調Gmail具有強大防護，使用者都獲得持續的保障。該公司指出，該報導是「不準確的，是對竊資軟體資料庫的誤解」。因為這些資料源自是過去蒐集自網際網路的資料，並非特定人、工具或平臺遭到新攻擊。</p> <p>對此，Hunt也發文說明，Synthient的資料集並非是Gmail被駭，而是裝置被惡意程式感染之後，遭到竊取的用戶憑證，只是Gmail是最大業者，故資料佔多數。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-herodotus-android-malware-fakes-human-typing-to-avoid-detection/">安卓惡意程式Herodotus為避免活動被察覺有異，刻意模仿人類打字的頻率</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-atroposia-malware-comes-with-a-local-vulnerability-scanner/">惡意軟體Atroposia整合漏洞掃描工具，以便攻擊者進行後續攻擊活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/bidi-swap-the-bidirectional-text-trick-that-makes-fake-urls-look-real/">資安業者揭露BiDi Swap手法，可透過瀏覽器解讀文字方向的方式愚弄使用者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phantomcaptcha-clickfix-attack-targets-ukraine-war-relief-orgs/">新型態ClickFix攻擊PhantomCaptcha鎖定烏克蘭戰爭而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-cophish-attack-steals-oauth-tokens-via-copilot-studio-agents/">新型態攻擊手法濫用Microsoft Copilot Studio，攻擊者可竊取OAuth憑證</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171935"><strong style="font-size: 22px;">研究揭露TEE.fail攻擊，1000美元裝置可破解Intel、AMD處理器與Nvidia GPU機密運算</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TEE_fail-la.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/TEE_fail-la.jpg" style="width: 300px; float: right;" /></a></p> <p>喬治亞理工與普渡大學研究團隊公布TEE.fail研究，證實以低成本DDR5記憶體匯流排攔截即可破壞現代可信執行環境（Trusted Execution Environment，TEE）保護。團隊在實驗中，從Intel TDX與AMD SEV-SNP系統提取關鍵金鑰與證明資訊，進而偽造可通過官方驗證的證明報告（Quote），衝擊雲端機密運算的信任基礎。研究同時指出，Nvidia機密運算的信任鏈受CPU端TEE影響，存在被間接繞過的風險。</p> <p>TEE.fail研究重點在於DDR5匯流排攔截裝置，能被動觀察DRAM讀寫流量。雖然CVM（Confidential Virtual Machine）記憶體內容經加密，但Intel與AMD的實作採用與實體位址相關的決定性加密，導致相同明文在相同實體位址會產生相同密文（Ciphertext），攻擊者不需解密即可比對特徵，鎖定加密運算的關鍵步驟。</p> <p>此攻擊手法不僅影響CPU，Nvidia機密運算透過與CVM建立加密通道以及遠端證明來保護GPU工作負載，但研究指出，GPU證明未綁定特定CVM身分，攻擊者可借用他處取得的合法報告，來誤導其工作負載受保護，實際卻可能在非機密的環境運行。</p> <p><a href="https://www.ithome.com.tw/news/171939"><strong style="font-size: 22px;">微軟修補有史以來最嚴重的ASP.NET Core漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/request_smuggling_06.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/request_smuggling_06.png" style="width: 300px; float: right;" /></a></p> <p>10月份例行更新（Patch Tuesday）微軟一口氣修補175個資安漏洞，其中有3個已被用於實際攻擊、3個在微軟公開前被揭露最受到關注，但後來有另一項風險值接近滿分的資安漏洞也受到各界的注意，並引起高度討論。</p> <p>這項資安漏洞可被用於繞過安全功能，登記編號為CVE-2025-55315，存在於ASP.NET Core，CVSS風險評為9.9（滿分10分），攻擊者可透過發送惡意的HTTP請求來觸發，一旦成功利用，攻擊者就有機會檢視敏感資訊，例如：存取其他使用者的身分驗證資料、竄改目標伺服器的檔案，以及造成伺服器當機，影響機密性、完整性，以及可用性。微軟針對ASP.NET 2.3、8.0、9.0，以及Visual Studio 2022發布修補程式。</p> <p>本週ASP.NET開發人員Andrew Lock發布部落格文章公布更多細節，並指出這項漏洞為何被認定極為危險，因為攻擊者一旦用來發動HTTP請求走私攻擊，就有可能從事各式惡意行為。他說明這項漏洞造成的原因，與名為Chunk Extensions與chunked transfer encoding的功能對HTTP請求的處理過於寬鬆有關，在特定的情況下，\n有可能被錯誤解讀，而引發HTTP請求走私。</p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171837"><strong style="font-size: 22px;">AIxCC競賽隊伍現身HITCON 2025，解析用AI發現修補漏洞的經驗</strong></a></p> <p>今年AI資安技術出現新亮點，重大進展在於，業界開始出現懂得運用AI自動發現並修補漏洞的團隊。這場技術革命的引爆點，是美國DARPA兩年前宣布舉辦的AI Cyber Challenge（AIxCC）競賽，今年8月勝負結果出爐，決賽團隊打造的網路推理系統（CRS）系統也開源釋出，可望促進後續更多的應用與創新，並加速整個產業的變革。</p> <p>此一全新技術變革，也是臺灣資安界關注的焦點。今年8月舉行的台灣駭客年會HITCON 2025，特別邀請到AIxCC的3支決賽隊伍成員，來臺親自分享第一手資訊，揭露開發可自主發現與修補漏洞系統的經驗。對於尚未接觸過AI漏洞修補技術的臺灣資安從業者或資安生力軍，可藉此了解發展這些應用的過程與構想。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月28日】OpenAI推出的AI瀏覽器存在設計瑕疵，攻擊者可用假網址下達惡意指令</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171874"><strong>【10月27日】微軟發布WSUS緊急更新，起因疑與漏洞攻擊活動有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171847"><strong>【10月23日】中國駭客針對歐洲及中東電信業者從事網路間諜活動</strong></a></p> </div></div></div>
2025/10/29 17:53作者周峻佑https://www.ithome.com.tw/news/171940
Mozilla開始要求Firefox擴充程式開發者揭露資料蒐集作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2025/10/23/data-collection-consent-changes-for-new-firefox-extensions/" target="_blank">Mozilla上周宣布</a>，自今年11月3日起，所有新提交的Firefox擴充程式都必須在manifest.json檔案新增「browser_specific_settings.gecko.data_collection_permissions」欄位，明確揭露它們是否蒐集或傳輸個人資訊。</p> <p>manifest.json是Google在2009年替Chrome擴充程式所設計的設定檔，用於描述擴充程式的名稱、版本、權限與行為，後被Mozilla採納並應用於Firefox上。「browser_specific_settings.gecko.data_collection_permissions」是Mozilla新建置的欄位，舉凡新擴充程式都必須增設該欄位，就算不蒐集或傳輸個人資料，也要於該欄位中表明「無需資料蒐集權限」。</p> <p>因此，當使用者開始安裝擴充程式時，該資訊將與擴充程式所請求的任何權限一同呈現。倘若該擴充程式公開上架，那麼資料蒐集資訊也會顯示在addons.mozilla.org（AMO）上；若是擴充程式支援桌面版Firefox 140或是Android版Firefox 142以前的版本，那麼開發人員必須在使用者安裝之後，馬上提供一個方法來控制該擴充程式的資料蒐集與傳輸。</p> <p>任何擴充程式一旦開始使用此一新欄位，就必須在之後的版本繼續使用，需要使用它卻沒有正確設定的話，Mozilla即會拒絕讓它登上AMO。</p> <p>新的Firefox擴充程式在今年11月3日之後都必須遵守上述規範，Mozilla預計於明年上半年將該規範擴大到所有擴充程式。</p> </div></div></div>
2025/10/27 13:17作者陳曉莉https://www.ithome.com.tw/news/171867
Swift SDK登陸Android，開發者可在多平臺共用程式碼庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Swift官方<a href="https://www.swift.org/blog/nightly-swift-sdk-for-android/">釋出</a>Swift SDK for Android Nightly預覽版，讓開發者能以原生Swift建置Android應用，並強調可在iOS、Android與伺服端之間共享商業邏輯與程式碼庫。此為Swift擴大跨平臺版圖的重要一步。</p> <p>目前SDK已開放下載，官方同步提供教學與示範專案，協助開發者把Swift套件帶到Android。開發者可在Windows、macOS或Linux環境開始嘗試，但此階段仍屬預覽，重點在驗證流程與回饋實務經驗。</p> <p>在互通層面，swift-java專案同時提供函式庫與程式碼產生工具，能在Swift與Java之間自動生成安全且高效的雙向繫結。這讓開發者能更輕鬆地將既有的Swift商業邏輯導入Android專案，也能在Swift端直接呼叫Java函式庫，縮短跨語言整合的開發流程並提升維護效率。</p> <p>Swift Package Index今年中引入Android相容性量測，顯示約27.9％的套件已能在Android建置，也就是說，以非UI層為主的跨平臺共享已具備基礎。社群展示頁面與索引亦逐步標注Android支援情況，有利團隊評估移植成本與風險。</p> <p>Android工作小組已公開章程、維護專案看板與官方持續整合工作管線，並在Swift論壇開啟對應討論串。同時，Android願景文件已提交至swift-evolution正在審查，目標把Android納入官方支援等級。</p> </div></div></div>
2025/10/27 08:05作者李建興https://www.ithome.com.tw/news/171859
通用汽車準備導入Google Gemini，全面棄用蘋果CarPlay與Android Auto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通用汽車（General Motors，GM）在<a href="https://news.gm.com/home.detail.html/Pages/news/us/en/2025/oct/1022-SDV-GM-centralized-vehicle-computer-platform-electric-gas-vehicles.html" target="_blank">本周舉行的GM Forward年度活動上宣布</a>，將於2028年推出一套全新、同時適用於電動與燃油車的中央車載運算平臺，並同步實現<a href="https://news.gm.com/home.detail.html/Pages/news/us/en/2025/oct/1022-AI-GM-launch-eyes-off-driving-conversational-AI.html" target="_blank">放手駕駛（Eyes-off Driving）功能</a>。</p> <p>此外，GM執行長Mary Barra與產品長Sterling Anderson也<a href="https://www.theverge.com/podcast/803379/gm-ceo-mary-barra-sterling-anderson-cadillac-iq-ev-autonomy-interview" target="_blank">在The Verge的Decoder播客節目上證實</a>，該公司將全面棄用蘋果CarPlay與Android Auto，並於2026年導入Google Gemini作為車載AI助理。</p> <p>CarPlay與Android Auto讓車主可將手機畫面投射至車載螢幕，操作導航、音樂與通訊功能。這十年間，這兩套系統成功彌補了傳統車載系統在操作體驗、應用匱乏與軟體更新上的不足。但如今，GM決定改採Android Automotive OS與Google Built-in等嵌入式系統，將這些能力直接內建於車載平臺中，讓駕駛無須再在手機與車機間切換。</p> <p>目前GM多數電動車已不再支援CarPlay與Android Auto，燃油車未來也將逐步停止支援。自2026年起，新車將搭載Google Gemini，讓駕駛可用自然語言查詢路線、訊息、行程與車況，實現對話式AI互動。</p> <p>到了2028年，GM會推出全新的中央車載運算平臺，整合所有電子控制單元，透過高速乙太網路連結動力、轉向、煞車與安全系統。此架構可大幅減少車載模組數量，讓軟體能跨車系使用，並標誌GM汽車正式邁向「可升級的AI裝置」。</p> <p>同年登場的「放手駕駛」則讓駕駛人在高速公路上可暫時眼離方向盤，由系統自動行駛，達到Level 3的有條件自動駕駛水準。</p> <p>無論是中央車載運算平臺還是放手駕駛，兩者都將率先搭載於Cadillac ESCALADE IQ車款。</p> </div></div></div>
2025/10/23 14:46作者陳曉莉https://www.ithome.com.tw/news/171835
【資安日報】10月22日，歐洲拆除被用於超過3千起網路詐欺的貓池
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前，美國在聯合國會議場地附近查獲有10萬張SIM組成的大型貓池（Modem Pool，國外稱SIM Farm或SIM Box），初步推測用途是監控特定人士通訊，而且如此龐大的設備規模，可能會對紐約市行動通訊造成干擾。近日歐洲刑警組織（Europol）宣布破獲另一座大型貓池，能讓4萬張SIM運作，雖然規模略小，但他們提及，歹徒將其發展成租用服務，供網路罪犯用於各式詐騙，影響範圍可能遍及全球各地，而且，導致的損失恐怕難以估計，因為光是在奧地利與拉脫維亞兩國，合計就有超過3千起事故。</p> <p>歐洲刑警組織警告，這種貓池將會助長多種網路犯罪，例如，網路二手市集詐騙、小孩發生緊急事故急需用錢的詐騙、投資詐騙，以及假冒店家、銀行、警察的詐騙行為。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171795"><strong style="font-size: 22px;">逾26萬F5 BIG-IP執行個體曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/statistics-tree-map-F5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/statistics-tree-map-F5.png" style="width: 300px; float: right;" /></a></p> <p>上周網路設備商F5公告遭遇國家駭客竊取程式碼及漏洞資訊，危及F5客戶。本周非營利組織ShadowServer研究顯示，有超過26.6萬臺F5 BIG-IP執行個體曝露於網際網路上，而面臨駭客攻擊風險。其中臺灣也有2,400個有風險。</p> <p>根據ShadowServer的追蹤，在10月20日，網路上具有F5 BIG-IP指紋（fingerprint）的IP位址有261,296個，其中近半（142,000）位於美國，另外11,000個分布於歐洲及亞洲。以國家而言，美國以13萬個居第一，臺灣亦有2,407個IP曝險。不過，對於這些曝露在網際網路的BIG-IP系統，有多少已經更新到最新版本軟體而能防護相關威脅，目前仍不得而知。</p> <p>雖然F5在公告中未說明攻擊者身分，但根據彭博報導，F5在寄給客戶的郵件中，將攻擊來源指向中國駭客，並提供和後門程式Brickstorm有關的防護指示。針對Brickstorm這支惡意程式的來歷，最早是Google去年追查中國駭客UNC5291主導的攻擊行動中首次發現。</p> <p><a href="https://www.ithome.com.tw/news/171796"><strong style="font-size: 22px;">CISA警示高風險Windows SMB漏洞已被攻擊者利用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於10月20日發布的安全警示通報中，將今年6月發現的Windows SMB檔案存取漏洞，列入已知利用漏洞清單（KEV），指示聯邦政府機構3週內須完成修補，同時也敦促包括民營單位在內的所有機構盡速跟進，以保護系統。</p> <p>這次被列入KEV清單中的Windows SMB檔案存取漏洞，是2025年6月10日正式發布的CVE-2025-33073，為CVSS嚴重性等級評分8.8的重大漏洞，源自不當的存取控制，會導致經授權的使用者利用網路提升權限。</p> <p>這個漏洞會影響所有Windows Server、Windows 10版本，以及最高至24H2版的 Windows 11。微軟已在2025年6月10日周二發布的修補程式中，修補了這個漏洞，不過當時並未表示這個漏洞已被積極利用。</p> <p><a href="https://www.ithome.com.tw/news/171749"><strong style="font-size: 22px;">安卓間諜軟體ClayRat鎖定俄羅斯而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Oct-07-2025-09-11-10-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Oct-07-2025-09-11-10-8.png" style="width: 300px; float: right;" /></a></p> <p>美國行動裝置資安業者Zimperium揭露新的Android惡意程式ClayRat，它鎖定俄羅斯用戶，並偽裝成WhatsApp、Google Photos、TikTok與YouTube等熱門程式來吸引受害者安裝，主要從事間諜活動。</p> <p>駭客是先註冊了許多假冒為熱門程式的服務頁面，直接提供含有ClayRat的偽造程式；或是將使用者導至可直接下載APK的Telegram頻道；或者提供偽造的升級按鍵，還會附帶安裝說明以鼓勵使用者繞過Android的內建安全警告。</p> <p>不過，最可怕的感染途徑是，當有受害者安裝了惡意程式，同時賦予預設SMS處理器（Default SMS Handler）權限時，代表ClayRat可讀取裝置上所有簡訊、在不需額外確認下發送新簡訊、攔截或優先接收簡訊，並存取或修改簡訊資料庫；駭客便會利用此功能，透過受害者手機向通訊錄所有聯絡人發含惡意連結的簡訊，造成快速自我擴散。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-evolve-malware-pushed-in-i-am-not-a-robot-clickfix-attacks/">俄羅斯駭客ColdRiver透過圖靈驗證從事ClickFix網釣，散布惡意軟體NoRobot、MaybeRobot</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/self-spreading-glassworm-malware-hits-openvsx-vs-code-registries/">具備自我散布能力的GlassWorm鎖定Visual Studio市集、OpenVSX用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vidar-stealer-20-adds-multi-threaded-data-theft-better-evasion/">竊資軟體Vidar Stealer 2.0透過多執行緒加快竊取資料速度</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/hackers-used-snappybee-malware-and.html">中國駭客Salt Typhoon鎖定歐洲電信業者而來，利用惡意程式Snappybee滲透網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/183640/data-breach/russian-lynk-group-leaks-sensitive-uk-mod-files-including-info-on-eight-military-bases.html">英國國防部的承包商傳出遭俄羅斯駭客入侵，員工個資與國防部人員聯絡資訊外流</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171744"><strong style="font-size: 22px;">GitHub Copilot Chat存在CamoLeak弱點，可洩漏私有程式碼與密鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rick.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/rick.png" style="width: 300px; float: right;" /></a></p> <p>Legit Security研究人員揭露GitHub Copilot Chat存在CVSS評分高達9.6的高風險漏洞CamoLeak。此弱點可在使用者未察覺的情況下，將私有儲存庫中的程式碼與金鑰等敏感資訊外洩，且能影響Copilot的回應內容，包含引導安裝惡意套件或點擊連結。GitHub現已停用Copilot Chat的影像算繪功能作為緩解措施，並封鎖透過Camo進行資料外洩的途徑。</p> <p>Copilot Chat以提問者的權限運作，並將儲存庫內容與當前頁面相關資訊納入上下文，例如程式碼、提交紀錄與拉取請求，該功能雖可貼近專案回應，但同時也擴大攻擊面。研究顯示，攻擊者可透過存放在拉取請求描述的隱藏註解植入提示，任何瀏覽該頁面的使用者其Copilot都可能將這段內容納入上下文，進而在受害者權限下執行攻擊者指定的動作。</p> <p>研究利用GitHub自家的影像代理機制Camo，突破瀏覽器嚴格的內容安全政策。一般情況下，含外部圖片的Markdown會被改寫成camo.githubusercontent.com的簽章URL，再由GitHub代理抓取。研究人員指出，透過事先準備可驗證的Camo連結並引導Copilot於回應中算繪，瀏覽器即會向攻擊者控制的來源發出請求，達成靜默外洩。雖未牽涉到任意程式碼執行，但因Copilot以受害者身分運作，影響範圍包含私有程式碼、金鑰與尚未公開的弱點描述。</p> <p> </p> <h3>【執法行動】</h3> <p><a href="https://www.ithome.com.tw/news/171800"><strong style="font-size: 22px;">歐洲進行SIMCartel執法行動，拆除被用於超過3千起網路詐欺的貓池</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OP-SIMCARTEL-6.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OP-SIMCARTEL-6.jpg" style="width: 300px; float: right;" /></a></p> <p>10月17日歐洲刑警組織（Europol）宣布，他們與歐盟刑事司法合作署（Eurojust），以及奧地利、愛沙尼亞、芬蘭和拉脫維亞的執法人員聯手，成功執行代號為SIMCartel的執法行動，破獲經營大型貓池（Modem Pool，國外稱SIM Farm或SIM Box）的網路犯罪的租用服務（Cybercrime-as-a-Service），總共逮捕7名嫌犯、查獲約1200臺SIM Box裝置，當中有4萬張SIM卡正在運作。</p> <p>執法單位總共進行26次搜查，總共查封5臺用來建置非法服務基礎設施的伺服器、接管兩個用於提供服務的網站（gogetsms.com和apisim.com），另起出數十萬張的SIM卡。而對於不法所得，他們凍結嫌犯銀行帳戶43.1萬歐元存款，以及33.3萬美元的加密貨幣，並查獲4輛豪華車輛。</p> <p>針對這個貓池設施帶來的危害，歐洲刑警組織指出，這些歹徒的犯罪網路及基礎設施相當複雜，使得全球各地的網路犯罪者都能向他們租用，在社群網站及即時通訊平臺設置假帳號，以便從事各式與電信有關的非法活動。經參與執法行動的相關單位統計，光是在奧地利與拉脫維亞，各自與1仠5百起以上的網路詐欺活動有關，並造成450萬歐元、42萬歐元的經濟損失。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171789"><strong>【10月21日】AWS驚傳大當機近3小時，142項服務被牽連</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171765"><strong>【10月20日】美國資安公司F5遭駭，有媒體點名是中國駭客組織UNC5221所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171739"><strong>【10月17日】思科交換器遭到SNMP零時差漏洞攻擊</strong></a></p> </div></div></div>
2025/10/22 17:10作者周峻佑https://www.ithome.com.tw/news/171813
OpenAI發表自家瀏覽器ChatGPT Atlas，率先登陸macOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-chatgpt-atlas/" target="_blank">OpenAI周二（10/21）發表了全新的AI瀏覽器ChatGPT Atlas</a>，它把聊天機器人ChatGPT深度整合至瀏覽器核心，除了新分頁的中心就是一個ChatGPT對話框之外，不論到哪個網站都可以點選網址列上的「詢問ChatGPT」（Ask ChatGPT），它就會出現在側邊欄。不過，目前ChatGPT Atlas僅有macOS版本，但同時支援免費版、Plus版、Pro版和Go版用戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1022-ChatGPT%20Atlas-3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1022-ChatGPT%20Atlas-1.png" style="width: 600px;" /></p> <p>在傳統瀏覽器上開啟分頁時，滑鼠游標的預設擺放位置是在網址列上，而在ChatGPT Atlas上開啟分頁時，滑鼠游標是出現在網頁中央的ChatGPT輸入框中，彰顯出ChatGPT Atlas企圖顛覆人們使用瀏覽器的方式。</p> <p>儘管OpenAI沒有公開說明，但<a href="https://en.wikipedia.org/wiki/ChatGPT_Atlas" target="_blank">維基百科（Wikipedia）上</a>寫著，ChatGPT Atlas奠基在由Google主導的Chromium專案上。至於ChatGPT所使用的搜尋引擎則是微軟的Bing。</p> <p>ChatGPT Atlas中的ChatGPT功能與平常差不多，免費版與Go版用戶可以用它來聊天、協助閱讀、解釋、翻譯、摘要或整理頁面內容，也能進行基本搜尋；而Plus版及Pro版用戶除了上述之外，還可測試Agent Mode功能，在瀏覽器中要求代理人執行各種任務，例如跨站搜尋並比較產品，自動生成報告與摘要，以及理解及操作動態內容等。</p> <p>OpenAI表示，AI 帶來了重新定義「網路使用」的契機，去年該公司在ChatGPT中新增了搜尋功能，而它很快就成為用戶最常使用的功能之一，然而，瀏覽器才是人們匯集工作、工具及脈絡之處，內建ChatGPT的瀏覽器才更像是一個真正的超級助理，可以理解使用者的世界並協助使用者達到目標。</p> <p>ChatGPT Atlas具備記憶功能（Browser Memories），啟用後可自動記住使用者瀏覽或對話中的重點，以改善未來的對話，使用者可隨時檢視、編輯或刪除記憶。預設也關閉了利用瀏覽內容來訓練模型的能力。</p> <p>現階段ChatGPT每週活躍用戶已達8億人，市場分析認為，ChatGPT Atlas讓使用者可直接於瀏覽器中使用AI，可能挑戰Google Chrome霸主地位，若未來在Atlas加入廣告，亦將侵蝕Google的廣告收入。</p> <p>ChatGPT Atlas亦針對Business用戶推出了測試版，Enterprise與Edu用戶則可在管理人員啟用後存取該服務，至於支援Windows、iOS及Android的版本也很快就會出爐。</p> </div></div></div>
2025/10/22 14:37作者陳曉莉https://www.ithome.com.tw/news/171807
【資安週報】1013~1017，微軟正式終止支援Windows 10，還沒有延伸安全更新或升級的用戶當心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧國慶連假後10月第三星期的資安新聞，主要新聞焦點是微軟於10月14日正式終止支援Windows 10，以及Exchange Server 2016/2019、Office 2016/2019，尚未申請延伸安全更新或升級的用戶需特別注意，因為舊版不再提供常規安全更新，也就無法獲得漏洞修補更新。</p> <p>在漏洞消息方面，這一星期多家IT、OT業者發布每月例行安全更新，需要大家儘快修補因應，其中微軟一次修補了175個漏洞，數量創今年之最，其中有6個是零時差漏洞，有3個已被用於實際攻擊，包括CVE-2025-24990、CVE-2025-47827、CVE-2025-59230，還有3個在微軟公開之前已被揭露。</p> <p>Cisco亦修補旗下交換器已遭利用的SNMP相關零時差漏洞CVE-2025-20352，後續趨勢科技揭露相關攻擊手法，並命名為Operation Zero Disco。</p> <p>關於其他已知漏洞利用消息，包括：Adobe在8月修補的體驗管理方案的漏洞CVE-2025-54253，Rapid7在6月修補Velociraptor開源端點監控與鑑識工具的漏洞CVE-2025-6264，以及基於Linux的唯讀作業系統IGEL OS在6月修補的漏洞CVE-2025-47827，如今都發現有攻擊者鎖定未修補用戶攻擊的情形。</p> <p>在攻擊態勢方面，國際間有3起與中國駭客有關的活動揭露，其中資安業者F5向美國SEC通報在兩個月前（8月9日）遭國家級駭客入侵，引發全球關注。<br /> ●F5揭露國家級駭客竊取BIG-IP的產品開發環境與工程知識管理平臺，部分BIG-IP原始碼與尚未公開漏洞資訊也外洩。外傳可能與中國駭客UNC5221攻擊活動有關<br /> ●ArcGIS的SOE元件被中國駭客組織Flax Typhoon植入Web Shell並充當後門，資安業者ReliaQuest示警，指出這種藉合法流量掩蓋行蹤的活動已超過一年。<br /> ●有中國駭客利用Log Poisoning手法自8月鎖定網頁伺服器攻擊，資安業者Huntress警告全球已有逾百臺主機受害，其中臺灣占22臺最多，日本、韓國與香港亦受波及。駭客成功入侵後將部署名為中國菜刀的Web Shell，接著並會濫用開源監控工具「哪吒（Nezha）」在受害主機上執行遠端命令。</p> <p>在臺灣，有3則資安消息成為這一星期熱門新聞，涵蓋汽車維修零件製造商東陽實業，以及先前輔大醫院與中央廣播電臺（央廣）事件的後續。<br /> ●Qilin勒索軟體10月15日將10家公司列為受害者，包含臺灣上市公司東陽（Tong Yang），我們下午三時求證該公司發言人稱無異狀，傍晚6時發布重訊說明：「收到資訊系統遭受勒索病毒攻擊訊息」。事件具體狀況有待釐清。<br /> ●輔大醫院今年5月傳出有治療師在院內電腦安裝轉發伺服器元件Ngrok，及雲端硬碟掛載程式RaiDrive，恐導致病人資料外流，如今新北地方法院判決出爐。<br /> ●央廣網站首頁9月遭惡意置換，臺北地檢署查出2名內部人員、1名資訊廠商人員涉案，雖然被告聲稱是向公司警告網站不安全，但查出國慶日將再度犯案。</p> <p>另外，國際多起資安事件後續消息也不少，例如，關於MySonicWall遭駭事故，最新調查指出雲端備份服務的客戶均受影響；勒索軟體組織Clop將哈佛大學列於資料外洩名單，疑似透過ERP系統Oracle E-Business Suite的零時差漏洞而得逞，哈佛大學調查中；先前Salesforce許多客戶資料被竊取，最近有消息指出駭客開始公布Qantas澳洲航空乘客資料。</p> <p>還有殭屍網路威脅肆虐的狀況，有二則新聞與之有關，包括：殭屍網路RondoDox正擴大感染規模，鎖定56種資安漏洞，攻擊逾30個廠牌的連網裝置；殭屍網路Aisuru則鎖定美國ISP的物聯網裝置發動DDoS攻擊</p> <p>至於最新威脅研究方面，有兩則值得持續留意的消息，一是研究人員新揭露的Android旁通道攻擊手法Pixnapping，該手法如同暗中蒐集片面的模糊化資訊以還原螢幕截圖，9月Google修補後仍可繞過，預計將於12月再度發布更新：另一是Anthropic與英國研究機構實驗發現，只需約250份惡意文件即可在LLM預訓練階段植入後門，顯示攻擊門檻遠低於預期。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/171636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</span></strong></a></h3> <p>中國駭客發動網路攻擊的活動頻頻傳出，但上週末資安業者Huntress揭露濫用開源監控工具「哪吒（Nezha）」攻擊網頁伺服器的活動，引起臺灣資安圈不少關注，原因是受害主機大部分都集中在亞太地區，而且，臺灣災情最為嚴重，有22臺系統被入侵。</p> <p>另一方面，先前多起重大資安事故也出現後續進展，其中又以Oracle E-Business Suite（EBS）零時差漏洞攻擊CVE-2025-61882事故最受到矚目，最早向新聞媒體透露的Google終於公布調查結果，透露整起攻擊行動至少從7月開始，但隔了一個月才開始利用近日公布的零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/171680"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月14日】Windows 10進入終止支援階段</span></strong></a></p> <p>本日最值得留意的情況，是迄今市占仍超過4成的Windows 10作業系統，正式邁入終止支援的階段，讓這款自2015年問世的作業系統下臺一鞠躬。不過，有別於其他微軟旗下產品終止支援的情況，該公司罕見為一般使用者推出要價30美元的延伸安全更新（Extended Security Update，ESU），後續亦開放透過Rewards點數及啟用特定備份功能換取，甚至歐盟用戶可無條件獲得。此外，微軟也為Windows 10用戶提供Microsoft 365額外的3年支援。</p> <p>另一個相當值得注意的消息與ERP系統Oracle E-Business Suite（EBS）零時差漏洞攻擊有關，勒索軟體Clop將哈佛大學列於資料外洩網站，引起外界關注，這很可能是此次攻擊首度曝光的受害者。</p> <h3><a href="https://www.ithome.com.tw/news/171700"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月15日】微軟、SAP發布10月例行更新</span></strong></a></h3> <p>本週二有許多廠商發布10月份的例行更新，其中最受到關注的部分，包含微軟及SAP發布的公告內容。微軟這次公布6個零時差漏洞，其中有3個被用於實際攻擊行動而受到矚目。特別的是，這些零時差漏洞裡，有兩個與特定廠牌數據機驅動程式有關，另有出現在唯讀端點作業系統IGEL OS、AMD EPYC處理器，以及TPM 2.0的參考實作範本的弱點，後續影響相當值得留意。</p> <p>SAP本次發布的資安公告內容也非常特別，因為他們針對上個月修補的滿分漏洞CVE-2025-42944祭出新的資安強化措施，但為何要這麼做？參與修補流程的資安業者Onapsis透露，目的是為了防範與反序列化有關的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/171730"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月16日】殭屍網路Aisuru與RondoDox擴大攻擊規模和威力</span></strong></a></h3> <p>近期有相當多起殭屍網路攻擊的事故，值得關注，其中又以傳出近期多次創下史上最大規模記錄DDoS的攻擊的Aisuru最受到矚目，資安新聞網站Krebs On Security指出，這些駭客在9月先後發動11.5 Tbps、22.2 Tbps規模的攻擊行動後，本月上旬進一步展示、測試更大規模的DDoS攻擊。而RondoDox的攻擊行動也相當值得留意，原因是駭客從本來針對兩個廠牌的網路設備下手，現在已將範圍延伸到超過30個廠牌的設備。</p> <p>另一個受到全球關注的消息，是F5公布兩個月前發現國家級駭客長期入侵開發環境的事故，由於駭客取得了部分BIG-IP原始碼及未公開的漏洞資訊，這起事故實際造成的影響，有待進一步的調查及追蹤。</p> <h3><a href="https://www.ithome.com.tw/news/171739"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月17日】思科交換器遭到SNMP零時差漏洞攻擊</span></strong></a></h3> <p>思科網路設備與資安設備弱點被用於實際攻擊行動的情況，近半年已有不少例子，其中<a href="https://www.ithome.com.tw/news/171540">最近一起活動與ASA、FTD防火牆有關</a>，駭客利用CVE-2025-20333與CVE-2025-20362部署惡意程式RayInitiator、Line Viper；今年7月，<a href="https://www.ithome.com.tw/news/170218">有人利用網路存取控制平臺ISE的滿分漏洞</a>CVE-2025-20281、CVE-2025-20282、CVE-2025-20337從事攻擊。最近趨勢科技揭露鎖定該廠牌交換器的攻擊行動，駭客運用了9月底公布的零時差漏洞CVE-2025-20352，而受到高度關注。</p> <p>駭客組織針對地理位置資訊伺服器（GIS）攻擊的情況，也相當值得留意，在這幾年傳出多起針對OSGeo GeoServer的活動之後，出現有駭客針對其他GIS系統下手的現象，而且，這些駭客還將內部元件改造，充當後門運用。</p> </div></div></div>
2025/10/20 13:30作者羅正漢https://www.ithome.com.tw/news/171760
安卓間諜軟體ClayRat鎖定俄羅斯而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國行動裝置資安業者<a href="https://zimperium.com/blog/clayrat-a-new-android-spyware-targeting-russia" target="_blank">Zimperium上周揭露了一款新的Android惡意程式ClayRat</a>，它鎖定俄羅斯用戶，並偽裝成WhatsApp、Google Photos、TikTok與YouTube等熱門程式來吸引受害者安裝，主要從事間諜活動。</p> <p>ClayRat一旦成功感染Android裝置，它就能竊取裝置上的簡訊、通話紀錄、通知與裝置資訊；還能使用裝置的鏡頭拍照，或是直接自裝置送出簡訊或撥出電話。</p> <p>駭客是先註冊了許多假冒為熱門程式的服務頁面，直接提供含有ClayRat的偽造程式；或是將使用者導至可直接下載APK的Telegram頻道；或者提供偽造的升級按鍵，還會附帶安裝說明以鼓勵使用者繞過Android的內建安全警告。</p> <p>不過，最可怕的感染途徑是，當有受害者安裝了惡意程式，同時賦予預設SMS處理器（Default SMS Handler）權限時，代表ClayRat可讀取裝置上所有簡訊、在不需額外確認下發送新簡訊、攔截或優先接收簡訊，並存取或修改簡訊資料庫；駭客便會利用此功能，透過受害者手機向通訊錄所有聯絡人發含惡意連結的簡訊，造成快速自我擴散。</p> <p>研究人員發現ClayRat的散播與變種速度很快，在3個月內就出現逾600個不同版本的惡意樣本，以及50個下載器。</p> </div></div></div>
2025/10/19 23:08作者陳曉莉https://www.ithome.com.tw/news/171749
【資安日報】10月16日，殭屍網路Aisuru與RondoDox擴大攻擊規模和威力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有相當多起殭屍網路攻擊的事故，值得關注，其中又以傳出近期多次創下史上最大規模記錄DDoS的攻擊的Aisuru最受到矚目，資安新聞網站Krebs On Security指出，這些駭客在9月先後發動11.5 Tbps、22.2 Tbps規模的攻擊行動後，本月上旬進一步展示、測試更大規模的DDoS攻擊。而RondoDox的攻擊行動也相當值得留意，原因是駭客從本來針對兩個廠牌的網路設備下手，現在已將範圍延伸到超過30個廠牌的設備。</p> <p>另一個受到全球關注的消息，是F5公布兩個月前發現國家級駭客長期入侵開發環境的事故，由於駭客取得了部分BIG-IP原始碼及未公開的漏洞資訊，這起事故實際造成的影響，有待進一步的調查及追蹤。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171719"><strong style="font-size: 22px;">DDoS殭屍網路Aisuru鎖定位於美國ISP的物聯網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tcpshield-aisuru.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/tcpshield-aisuru.png" style="width: 300px; float: right;" /></a></p> <p>去年8月因鎖定大型電玩遊戲《黑神話：悟空》攻擊知名遊戲平臺Steam的殭屍網路Aisuru，後續出現綁架cnPilot路由器的變種Airashi，今年5月又攻擊知名資安新聞網站Krebs On Security而再度浮上檯面，現在傳出本月上旬駭客展現火力，再度創下新的規模。</p> <p>根據Krebs On Security的報導，10月6日Aisuru背後的駭客向目標主機發送29.6 Tbps的垃圾資料封包，攻擊威力較9月下旬的22.2 Tbps（編按：可能指的是Cloudflare緩解的DDoS攻擊事故）再度大幅增加。值得留意的是，這波攻擊注意到的人並不多，原因是大規模流量只有維持數秒，再加上駭客的攻擊目標是專門測量DDoS規模的伺服器，因此該新聞網站推測，駭客並非發動實際攻擊，很可能是為了展示武力，或是進行測試工作。</p> <p>此外，Krebs On Security也提及Aisuru近期發起了一系列的大規模破壞性攻擊，他們的主要目標，是為網路遊戲社群提供服務的網際網路服務供應商（ISP），而且由於規模已經超過大部分企業組織的DDoS緩解能力，往往會造成廣泛的網路服務中斷。</p> <p><a href="https://www.ithome.com.tw/news/171726"><strong style="font-size: 22px;">殭屍網路RondoDox擴大感染規模，鎖定56種資安漏洞，攻擊逾30個廠牌的連網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RondoDox-Fig03.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RondoDox-Fig03.png" style="width: 300px; float: right;" /></a></p> <p>趨勢科技與旗下的漏洞懸賞專案Zero Day Initiative（ZDI）聯手，調查殭屍網路RondoDox最新一波攻擊行動，駭客廣泛針對曝露在網際網路的基礎設施而來，鎖定超過56個網路設備的資安漏洞，設備類型涵蓋路由器、DVR、NVR、閉路電視、網頁伺服器，其中光是未修補的路由器漏洞，就橫跨超過30個廠牌。</p> <p>RondoDox最早是資安業者Fortinet揭露，當時駭客鎖定TBK DVR與四信科技（Four-Faith）工控路由器，並利用資安漏洞CVE-2024-3721、CVE-2024-12856來綁架連網設備。特別的是，這些駭客還會透過專屬的程式庫，偽裝遊戲平臺或VPN伺服器的流量，企圖迴避偵測。</p> <p>然而，這次趨勢科技發現的攻擊行動不同，該公司在今年6月偵測到駭客利用CVE-2023-1389的跡象，此為TP-Link路由器AX1800的資安漏洞，最早是參與漏洞挖掘競賽Pwn2Own Toronto 2022的資安研究員找到。值得留意的是，他們後續發現駭客採取漏洞霰彈槍（Exploit Shotgun）攻擊手法，同時散布多個漏洞利用程式，試圖擴大感染範圍。</p> <p><a href="https://www.ithome.com.tw/news/171728"><strong style="font-size: 22px;">跨國大型殭屍網路綁架十萬裝置，鎖定美國RDP服務而來，不到一週攻擊規模翻倍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68e96ef59a2e396029b9bf1d_GreyNoise-RDP-Attack-MS-Tech-October-Activity.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68e96ef59a2e396029b9bf1d_GreyNoise-RDP-Attack-MS-Tech-October-Activity.png" style="width: 300px; float: right;" /></a></p> <p>駭客綁架大量連網設備，通常用來發動DDoS攻擊，現在駭客從多個國家發動駭入這些設備的攻擊，引起資安業者的注意。</p> <p>資安業者GreyNoise揭露從10月8日出現的殭屍網路攻擊行動，駭客的目標是位於美國的遠端桌面連線（RDP）服務，他們利用超過10萬個IP位址發動攻擊，這些來源網址來自巴西、阿根廷、伊朗、中國、墨西哥等超過100個國家及地區。攻擊型態主要有兩種，一種是透過遠端桌面的網頁存取服務當中，存在匿名身分驗證計時的弱點來進行；另一種為RDP網頁用戶端的登入列舉攻擊手法。</p> <p>值得留意的是，14日GreyNoise更新文章內容指出，此殭屍網路在不到一個星期的時間，成長至有近30萬個來源IP位址的規模，他們強調攻擊者迅速加入新的殭屍網路節點從事攻擊，光是透過靜態防禦措施無法因應這類威脅。</p> <p><a href="https://www.ithome.com.tw/news/171715"><strong style="font-size: 22px;">F5遭到國家級駭客攻擊，部分BIG-IP弱點資料、原始碼外流</strong></a></p> <p>知名科技公司成為國家級駭客鎖定的目標，過往就有事故傳出，最近有企業公布兩個月前發現遭到入侵的情況，引起全球高度關注。</p> <p>本週三（15日）F5發布公告指出，他們在今年8月發現高度複雜的國家級駭客，長時間且持續存取BIG-IP的產品開發環境與工程知識管理平臺，而且下載了部分BIG-IP原始碼與尚未公開的漏洞資訊。對此，F5呼籲BIG-IP、F5OS、BIG-IP Next for Kubernetes、BIG-IQ，以及APM用戶端的使用者，應儘速根據同日發布的每季例行更新（Quarterly Security Notification）公告，套用相關修補程式因應。</p> <p>根據F5呈報美國證券交易委員會（SEC）的8-K表單，該公司於8月9日發現遭到入侵，並啟動事件回應流程，採取廣泛的行動來遏止駭客的活動。F5強調，他們在採取行動之後，並未再度發現新的未經授權活動。該公司積極與執法部門及政府單位合作，並進一步強化環境安全及保護客戶。不過，對於駭客的身分，以及遭入侵的時間有多長，F5並未說明。</p> <p><a href="https://www.ithome.com.tw/news/171708"><strong style="font-size: 22px;">服飾品牌Mango行銷系統遭駭，客戶資料外洩</strong></a></p> <p>西班牙服飾品牌Mango本周公告行銷系統遭駭，致使部份消費客戶電子郵件等個資外洩。</p> <p>Mango近日偵測到其使用的外部行銷服務之一遭非授權存取客戶個人資訊，本周稍早以電子郵件通知受到影響的消費者。這家服飾業者說，外洩的客戶個資僅限於行銷用途的資訊，包含名字（不包含姓氏）、國籍、郵遞區號、電子郵件信件及電話號碼，強調沒有其他敏感資訊被存取，包括銀行帳號、信用卡、身分證件、密碼或登入密碼等。Mango並說公司系統和技術基礎架構，以及平臺作業、實體店面及線上服務也如常運作，未受此次事件影響。</p> <p>至於何種未授權存取活動，例如是勒索軟體或駭客入侵、外部系統名稱，以及受影響人數，Mango皆未說明。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181849&SPOKE_DATE=20251015&COMPANY_ID=1319"><strong style="font-size: 22px;">汽車零件製造商東陽遭勒索軟體攻擊</strong></a></p> <p>10月15日晚間汽車零件製造商東陽發布資安重訊，指出他們得知資訊系統遭到勒索軟體攻擊，對此該公司立即檢視內部相關資安記錄，並強化相關防護機制，而對於這起事故帶來的影響，東陽表示所有資訊系統正常運作，對公司營運沒有影響。</p> <p>這則資安重訊，很可能與勒索軟體Qilin近期公布新的受害企業組織有關。根據威脅情報平臺<a href="https://x.com/FalconFeedsio/status/1978163059207098867">FalconFeeds.io</a>、<a href="https://x.com/Ransom_DB/status/1978135473097760873">Ransom-DB</a>指出，近日這些駭客在暗網的資料外洩網站列入新的受害組織，其中包含Tong Yang Industry Co Ltd（Tong Yang Group）。對此，我們向東陽進行確認，該公司當天下午回覆，並無發生勒索軟體攻擊事故。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/elasticsearch-leak-6-billion-record-scraping-breaches/">組態配置不當的Elasticsearch存放1.12 TB資料，洩露逾60億筆記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://zimperium.com/blog/clayrat-a-new-android-spyware-targeting-russia">安卓惡意軟體ClayRat鎖定俄羅斯而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-rust-based-malware-chaosbot-hijacks.html">Rust惡意軟體ChaosBot運用Discord頻道控制受害電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-mistakenly-flags-sql-server-as-end-of-life/">微軟端點防護平臺誤將SQL Server 2017、2019標示為不再受到支援</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-rce-flaws-cve-2025-48983-cve-2025-48984-cvss-9-9-found-in-veeam-backup-replication/">Veeam備份系統存在近滿分漏洞，攻擊者可用於發動RCE攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171700"><strong>【10月15日】微軟、SAP發布10月例行更新</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171680"><strong>【10月14日】Windows 10進入終止支援階段</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> </div></div></div>
2025/10/16 18:25作者周峻佑https://www.ithome.com.tw/news/171730
【資安日報】10月15日，微軟、SAP發布10月例行更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多廠商發布10月份的例行更新，其中最受到關注的部分，包含微軟及SAP發布的公告內容。微軟這次公布6個零時差漏洞，其中有3個被用於實際攻擊行動而受到矚目。特別的是，這些零時差漏洞裡，有兩個與特定廠牌數據機驅動程式有關，另有出現在唯讀端點作業系統IGEL OS、AMD EPYC處理器，以及TPM 2.0的參考實作範本的弱點，後續影響相當值得留意。</p> <p>SAP本次發布的資安公告內容也非常特別，因為他們針對上個月修補的滿分漏洞CVE-2025-42944祭出新的資安強化措施，但為何要這麼做？參與修補流程的資安業者Onapsis透露，目的是為了防範與反序列化有關的攻擊。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171698"><strong style="font-size: 22px;">側通道攻擊Pixnapping鎖定Google、三星裝置，免權限竊取螢幕內容</strong></a></p> <p>研究人員揭露名為Pixnapping的Android新型側通道攻擊，攻擊者只要誘使使用者安裝一般應用程式，即可在不申請任何Android權限的情況下，暗中讀取其他應用程式與網站畫面上可見的內容，包括Gmail郵件部分內容、Signal訊息、Google Maps地點紀錄與Google Authenticator的一次性驗證碼。</p> <p>該漏洞編號為CVE-2025-48561，研究人員已在Google與三星裝置上完成實證，Google九月釋出修補後，團隊又找到繞過方法，Google表示將於十二月再釋出追加修補。</p> <p>受影響範圍方面，團隊已在Android 13至16版本上驗證攻擊，涵蓋Pixel 6、7、8、9與Galaxy S25，並推測其他廠牌裝置多半具備相同條件。攻擊不需任何權限，僅憑一般應用程式即可觸發。</p> <p><a href="https://www.ithome.com.tw/news/171676"><strong style="font-size: 22px;">只要250份投毒樣本，就能在LLM預訓練植入後門觸發亂碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a04240ddbf30daf711a186ceed0a240bd390a312-4584x2580.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a04240ddbf30daf711a186ceed0a240bd390a312-4584x2580.png" style="width: 300px; float: right;" /></a></p> <p>Anthropic、英國AI Security Institute及Alan Turing Institute發表聯合研究，證實只需約250份惡意文件，便能在大型語言模型的預訓練階段植入後門行為，遇到特定觸發詞即輸出亂碼。此結果與模型參數規模及訓練資料量無關，顛覆攻擊者需掌控一定比例訓練資料的假設。</p> <p>研究人員從頭訓練四種規模的模型，分別為6億（600M）、20億（2B）、70億（7B）與130億（13B）參數。各模型皆混入100、250及500份惡意文件，並針對6億與20億參數模型額外測試一半與雙倍訓練資料量。由於要降低隨機性造成的偏差，研究人員重複每種設定3次，共訓練72個模型。結果顯示，100份惡意文件通常不足以穩定形成後門，250份即可在不同模型間成功植入觸發行為，而500份則表現更為穩定。</p> <p>研究的重要發現是，攻擊成功率與模型實際看到的毒化文件數量有關，而非這些樣本占訓練資料的比例。當以訓練進度對齊比較時，大模型雖處理更多Token，但在相同的投毒份數下，攻擊成功曲線幾乎重疊。研究估算，250份惡意樣本約含42萬個Token，只占整體訓練資料的0.00016％，卻足以讓各規模模型出現一致的後門效果。</p> <p><a href="https://www.ithome.com.tw/news/171615"><strong style="font-size: 22px;">三大勒索軟體集團LockBit、DragonForce與Qilin結盟</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig_3_hi2yct.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_3_hi2yct.png" style="width: 300px; float: right;" /></a></p> <p>美國網路安全暨威脅偵測業者ReliaQuest在本周發布的2025年第三季勒索軟體報告中指出，三大勒索軟體集團LockBit、DragonForce與Qilin已展開結盟，將分享彼此的戰術及資源，同時，在今年9月復出的LockBit也決定允許成員攻擊關鍵基礎設施，包括核能電廠及水力發電廠等。</p> <p>ReliaQuest分析，這3個勒索軟體集團的合作意謂著它們將可交換攻擊腳本、零時差開採程式與初始滲透管道，還可共用伺服器與資料外洩網站以降低基礎設施成本，並擴大其攻擊目標，透露出全球勒索軟體攻擊可能更頻繁、更組織化，也將擁有更強大的技術能力。</p> <p>值得注意的是，該聯盟仍在對外招兵買馬，號召其它勒索軟體集團加入，但迄今尚未發現上述三大集團的聯合攻擊行動或資料外洩網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/chinese-hackers-exploit-arcgis-server.html">中國駭客Flax Typhoon將地理資訊平臺ArcGIS充當後門，埋伏受害組織超過一年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/oracles-silently-fixes-zero-day-exploit-leaked-by-shinyhunters/">Oracle修補的EBS新漏洞CVE-2025-61884，傳出已遭ShinyHunters利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/sekoia-exposes-polaredge-backdoor-custom-mbedtls-c2-compromising-cisco-qnap-and-synology-devices/">後門程式PolarEdge鎖定多廠牌路由器而來，思科、威聯通、群暉設備皆被針對</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://x.com/H4ckmanac/status/1976895206273220758">駭客組織Crimson Collective聲稱入侵遊戲主機製造商任天堂，後續影響有待觀察</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171696"><strong style="font-size: 22px;">微軟發布10月例行更新，修補6個零時差漏洞，半數已被用於實際攻擊</strong></a></p> <p>10月14日微軟發布本月份例行更新（Patch Tuesday），一共修補175個漏洞，較上個月81個多出超過一倍，也超過1月的159個，成為今年以來修補漏洞數量最多的一次。此外，該公司也公布另外21個影響旗下產品的第三方資安漏洞。</p> <p>這次更新相當引起關注，其中一個原因是市占仍超過4成的Windows 10，即將進入生命週期結束（EOL）的階段，意味著用戶若是不升級至Windows 11，或無法取得延伸安全更新（ESU），他們的電腦有可能是最後一次接收相關修補程式。此外，Office 2016及2019版、Exchange Server 2016與2019版的用戶，也面臨微軟接下來不再提供更新的情況。</p> <p>值得留意的是，這次微軟修補的漏洞裡，有6個是零時差漏洞，其中有3個CVE-2025-24990、CVE-2025-47827、CVE-2025-59230，已被用於實際攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/171699"><strong style="font-size: 22px;">SAP修補NetWeaver、列印服務、供應鏈關係管理平臺重大漏洞</strong></a></p> <p>10月14日SAP發布本月例行更新（Security Patch Day），修補13項資安漏洞，並更新4則已發布的公告內容。其中最受到矚目的部分，是被列為重大層級的CVE-2025-42944、CVE-2025-42937，以及CVE-2025-42910。</p> <p>這些重大層級的漏洞又以風險值達到滿分10分的CVE-2025-42944相當特別，因為這項漏洞SAP上個月已經修補過，本月他們發布新的3660659號公告，表示是為了NetWeaver AS Java提供新的安全強化措施。參與漏洞修補過程的資安業者Onapsis透露，這項防護機制是實作Java虛擬機器（JVM）的過濾器（jdk.serialFilter），目的是防範特定的類別出現反序列化的現象。</p> <p>危險程度排名第二的資安漏洞是CVE-2025-42937，此為資料夾路徑穿越弱點，出現在列印服務系統SAP Print Service（SAPSprint），起因是對於使用者提供的路徑資訊驗證不夠完整，未經授權的攻擊者可存取所在位置的上層資料夾，並覆寫系統檔案，從而高度影響應用程式的機密性、完整性，以及可用性，風險值為9.8。</p> <p><a href="https://www.ithome.com.tw/news/171530"><strong style="font-size: 22px;">身分識別及管理平臺OneLogin存在漏洞，攻擊者可透過API金鑰竊取OpenID Connect機密、冒充應用程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/e94e114e9d90858701e19d1c8b905d57528d03f6-1270x404.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/e94e114e9d90858701e19d1c8b905d57528d03f6-1270x404.png" style="width: 300px; float: right;" /></a></p> <p>資安業者One Identity近日發布雲端身分驗證與存取管理（IAM）解決方案OneLogin更新2025.3.0版，當中修補高風險資安漏洞CVE-2025-59363，CVSS風險評為7.7。通報此事的資安業者Clutch Security透露細節，指出一旦遭到利用，攻擊者有機會利用有效的API憑證，將OneLogin租戶OpenID Connect（OIDC）應用程式的用戶端帳密，全部挖掘出來。</p> <p>這項漏洞的影響範圍有多大？OneLogin全球有5,500家企業用戶，Clutch Security估計每家企業可能有20至50個OIDC應用程式，換言之，全球總共有11萬至27.5萬個應用程式曝險。此外，企業組織若是採用OneLogin對第三方服務進行OIDC整合，也可能曝險，特別是供應商或承包商共享的API憑證，尤其危險。</p> <p>攻擊者若是利用這項漏洞，就能冒充使用者，從而藉由用戶的帳密資料，對於整合的應用程式進行未經授權的存取，有可能將供應鏈的資安風險放大，因為攻擊者只要取得其中一組外流的供應商憑證，就有機會曝露受害組織所有OIDC應用程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/juniper-networks-patches-critical-junos-space-vulnerabilities/">Juniper修補網路設備作業系統逾200個資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171680"><strong>【10月14日】Windows 10進入終止支援階段</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171636"><strong>【10月13日】中國駭客利用監控工具Nezha攻擊網頁伺服器，臺灣受害最嚴重</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171612"><strong>【10月9日】AI資安工具協助改善模型品質、自動修補軟體資安漏洞</strong></a></p> </div></div></div>
2025/10/15 18:16作者周峻佑https://www.ithome.com.tw/news/171700
側通道攻擊Pixnapping鎖定Google、三星裝置，免權限竊取螢幕內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員揭露名為<a href="https://www.pixnapping.com/#questions-and-answers">Pixnapping</a>的Android新型側通道攻擊，攻擊者只要誘使使用者安裝一般應用程式，即可在不申請任何Android權限的情況下，暗中讀取其他應用程式與網站畫面上可見的內容，包括Gmail郵件部分內容、Signal訊息、Google Maps地點紀錄與Google Authenticator的一次性驗證碼。</p> <p>該漏洞編號為CVE-2025-48561，研究人員已在Google與三星裝置上完成實證，Google九月釋出修補後，團隊又找到繞過方法，Google表示將於十二月再釋出追加修補。</p> <p>研究人員說明，Pixnapping結合Android介面與GPU圖形資料壓縮側通道<a href="https://www.ithome.com.tw/news/159000">GPU.zip</a>。惡意應用以Android系統中的Intent機制，讓目標活動畫面進入算繪流程，前景疊半透明活動視窗，對指定微小區域施作視窗模糊，並以VSync回呼量測每幀時間。由於GPU的無損壓縮具資料相依特性，當畫面像素排列高度規則或變化複雜時，每一幀算繪時間會出現明顯差異。重複量測即可判定單一像素的顏色，逐點掃描重建畫面，再以OCR還原內容。</p> <p>研究人員指出Google Authenticator是高價值目標，因為畫面中驗證碼位置可預測，實驗可在30秒內竊取一次性驗證碼。在Pixel系列裝置，復原驗證碼的成功率介於29％與73％之間，但在三星Galaxy S25則因雜訊明顯，研究人員無法於30秒有效時間內復原完整驗證碼。</p> <p>受影響範圍方面，團隊已在Android 13至16版本上驗證攻擊，涵蓋Pixel 6、7、8、9與Galaxy S25，並推測其他廠牌裝置多半具備相同條件。攻擊不需任何權限，僅憑一般應用即可觸發。</p> <p>Google在9月2日將相關修補納入Android安全公告，但研究人員9月4日即發現可重啟攻擊的繞過方法，並於9月8日再次通報，Google將追加12月更新。Google並表示目前未見野外利用，也未在Google Play發現濫用這項技術的惡意程式。</p> <p>安全建議方面，研究人員給一般使用者的建議是第一時間安裝系統更新。對應用程式開發者，目前尚無已知能完全阻斷Pixnapping的應用層緩解措施，且因為其核心仰賴作業系統與GPU側通道的交互作用，仍需平臺與硬體層面共同補強。</p> </div></div></div>
2025/10/15 16:31作者李建興https://www.ithome.com.tw/news/171698
Nano Banana圖像編輯模型將整合到NotebookLM、Google Search
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/nano-banana-google-products/" target="_blank">Google本周宣布</a>，大受歡迎的圖像編輯模型Nano Banana將整合到NotebookLM、Google Search，為這些應用程式獲得AI圖像編輯能力加持。</p> <p>8月Google推出以Gemini 2.5 Flash為基礎的Nano Banana。立即引發熱烈迴響，許多人在Gemini App用它來玩AI生圖，迄今已經生成了超過50億張圖片。現在Google進一步把Nano Banana 整合到Google 搜尋及NotebookLM，不久後還要推向Photos App。</p> <p>隨著Nano Banana整合到Google搜尋，用戶將可以在Google Lens使用到這個AI模型。用戶只要在Google App中開啟Lens功能拍照（或是從手機相簿中選擇照片），再點選App新增的Create鍵就能叫出Nano Banana來玩。</p> <p><a href="https://www.androidauthority.com/nano-banana-lens-3604469/" target="_blank">Android Authority則發現</a>，Nano Banana還可以從Google Lens介面整合運用到其他搜尋相關功能，包括AI Mode及Circle to Search裏使用。</p> <p>在NotebookLM中，Nano Banana則是包含在升級版的簡報影片生成器<a href="https://blog.google/technology/google-labs/video-overviews-nano-banana/" target="_blank">Video Overviews</a>中。Video Overviews能將用戶上傳的文件，以AI生成一份重點摘要影片。以Nano Banana加持的Video Overviews生成風格更多元的影片。這裏Nano Banana會自動使用6種風格中的一種，包括水彩、紙藝、動漫、白板、復古印刷和傳統風，此外還保留原來的經典風。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1015-NotebookLM-Nano%20Banana.png" style="width: 600px;" /></p> <p>新版Video Overviews除了有不同視覺風格外，<a href="https://blog.google/technology/google-labs/video-overviews-nano-banana/" target="_blank">Google也宣布</a>分成解說者（完整的結構化簡報）以及簡報（Brief）形式。</p> <p>至於Nano Banana何時到Photos（相簿）程式，Google沒有提供時程。</p> </div></div></div>
2025/10/15 11:52作者林妍溱https://www.ithome.com.tw/news/171686
Android多裝置介面更靈活，函式庫Jetpack WindowManager支援更大螢幕布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式<a href="https://android-developers.googleblog.com/2025/10/jetpack-windowmanager-15-is-stable.html">發布Android開發者函式庫Jetpack WindowManager 1.5.0版</a>，這項更新進一步擴充Android在多裝置環境下的介面適應能力。新版重點在於新增更大的視窗尺寸等級，讓應用程式在連接外接顯示器或桌面模式下，能自動調整介面布局，顯示更多欄位與內容區塊，提升資訊瀏覽與操作效率。</p> <p>新版WindowManager在原有密集（Compact）、中（Medium）、延展（Expanded）等視窗尺寸等級之外，新增大（Large）與超大（Extra-large）兩個層級，分別涵蓋1,200至1,600dp與1,600dp以上的寬度。這些層級是Google提供的官方介面設計建議，用於協助開發者判斷介面何時應切換至更適合的布局，舉例而言，郵件應用在延展等級下通常採雙欄設計，但在超大螢幕上則可同時顯示信箱、郵件清單、內容與行事曆，使工作流程更貼近桌面應用的多欄呈現方式。</p> <p>此變化也呼應Android 16 QPR1 Beta 2中引入的外接顯示器桌面模式（Connected Displays）。使用者可將手機透過DisplayPort外接顯示器，可在外接螢幕啟動桌面工作階段，提供多視窗與桌面式工具列等介面元素。這些更新代表Android正逐步延伸至桌面型體驗，開發者需要新的版面規範來因應不同的顯示空間。</p> <p>除了尺寸層級的擴充外，WindowManager 1.5也新增活動嵌入（Activity Embedding）的自動儲存與還原功能。過去開發者需手動維護分割畫面的狀態，現在可透過設定自動化保存，當程序被系統回收再啟動時，能自動回復到先前的多窗配置。另在視窗指標（WindowMetrics）部分，開發者現在可直接從應用程式層級取得視窗資訊，提升存取彈性。不過在多顯示器或連接外接螢幕時，官方仍建議以活動或其他與UI關聯的上下文取得與目前視窗一致的資訊。</p> <p>對採用Jetpack Compose的應用來說，Compose Material 3 Adaptive從1.2.0-rc01起支援新的大與超大層級，可依目前視窗資訊自動切換多欄布局。Google建議開發者應升級至該版本或更新版本，並搭配WindowManager 1.5的新層級計算結果一致地切換布局。</p> </div></div></div>
2025/10/15 08:25作者李建興https://www.ithome.com.tw/news/171682
微軟正式終止支援Windows 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/zh-tw/windows/end-of-support" target="_blank">經過多年宣導和提醒</a>，時間來到了2025年10月14日，微軟將正式為Windows 10軟體更新畫下句點。</p> <p>從10月15日起，Windows 10大部份商用及消費者版本（Enterprise、Pro、Home、Education、IoT Enterprise）都不會再獲得安全及功能更新、與技術支援。<a href="https://www.microsoft.com/zh-tw/windows/end-of-support" target="_blank">微軟呼籲</a>用戶為確保安全性，<a href="https://support.microsoft.com/zh-tw/windows/%E5%AE%89%E8%A3%9D-windows-11-%E7%9A%84%E6%96%B9%E6%B3%95-e0edbbfb-cfc5-4011-868b-2ce77ac7c70e" target="_blank">升級到Windows 11</a>或購買延伸安全更新（extended security update，ESU）。</p> <p>此外，Windows 10平臺的Microsoft 365及Office應用程式還可以使用，但再也不會獲得功能更新。但是<a href="https://support.microsoft.com/en-us/windows/windows-10-support-ends-on-october-14-2025-2ca8b313-1946-43d3-b55c-2b95b107f281" target="_blank">根據微軟說明</a>，Microsoft 365 on Windows 10還會獲得3年安全更新，到2028年10月10日。</p> <p>Windows 10是在2015年7月29日正式問世，並逐漸取代Windows 7成為Windows PC主要作業系統，並且開啟一年二次釋出主要更新的升級型態。2021年6月<a href="https://www.ithome.com.tw/news/145041" target="_blank">微軟首度說明</a>Windows 10將在2025年10月14日終止支援，並在同月產品大會上宣布Windows 11。</p> <p>微軟訴求，Windows 11較Windows 10有更清爽的介面、同步Android手機和電腦、Copilot AI助理等功能。但並非每臺Windows 10 PC想升級都可以，因為Windows 11有嚴格的硬體規格要求，包括1 GHz以上的64位元處理器、4 GB RAM、64 GB可用儲存空間、UEFI安全開機、TPM 2.0、支援DirectX 12的顯示卡等。曾有許多用戶嘗試在較舊規格的PC上安裝Windows 11，包括修改註冊表。微軟並未否認技術可行性，但是<a href="https://support.microsoft.com/en-us/windows/windows-11-on-devices-that-don-t-meet-minimum-system-requirements-0b2dc4a2-5933-4ad4-9c09-ef0a331518f1" target="_blank">微軟強調</a>這些Windows 11 PC並無法獲得支援。且微軟2024年再次重申，並未放鬆對硬體規格的要求。</p> <p>另一方面，仍有許多Windows 10用戶拒絕或來不及更新。微軟於2024年底首度<a href="https://www.ithome.com.tw/news/165795" target="_blank">針對消費版提供</a>為期一年的延伸安全更新，不像Windows 7時代只提供企業用戶。消費者需支付30美元。今年6月微軟又<a href="https://www.ithome.com.tw/news/169709" target="_blank">增加二種換取ESU</a>的方法。一是以Microsoft Rewards 1000點兌換ESU，二是使用Windows Backup功能將Windows設定同步到雲端。不過<a href="https://www.ithome.com.tw/news/171391" target="_blank">歐盟用戶</a>9月獲得獨家待遇，不用備份也不必付錢，就能獲得1年的ESU。</p> <p>根據市調機構<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide/" target="_blank">GlobalStat的估計</a>，Windows 10市佔到今年6月正式被Windows 11超過。截至今年9月，Windows 11和10的市佔分別為49.05%及40.84%。</p> <p>事實上，10月14日不只是Windows 10安全更新的大限，Exchange Server 2016/2019、Office 2016/2019也會在10月15日起失去支援。</p> <p>少部份Windows 10 Enterprise版還會持續獲得支援，這些都是屬於長期服務通道（Long Term Servicing Channel，LTSC）企業授權，包括LTSC 2021（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-enterprise-ltsc-2021" target="_blank">可到2027年</a>）、LTSC 2019（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-enterprise-ltsc-2019" target="_blank">到2029年</a>）及LTSC 2016（<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-2016-ltsb" target="_blank">到2026年</a>）。</p> </div></div></div>
2025/10/14 08:26作者林妍溱https://www.ithome.com.tw/news/171640
React Native 0.82全面啟用新架構，新版編譯器Hermes V1登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動App開發框架React Native<a href="https://reactnative.dev/blog/2025/10/08/react-native-0.82">釋出0.82版</a>，這是首次只運行於新架構的版本，舊架構開關旗標在Android與iOS將被忽略，實際執行一律採新架構。官方表示後續版本將開始移除舊架構程式碼，以縮小安裝體積並簡化程式碼庫。此次也同步提供編譯器Hermes V1實驗選項、升級至React 19.1.1，並引入可由ref取得的DOM節點API子集與開發體驗相關最佳化。</p> <p>對大多數團隊來說，React Native 0.82最明顯的變更便是架構切換，官方建議，現有專案尚未完成新架構搬遷，可以先升到React Native 0.81或Expo SDK 54，於該版本啟用新架構並驗證功能後，再更新至0.82。官方指出互通層仍會保留，已支援雙架構的第三方函式庫在0.82下可繼續運作。</p> <p>Hermes V1是下一代Hermes編譯器，現階段以實驗形式釋出，需要從原始碼建置才能啟用，並在package.json與Android、iOS的建置設定中開關。Hermes V1著重編譯器與VM層面的效能，官方在實際應用Expensify上測得Android低階裝置與iOS在多項指標均有提升，其中套件載入時間Android約快3.2％、iOS約快9％，整體可互動時間Total TTI指標在Android約快7.6％、iOS約快2.5％，元件可互動時間Content TTI指標在Android約快7.2％、iOS約快7.5％。官方建議團隊自行量測，效能提升會隨應用細節而異。</p> <p>React Native 0.82內建React 19.1.1正式支援Owner Stacks，修正了過去在特定Babel設定下堆疊資訊不完整的問題，也改善useDeferredValue與startTransition在結合Suspense時的行為一致性。對日常除錯而言，錯誤訊息更具可讀性，除錯過程能更快定位問題來源。</p> <p>新版React Native針對原生元件的設計進行了調整，修改了ref的接取得元件或DOM節點實例的行為，讓開發者能夠更直接地取用更接近網頁DOM的元素。以往ref只能用來呼叫像measure或setNativeProps這類方法，現在則能像在網頁開發中那樣，使用parentNode或getBoundingClientRect等屬性，查看畫面中元件的位置與層級。這使得操作介面結構的方式更直覺，也讓熟悉Web前端的工程師更容易上手。</p> <p>React Native新增可於Canary發行層級啟用的Web Performance API子集，支援高解析度時間與長任務等指標。這些資料之後將整合至React Native DevTools的效能面板，有助於在實際執行時記錄互動延遲與長任務，做出更貼近實際使用情境的改進判斷。</p> <p>Android端新增加debugOptimized建置型態，介於傳統除錯與正式發布之間，預設開啟多項C++最佳化，動畫與重算繪會更順暢，同時保留對JavaScript層的DevTools支援，但不支援C++原生偵錯。官方也已將此功能向前支援至0.81與Expo SDK 54，方便開發者在搬遷階段就能應用。</p> </div></div></div>
2025/10/13 12:30作者李建興https://www.ithome.com.tw/news/171633
Python 3.14推出t-strings與多重直譯器，效能提升成焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.python.org/3.14/whatsnew/3.14.html">Python 3.14正式發布</a>，成為當前穩定版。該版本在語言、直譯器與標準函式庫均有更新，重點包括樣板字串t-strings、型別註解的延後求值（Deferred evaluation of annotations），以及在標準函式庫納入多重直譯器支援，是一次兼顧語言表達與執行效率改進的主要版本。</p> <p>語言層面新增t-strings，語法沿用f-strings的直覺寫法但不直接回傳字串，而是產生能記錄字串片段與插值結構的物件，供後續以自訂流程安全生成內容，適合需控管輸出途徑的場景。開發者可藉此在產生HTML、SQL或其他文字模板時，先行建立模板結構，再由應用程式在安全環境中完成插值運算，重點在於t-strings將字串插值與輸出邏輯分離，讓模板可在受控流程中安全執行，降低注入風險並提高重用性。</p> <p>型別註解改為延後求值，函式與類別的註解不再於定義當下立即執行，而是等到實際需要時才計算。這項改變能縮短大型程式啟動時間，並解決以往在註解中參照尚未定義型別時會出錯的問題，讓程式撰寫與維護更順暢。</p> <p>在執行環境上，Python 3.14將多重直譯器正式納入標準函式庫的concurrent.interpreters，讓開發者能在同一個程序中建立多個彼此獨立的Python直譯器執行環境，彼此之間不共享狀態。這項能力可用於分隔不同模組的執行，提升安全性，或作為伺服器工作池的基礎。官方同時新增InterpreterPoolExecutor，方便自動分派任務給不同直譯器。</p> <p>Free-threaded模式在本版的成熟度進一步提升，現在已能搭配專門適應性直譯器使用。官方指出，free-threaded模式的單執行緒效能落後約5％到10％，在多核心環境中則能更有效地利用平行運算資源，為長期移除GIL（Global Interpreter Lock）的發展方向鋪路。</p> <p>標準函式庫部分新增Zstandard壓縮支援，提供compression.zstd模組以便快速壓縮與解壓資料，而互動式直譯器預設啟用語法上色，使命令列操作更易讀。asyncio也強化了除錯與診斷功能，有助於提升日常維運效率。Python官方同時依PEP 761自3.14起不再對官方釋出檔案提供PGP簽章，並建議使用Sigstore驗證釋出檔案。3.14也在macOS與Windows的官方二進位檔提供實驗性JIT選項，同時新增Android平臺的官方二進位檔，方便跨平臺測試與部署。</p> <p>至於外界關注的效能表現，軟體工程師Miguel Grinberg<a href="https://blog.miguelgrinberg.com/post/python-3-14-is-here-how-fast-is-it">實測指出</a>，Python 3.14在單執行緒的Fibonacci測試中比3.13快約27％，bubble sort也同樣領先，因此稱3.14是目前速度最快的CPython版本。他同時觀察到，JIT在該測試中未帶來明顯加速，而free-threaded版本雖在單執行緒略慢於標準版，但在多執行緒CPU密集任務下能獲得顯著效益。</p> </div></div></div>
2025/10/10 16:19作者李建興https://www.ithome.com.tw/news/171624
【資安日報】10月8日，Oracle E-Business Suite零時差漏洞攻擊、Red Hat資料外洩事故出現新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末最受到關注的資安事故，莫過於勒索軟體駭客Clop鎖定Oracle E-Business Suite（EBS）的零時差漏洞攻擊，以及Red Hat資料外洩事故。此外，即時通訊軟體Discord也因第三方客服供應商遭未經授權人士入侵面臨資料外洩的情況。巧合的是，這些資安事故皆與3個駭客組織Scattered Spider、Lapsus$、ShinyHunters組成的團體「Scattered Lapsus$ Hunters」有關。</p> <p>其中，犯下EBS零時差漏洞攻擊的勒索軟體Clop旗下團體Graceful Spider，取得零時差漏洞的管道，疑似來自Scattered Lapsus$ Hunters的Telegram頻道；聲稱入侵Red Hat的Crimson Collective，後續將資料上傳該組織的資料外洩網站；至於Discord資料外洩事故，Scattered Lapsus$ Hunters宣稱入侵該公司Zendesk系統得逞。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171581"><strong style="font-size: 22px;">勒索軟體駭客Clop鎖定Oracle E-Business Suite的零時差漏洞攻擊事故有新發現，最早可追溯到8月初</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-oracle-fig1.png" style="width: 300px; float: right;" /></a></p> <p>針對上週爆發的勒索軟體Clop利用Oracle E-Business Suite（EBS）零時差漏洞CVE-2025-61882攻擊事故，在傳出Google威脅情報團隊（GTIG）及資安業者Mandiant介入調查後，引起資安圈高度關注，許多資安業者也參與調查，現在有新的結果出爐：駭客疑似從兩個月前開始從事相關活動。</p> <p>資安業者CrowdStrike指出，這起攻擊行動很有可能是名為Graceful Spider（也被稱為TA505、Hive0065、Gold Tahoe）的駭客組織所為，最早利用漏洞的時間可追溯到8月9日。不過，該公司認為，可能還有其他駭客組織參與利用CVE-2025-61882的活動。</p> <p>針對先前傳出向多家企業高階主管發送勒索信的駭客身分，就是Graceful Spider。原因是在某個暗示Scattered Spider、Lapsus$（CrowdStrike稱為Slippy Spider）、ShinyHunters進行合作的Telegram頻道當中，一名成員張貼EBS的漏洞訊息，並對Graceful Spider的手法進行批判。不過，對於該名成員如何取得這項漏洞，以及頻道成員是否將其用於實際攻擊，CrowdStrike表示並不清楚，但他們提到，Oracle在CVE-2025-61882資安公告提及的入侵指標（IoC），就是根據上述Telegram頻道成員提供的概念驗證程式（PoC）而來。</p> <p><a href="https://www.ithome.com.tw/news/171585"><strong style="font-size: 22px;">Red Hat資料外洩事故恐影響超過5千家企業組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/02wtQ0WQbzwN-6nV2.png" style="width: 300px; float: right;" /></a></p> <p>上週駭客組織Crimson Collective聲稱入侵Red Hat，從內部開發儲存庫竊得約800份客戶互動報告（Customer Engagement Report，CER），此事傳出後續該組織聯手ShinyHunters向Red Hat勒索，將該公司列於ShinyHunters資料外洩網站，並公布部分CER資料取信買家，對於這起事故的影響範圍，有資安研究員公布調查結果。</p> <p>資安專家Kevin Beaumont指出，根據Crimson Collective公布竊得的資料夾列表，他估計有超過5千家企業的網路環境因此曝險。由於Red Hat承認外洩資料與自家顧問團隊有關，而該團隊專門負責處理大型企業面臨的複雜技術問題，因此外洩的資料內容，應該包含了與客戶有關的文件及原始碼。</p> <p>究竟Crimson Collective的來歷為何，Kevin Beaumont認為和駭客組織Lapsus$有關。他引述另一名資安專家Brian Krebs的說法，打著Crimson Collective名號發出訊息的人士自稱是Miku，很有可能是Lapsus$成員Thalha Jubair，原因是他在Telegram的使用者名稱就是Miku。英國國家網路犯罪局（NCA）指出，他曾是Scattered Spider成員。</p> <p><a href="https://www.ithome.com.tw/news/171592"><strong style="font-size: 22px;">即時通訊軟體Discord資料外洩，駭客聲稱入侵Zendesk系統而得逞</strong></a></p> <p>10月3日即時通訊軟體Discord發布資安公告，指出第三方客服供應商遭到未經授權人士入侵的跡象，影響曾與Discord客戶支援團隊、信任安全團隊聯繫的部分用戶。該公司強調，這些未經授權人士沒有直接存取Discord本身，用戶與客戶支援團隊、信任安全團隊的對話與互動內容並未遭到存取。對此，Discord隨即註銷該供應商存取工單系統的權限，與執法單位緊密合作、展開調查，並透過電子郵件通知受影響的用戶。究竟有多少人受到影響，以及第三方供應商的身分，Discord並未透露。</p> <p>對於可能遭到外流的資料，Discord指出主要與客服系統有關，其中包括提供給Discord客戶的聯絡資料，例如：姓名、Discord使用者名稱、電子郵件信箱，以及其他聯繫方式。再者，也可能包含有限的付款資訊，像是付款方式、信用卡號末4碼、購買記錄。</p> <p>針對這起攻擊事故，駭客組織Scattered Lapsus$ Hunters聲稱是他們所為。這些駭客向資安新聞網站Bleeping Computer透露，他們成功入侵Discord的IT服務臺系統Zendesk，並透過裝置信任解決方案Kolide而得逞。不過這些駭客後來改口，宣稱實際上是另一組與他們有互動的人馬所為。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=133355&SPOKE_DATE=20251007&COMPANY_ID=2511"><strong style="font-size: 22px;">統一集團旗下太子建設資訊系統遭網路攻擊</strong></a></p> <p></p> <p>10月7日統一集團旗下的太子建設發布資安重訊，表示他們有部分資訊系統遭到攻擊，事發後該公司立即啟動資安防護措施，並與資安業者及技術專家協同處理。後續他們對所有系統進行掃描及檢測，再以備份資料復原運作。</p> <p>針對這起事故可能帶來的影響，太子建設表示尚未出現損失，公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/batshadow-group-uses-new-go-based.html">越南駭客BatShadow鎖定求職者下手，散布Go語言惡意程式Vampire Bot</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/new-cavalry-werewolf-attack-hits.html">哈蕯克駭客Cavalry Werewolf鎖定俄羅斯公共機構，運用FoalShell、StallionRAT從事攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploited-zimbra-flaw-as-zero-day-using-icalendar-files/">郵件伺服器Zimbra零時差漏洞遭到利用，駭客濫用行事曆檔案觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.nics.nat.gov.tw/latest_news/announcements/Latest_Announcement/cb45fe71-f31a-4ab8-9ff0-f340c4de1821/">資安院針對中國防火長城資料外洩的資料進行分析，警告中國會將臺灣當作攻擊的跳板，臺灣民眾在中國使用網路服務要提高警覺</a></strong></p> <p></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171587"><strong style="font-size: 22px;">多家大型語言模型服務曝ASCII走私風險，Gemini與Grok被點名</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot 2025-10-03 at 14_30_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68dfd010b141ddb783628077_Screenshot%202025-10-03%20at%2014_30_32.png" style="width: 300px; float: right;" /></a></p> <p>資安公司FireTail研究發現，多家大型語言模型服務可能面臨ASCII走私（ASCII Smuggling）攻擊風險，其中Gemini、Grok與DeepSeek在測試中被證實可能受此手法影響。研究指出，這類攻擊在與企業應用或生產力服務深度整合的情境下風險更高，例如語言模型在處理行事曆、郵件或文件內容時，可能讀取到介面上看不見但實際存在的隱藏指令。</p> <p>所謂ASCII走私，是利用Unicode Tags區段與零寬控制字元，把隱形內容夾帶在看似正常的文字裡，由於這些字元在多數人機介面不顯示，因此畫面上看起來乾淨無異常，但大型語言模型在前處理階段仍會接收並解析完整的原始字串。當介面顯示的內容與模型實際接收到的輸入不一致時，系統的決策或自動化流程可能在使用者無察覺的情況下被改變。</p> <p>其中，在Google Workspace環境裡，攻擊者可提供含隱形字元的行事曆邀請，受邀者在日曆中只看到普通標題，但Gemini在讀取事件時會解析隱藏指令，進而覆寫描述、連結甚至建立者資訊。測試指出即使受害者未按下接受，模型仍會處理該事件物件，擴大了社交工程與身分偽冒的風險。</p> <p><a href="https://www.ithome.com.tw/news/171577"><strong style="font-size: 22px;">非關聯式資料庫Redis存在滿分漏洞，近13年版本皆曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1759662329-image-227.png" style="width: 300px; float: right;" /></a></p> <p>上週非關聯式資料庫Redis的資安團隊發布資安公告，指出他們發布6.2.20、7.2.11、7.4.6、8.0.4，以及8.2.2版，修補存在於Lua元件的資安漏洞CVE-2025-49844，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險達到滿分10分，相當危險。通報此事的資安業者Wiz指出，此漏洞存在於近13年版本的Redis，而且雲端環境有四分之三採用這些有弱點的Redis版本，影響範圍相當廣泛。</p> <p>在今年5月舉行的漏洞挖掘競賽Pwn2Own Berlin 2025，Wiz揭露這個弱點，並將其命名為RediShell，該公司強調，這是第一個被評為重大層級的Redis資安漏洞，危險性不光是因為能用於RCE攻擊，同時也反映常見的使用方式及部署型態所存在的問題。此漏洞存在於Redis原始碼長達13年，攻擊者只要在通過身分驗證的情況下，發送惡意Lua指令碼，就有機會逃逸Lua沙箱，並在Redis主機執行任何程式碼，從而完全存取主機系統，竊取、抹除、加密敏感資料，或是挾持資源，甚至能在雲端環境橫向移動。由於Lua指令碼是Redis預設支援的功能，若是IT人員沒有關閉這項功能，就會曝險。</p> <p><a href="https://www.ithome.com.tw/news/171569"><strong style="font-size: 22px;">遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼</strong></a></p> <p>Unity通報一項高風險漏洞CVE-2025-59489，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出修補版本與可直接更新既有應用的工具。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks發布公告提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端因應；微軟則在MSRC安全更新指引中收錄CVE-2025-59489警告此事，並更新了Microsoft Defender的威脅偵測模組，辨識並攔截相關漏洞利用手法。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/docker-makes-hardened-images-catalog-affordable-for-small-businesses/">Docker向中小企業及新創的開發團隊招手，開放Hardened Images目錄無限制存取</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171575"><strong>【10月7日】勒索軟體駭客Clop聲稱從Oracle E-Business Suite竊得大批企業內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171504"><strong>【10月3日】Red Hat傳出資料外洩事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> </div></div></div>
2025/10/8 17:14作者周峻佑https://www.ithome.com.tw/news/171593
Google推出Gemini 2.5 Computer Use讓AI代理能操作網頁介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出<a href="https://blog.google/technology/google-deepmind/gemini-computer-use-model/" target="_blank">Gemini 2.5 Computer Use預覽版</a>，透過Gemini API在Google AI Studio與Vertex AI向開發者開放。這是一款建立在Gemini 2.5 Pro視覺理解與推理能力上的專用模型，目標是讓代理能直接操作使用者介面，可執行點擊、輸入到拖曳操作。</p> <p>Gemini 2.5 Computer Use模型運作為迴圈，每個回合的輸入包含用戶請求、當前環境的截圖與近期動作歷史，並可明確排除部分動作或加入自訂函式。模型分析後輸出一個具體的介面操作函式呼叫，例如點擊或輸入文字，而涉及購買行為等重要操作則會請求使用者確認。客戶端收到指令後在瀏覽器執行，再回傳最新截圖與當前URL，重新進入下一回合，直到任務完成、發生錯誤或因安全回應與用戶決定而終止。</p> <p>適用範圍以瀏覽器控制為主，示範中可原生填寫與提交表單、操作下拉選單與篩選條件，並能在登入後的環境執行必要操作。官方同時指出，該模型在行動裝置介面控制上展現潛力，桌面作業系統層級的控制則尚待最佳化。對多數內部系統或第三方服務而言，這種以畫面為目標的自動化，可補足缺乏結構化API時的實作空白。</p> <p>Google以Browserbase的Online-Mind2Web測試架構呈現成效，模型在該量測下同時達到較高準確率與較低延遲，並在Online-Mind2Web、WebVoyager與AndroidWorld等基準表現突出。</p> <p>Google已將風險因應直接訓練入模型，以應對惡意使用、意外行為以及網頁端詐騙或提示注入等情境。此外，Google提供開發者控管機制，防止模型自動執行高風險或有害操作，此機制包含獨立的把關步驟，在推論階段逐步審查模型擬議動作的合規性。開發者事先也能用系統指令，規範必須拒絕或徵求使用者確認高風險行為，同時官方文件也建議避免嘗試繞過CAPTCHA或控制醫療裝置，此類行為屬性質上應被阻擋。</p> <p>Google內部團隊已將此模型應用於UI測試，作為脆弱端對端測試的備援方案，以復原失敗流程。此外，Project Mariner、Firebase測試代理以及搜尋的人工智慧模式在部分能力，也採用了類似技術。</p> </div></div></div>
2025/10/8 12:09作者李建興https://www.ithome.com.tw/news/171579
遊戲開發平臺Unity通報高風險漏洞，可能被濫用執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Unity<a href="https://unity.com/security/sept-2025-01/remediation">通報</a>一項高風險漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2025-59489">CVE-2025-59489</a>，影響自Unity 2017.1起建置的Android、Windows、macOS與Linux應用。該漏洞源於命令列參數可被濫用以載入與執行外部程式碼，攻擊者要是取得本機存取權，可能在應用中執行任意程式碼或提升權限。官方表示目前未觀察到實際攻擊案例，並已釋出<a href="https://discussions.unity.com/t/cve-2025-59489-patcher-tool/1688032">修補版本與可直接更新既有應用的工具</a>。</p> <p>Unity提供兩種修補方式，其一為使用已修補版本的Unity Editor重新開啟專案、重建並測試後再發行，其二則是在無法即時重建或需進行臨時修補時，利用Unity Application Patcher直接修補現有的Android、Windows或macOS建置檔。官方提醒，修補工具可能與部分防竄改或反外掛機制產生相容性問題，開發者在部署前應完整驗證。</p> <p>CVE-2025-59489的影響範圍廣泛，主要平臺業者也迅速採取防護措施。Valve在Steamworks<a href="https://steamcommunity.com/groups/steamworks/announcements/detail/524229329545071275">發布公告</a>提醒Unity開發者盡速更新並重新測試遊戲，同時釋出新版Steam用戶端針對透過自訂URI或捷徑傳入的可疑命令列參數加上封鎖與防護，降低這類參數被帶入Unity應用啟動流程的風險，Unity也明列4個高風險參數，供開發者檢視與修補。</p> <p>此外，維持瀏覽器與防毒軟體的即時防護功能、停用不必要的自訂協定處理程式（Protocol Handler），並定期檢查已安裝的Unity遊戲更新狀態，優先安裝包含UnityPlayer.dll修補版本的更新，可有效降低因惡意命令列參數引發的風險。</p> <p>微軟則在MSRC安全更新指引（Security Update Guide）中<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-59489">收錄</a>CVE-2025-59489，提醒使用者與玩家在修補版本尚未發布前，應暫時卸載受影響的應用或遊戲，以避免潛在風險。微軟同時更新了Microsoft Defender的威脅偵測模組，能辨識並攔截此類利用手法。企業與個人用戶應確保Defender簽名檔與系統版本維持最新，以獲得即時防護。</p> <p>目前雖然未發現實際攻擊事件，但該漏洞已被多方正式追蹤。Unity、微軟與Valve的同步回應反映了軟體供應鏈對安全事件的高度敏感。對開發者來說須儘速套用修補、重建並測試應用，而對一般使用者而言，保持系統更新、注意應用來源並遵循平臺提示，則是現階段最實際的防護措施。</p> </div></div></div>
2025/10/8 08:30作者李建興https://www.ithome.com.tw/news/171569
Safari 26支援數位身分驗證API，讓網站可直接呼叫Apple Wallet身分證件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Safari 26現已<a href="https://webkit.org/blog/17431/online-identity-verification-with-the-digital-credentials-api/">支援</a><a href="https://www.w3.org/TR/digital-credentials/">W3C Digital Credentials API</a>，網站可於瀏覽器中直接向Apple Wallet與相容錢包請求行動身分證（mDocs）以完成線上驗證。該流程以標準化加密與簽章為基礎，透過一致的系統授權介面，減少影像上傳與人工比對的需求，提升驗證的一致性與可擴充性。</p> <p>Safari 26採用W3C Digital Credentials API作為JavaScript介面，請求與回應遵循ISO/IEC 18013-5與18013-7定義的mDocs格式，並可在跨裝置情境搭配FIDO CTAP運作。對一般使用者而言，體驗是按下網站上的驗證身分按鈕後，系統顯示資料請求內容與網站識別，使用者以生物辨識或密碼授權，同意後才將經端到端加密處理的資料回傳給網站。流程內建資料最小化、簽章防偽與裝置綁定機制，以抑制偽造、竄改與重播攻擊。</p> <p>iPhone使用者可直接在Safari中完成身分證件選擇與授權，要是使用Mac或iPad，系統會引導使用者在同一Apple ID登入的iPhone上確認身分，再將授權結果安全回傳。至於非Apple平臺，瀏覽器會顯示QR Code，使用者可用iPhone相機掃描後在手機端審查並同意。無論哪種方式，整體流程皆維持一致的授權介面與端到端加密機制，確保網站接收到的都是格式與安全層級相同的加密回應，避免不同平臺各自實作而產生的不一致性。</p> <p>新版的身分驗證機制，讓網站能直接請求系統確認使用者的真實身分，過程中不需要再上傳證件影本。網站後端需先準備一份請求並簽章，前端在使用者同意後啟動驗證，取得系統產生的加密證明，回傳給伺服端完成確認。要是瀏覽器不支援、使用者拒絕或驗證失敗，網站也能自動切換回原本的身分驗證流程，確保服務不中斷。</p> <p>網站需具備管理金鑰與憑證的能力，並清楚說明資料的用途與保存方式，同時介面設計應讓使用者明確了解哪些資料會被請求，避免因疑慮而放棄操作。該機制提高驗證過程的隱私與安全，除了Safari 26開始支援，Android版Chrome 128也在9月<a href="https://developer.chrome.com/blog/digital-credentials-api-origin-trial">提供</a>來源試用（Origin Trial），並計畫支援桌面Chrome。</p> </div></div></div>
2025/10/6 18:22作者李建興https://www.ithome.com.tw/news/171538
【資安日報】10月3日，Red Hat傳出資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>才修補完AI平臺的9.9分資安漏洞引起高度關注的Red Hat，現在又再度出現在資安新聞版面，根據資安新聞網站Bleeping Computer的報導，有駭客組織聲稱竊得近570 GB的內部資料，並強調內容與Red Hat客戶的網路環境組態資料有關，他們甚至以此用來入侵該公司的下游客戶。但實際影響為何，有待進一步釐清。</p> <p>本週勒索軟體LockBit消息也相當值得關注，先前這些駭客在9月初放出風聲，表示他們將推出大幅改版的勒索軟體，如今資安業者趨勢科技取得相關檔案，並指出駭客這次正式對VMware虛擬化平臺開發專屬加密工具。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171502"><strong style="font-size: 22px;">Red Hat傳出GitLab平臺遭到入侵，恐洩露客戶網路環境相關資料</strong></a></p> <p>本週Red Hat公布OpenShift AI近滿分的資安漏洞CVE-2025-10725（CVSS風險評為9.9分），因而成為資安界的焦點，如今傳出有駭客組織竊得大批資料的情況。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為Crimson Collective的駭客組織聲稱，他們從Red Hat竊得近570 GB的資料，來源是該公司2.8萬個內部的開發儲存庫。對於這批資料的內容，駭客聲稱約有800份的客戶互動報告（Customer Engagement Report，CER），其內容主要是為客戶準備的顧問資料，因此往往會有企業組織的基礎設施詳細資料、組態資料、身分驗證的憑證（Token）等，一旦攻擊者取得相關資訊，就有機會用於破壞這些企業組織的網路環境。但這批資料的內容是否如駭客所述，Red Hat不願進一步說明。</p> <p>對此，Red Hat證實確實有資料外洩的情況，這起事故發生在他們其中一個GitLab實體（instance），此系統只有顧問團隊用於顧問互動。Red Hat強調，該公司的系統及交付的資料，其安全性及完整性是該公司的首要任務。該公司初步認為，這起事故不會影響公司旗下的服務或產品，也和CVE-2025-10725無關。</p> <p><a href="https://www.ithome.com.tw/news/171500"><strong style="font-size: 22px;">中央廣播電臺網站被入侵置換版頭，傳出是內部員工所為</strong></a></p> <p>過往新聞媒體遭到駭客攻擊的情況，不時有事故傳出，但多半針對歐美媒體而來，近期類似的事件發生在臺灣媒體，而且，還是代表政府向全球發聲的廣播電臺。</p> <p>9月28日中央廣播電臺發布公開聲明表示，他們在9月11日晚間發現網站遭不明人士入侵，首頁的版頭（Banner）被惡意置換，由於該電臺為政府捐助成立的國家廣播電臺，每天以20種語言向國際廣播，代表臺灣向全球發聲，很容易成為駭客下手的目標，因此這起事故引起該電臺高度重視，他們主動檢送相關事證到臺北市警察局，並向法務部調查局報案，根據資通安全管理法規定向主管機關數位發展部通報。</p> <p>然而，這起事故有新聞網站指出，很有可能是內部員工所為，聲稱是為了警告網站不夠安全。根據本週鏡新聞的報導，這起事故是有資訊背景的吳姓員工所為，他曾在5月入侵電臺的網站置換Logo，目的是想要讓公司知道網站相當不安全，因為他不需專業技術就能夠入侵。但在事件曝光後，該名員工遭到內部控告，檢警展開調查，並在9月26日搜索員工住處及公司。</p> <p><a href="https://www.ithome.com.tw/news/171503"><strong style="font-size: 22px;">勒索軟體LockBit 5.0東山再起，正式針對虛擬化平臺VMware ESXi打造專屬惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit5-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit5-fig1.png" style="width: 300px; float: right;" /></a></p> <p>去年2月遭到美國、英國等10個國家執法單位及歐洲刑警組織（Europol）聯手，破壞基礎設施的勒索軟體駭客組織LockBit，雖然當時駭客宣稱在不到一週的時間就恢復運作，但後續不少消息都與執法單位的行動或成果有關，如今這個駭客組織宣布推出大幅改版的勒索軟體，有資安業者取得相關檔案進行分析，再度引起資安圈高度關注。</p> <p>資安業者趨勢科技指出，他們近日取得LockBit 5.0最新版本的檔案並進行分析，駭客延續先前的跨平臺攻擊策略，開發了Windows與Linux版本，此外，他們也首度打造專門針對VMware虛擬化平臺ESXi版惡意軟體。這些勒索軟體存在共通的特性，那就是在加密完成的檔案當中，會任意加入16個字元的隨機副檔名，而且還會在所有檔案加密完成後，清除事件記錄檔案。</p> <p>對於這次駭客專門針對VMware打造的加密工具，趨勢科技指出，該勒索軟體與Windows版、Linux版具備相同的功能，但加入了虛擬化平臺專用的參數及功能，其中包含針對特定資料夾及虛擬機器組態檔案加密的能力。</p> <p><a href="https://www.ithome.com.tw/news/171482"><strong style="font-size: 22px;">新攻擊WireTap側錄DDR4復原SGX私鑰，動搖Intel遠端稽核可信度</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wiretap-logo.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/wiretap-logo.png" style="width: 300px; float: right;" /></a></p> <p>普渡大學與喬治亞理工學院研究團隊公開WireTap研究論文，揭露一種利用DDR4 DRAM匯流排插接與竊聽的實作，能在僅具備基本電工工具與市售零件的前提下，監看伺服器記憶體往返總線的加密流量，在單次稽核簽章流程中，透過復原該次ECDSA簽章所用的Nonce，進而推得SGX Quoting Enclave的ECDSA私鑰，進而簽發可被官方驗證程式接受的偽造稽核報告，動搖依賴SGX遠端稽核建立的信任鏈。</p> <p>WireTap做法是在主機板與DDR4記憶體模組之間放置被動轉接器，接上邏輯分析儀以觀測加密後的DRAM讀寫。研究人員指出，伺服器平臺上與SGX相關的記憶體加密採用決定性加密（Deterministic Encryption），讓同一明文在相同情境下對應固定密文，攻擊者因而能建立密文與明文的對映關係，對常數時間的密碼運算產生可利用的訊息洩漏。</p> <p>在此基礎上，研究團隊展示了對SGX Quoting Enclave的完整金鑰復原，取得ECDSA簽章金鑰後可簽出任意SGX報告。研究團隊提供偽造的SGX Quote與驗證腳本，證明該稽核報告（Quote）能被Intel的DCAP Quote Verification Library接受，且報告中不可能出現的量測值仍被判定為可信狀態。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clop-extortion-emails-claim-theft-of-oracle-e-business-suite-data/">勒索軟體駭客Clop聲稱從多家公司的</a></strong><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clop-extortion-emails-claim-theft-of-oracle-e-business-suite-data/">Oracle E-Business Suite系統竊得資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-matrixpdf-toolkit-turns-pdfs-into-phishing-and-malware-lures/">網釣工具MatrixPDF能將PDF檔案轉換成互動式誘餌，繞過郵件安全防護措施將使用者導向釣魚網站</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-spyware-campaigns-impersonate-signal-and-totok-messengers/">安卓間諜軟體假冒即時通訊軟體Signal及ToTok散布</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/10/onelogin-bug-let-attackers-use-api-keys.html">身分識別及管理平臺OneLogin存在高風險漏洞，攻擊者可透過API金鑰竊取OpenID Connect機密，並冒充應用程式</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://www.ithome.com.tw/news/171473"><strong style="font-size: 22px;">安全湖倉結合AI代理，Databricks推出企業即時防禦平臺</strong></a></p> <p>Databricks發布人工智慧代理與即時回應的統一平臺Data Intelligence for Cybersecurity，定位為可與既有SIEM、SOAR、XDR並存的資料與分析層。該平臺透過將安全、IT與業務資料統一到單一開放湖倉，並以人工智慧代理協助即時偵測、調查與回應。</p> <p>Data Intelligence for Cybersecurity核心元件之一為Agent Bricks，提供面向安全情境的人工智慧代理能力。企業可在受治理的環境中建立並部署代理，處理警報分流、事件調查與回應，並透過自然語言介面將調查脈絡傳遞給決策者。依權限設定，代理可協調外部系統執行例如帳號停權等自動化動作，並完整留存處置脈絡以利追溯。</p> <p>該公司同步公布合作生態，涵蓋郵件安全、敏感資料治理、內容偵測、資料指揮、代管SOC與顧問等領域，用戶可以串接這些第三方功能與平臺整合使用。</p> <p><a href="https://www.ithome.com.tw/news/171188"><strong style="font-size: 22px;">Google發布Genkit Go，開發者可以型別安全Flow函式，封裝AI打造智慧應用</strong></a></p> <p>Google推出Genkit Go 1.0，這是其在Go語言生態開源人工智慧應用框架。Genkit Go 1.0已進入可部署於生產環境的階段，官方也承諾會在1.x系列維持API相容性，既有程式碼能隨後續小版號更新持續編譯與執行。同時，Google也釋出genkit init:ai-tools命令，供開發者將人工智慧程式設計助理直接整合至開發流程。</p> <p>Genkit是一套專為建構全端人工智慧應用而設計的框架，提供統一介面以存取多家模型供應商，並支援多模態內容、結構化輸出、工具呼叫、RAG與代理式工作流等功能。對Go社群而言，最大特點是透過Flow這一概念，將人工智慧應用封裝為型別安全的函式。開發者可利用Go struct定義輸入輸出，並結合JSON Schema進行檢驗，確保生成結果能以既定格式回傳，降低資料不一致或解析錯誤的風險。</p> <p>Flow在Genkit中是一個具名的函式單元，內部處理提示詞與模型推論，外部則可作為HTTP端點提供呼叫。這樣的封裝方式讓人工智慧任務具備可測試、可觀測與可部署特性，與一般服務元件接近，方便版本管理與執行軌跡檢視。開發者可以將Flow視為應用的邏輯單位，方便在專案中組合或重用。</p> <p><a href="https://www.ithome.com.tw/news/171442"><strong style="font-size: 22px;">從資安光譜揭露臺灣數位威脅的全貌</strong></a></p> <p>國家資通安全研究院自推出《資安週報》以來，已連續發布了總計11期，從第1期到第8期的試刊號，直至第9期到第11期的正式出刊，為我們描繪橫跨三個月期間，臺灣公務機關、關鍵基礎設施及民間社會所共同面對的資安風險全景。</p> <p>我們依據資安週報詳盡的六大支柱架構，深入彙整這段時間內臺灣常見的資安威脅類型、攻擊手法演變，以及從這些寶貴數據可學習到的關鍵經驗，以期強化整體社會的數位防護網。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-outlook-stops-displaying-inline-svg-images-used-in-attacks/">微軟宣布電腦版及網頁版收信軟體Outlook將導入新措施，不再顯示信件內文當中的SVG圖片</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171480"><strong>【10月2日】Red Hat、Google修補AI平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171463"><strong>【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171444"><strong>【9月30日】中國宇樹AI機器人存在資安漏洞UniPwn</strong></a></p> </div></div></div>
2025/10/3 12:23作者周峻佑https://www.ithome.com.tw/news/171504
Google正式啟動以Gemini為核心的Google Home時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-nest/next-era-gemini-google-home-launch/" target="_blank">Google本周三（10/1）正式啟動了以Gemini為核心的全新Google Home時代</a>，內含AI智慧核心Gemini for Home，重新設計的Google Home程式，以及支援Gemini的新硬體，藉由AI的協助，讓智慧家庭裝置從只會聽從指令，進化成能夠理解、對話及主動協助的角色。</p> <p>其中，<a href="https://blog.google/products/google-nest/google-home-app-gemini-redesign/" target="_blank">Gemini for Home是Google全新一代的家庭AI智慧核心</a>，將全面取代Google Assistant。</p> <p>Gemini for Home結合進階推理、推論與搜尋能力，比Google Assistant更強大、也更直覺。同樣以「Hey Google」喚醒，但Gemini能理解上下文，自動完成任務，並支援更自然、更複雜的指令。它具備10種自然語音、脈絡記憶與語意推理能力，能協助媒體播放、日常任務與家庭協調。</p> <p>Google承諾所有過去10年內推出的Google智慧喇叭、智慧顯示器、攝影機與門鈴，都將陸續升級到Gemini for Home，以取得Gemini for Home的上述核心功能。</p> <p>另有每月10美元的Google Home Premium進階功能訂閱服務，將提供Gemini Live、每日摘要（Home Brief）、搜尋影片歷史（Ask Home）、AI通知，以及以自然語言建立自動化等進階功能。當使用者說出「Hey Google, let’s chat」便能呼叫Gemini Live以進行連續對談；Home Brief是由AI自動整理家中每日重要事件；Ask Home能以自然語言搜尋攝影機影像；AI通知則是以語意理解取代傳統的動作偵測提示，例如：「郵差將包裹放在門口後離開」讓通知更具意義與情境感知；也能直接描述自動化流程，像是「每天黃昏之後就開陽臺燈並鎖門。」</p> <p>不過，Google AI Pro與Google AI Ultra訂閱用戶可免費使用Google Home Premium，它們的每月費率分別是19.99美元及249.99美元。</p> <p>有別於舊版Google Home程式採用Google Assistant，負責管理智慧喇叭、顯示器與Chromecast裝置，另有Nest程式負責Nest系列的攝影機、偵測器、恆溫器及電子鎖，<a href="https://blog.google/products/google-nest/google-home-app-gemini-redesign/" target="_blank">全面改版的Google Home程式</a>已整合所有主要Nest產品與功能，並以Gemini for Home取代Google Assistant。</p> <p>且新版Google Home程式的載入速度明顯提升，在部分Android裝置上甚至可提高70%；程式當機及錯誤狀況減少80%以上，改善了程式的電池與記憶體效能；即時串流畫面載入速度提升了30%，播放錯誤率減少了40%。Google表示，過去一年針對該程式效能與功能總計進行了超過100項的改善。支援Android與iOS的Google Home程式已上線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Header_Home-Devices.png" style="width: 600px;" /></p> <p>同一天Google也發表了<a href="https://blog.google/products/google-nest/new-nest-cams-home-speaker-walmart/" target="_blank">支援Gemini的新一代硬體裝置</a>，包括99.99美元、安裝於室內的Nest Cam Indoor攝影機，149.99美元、安裝於戶外的Nest Cam Outdoor，以及179.99美元的智慧門鈴Nest Doorbell，即日起於美國、加拿大、歐洲、日本、澳洲等地上市，而它們的Gemini for Home功能將率先於美國、加拿大、英國、愛爾蘭、澳洲啟用，其它市場則會在明年陸續開放。</p> <p>至於全新的Google Home Speaker則是首款專為Gemini打造的音訊裝置，能以更自然的語音進行對話，支援Gemini Live模式，可與Google TV搭配形成家庭劇院，售價99.99美元，預計於2026年春天於全球上市。</p> <p>除了自家產品線之外，Google亦與Walmart推出只要22.96美元的室內攝影機onn Indoor Camera，及49.86美元的戶外攝影機onn Video Doorbell，這兩款產品亦支援Gemini for Home，且已於10月1日在美國開賣。</p> </div></div></div>
2025/10/3 08:46作者陳曉莉https://www.ithome.com.tw/news/171498
【資安日報】10月2日，Red Hat、Google修補AI平臺的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安事故頻傳，知名汽車製造商、啤酒製造商、零售業者出現遭駭的情況，然而資安漏洞揭露的消息也相當值得留意，其中有兩個與人工智慧平臺相關而特別受到矚目。一個是Red Hat公告的OpenShift AI資安漏洞CVE-2025-10725，攻擊者在具備基本權限的情況下就有機會奪下完整的叢集管理員權限；另一項消息是Gemini有3項元件的漏洞可被串連，攻擊者能以此竊取敏感資料。</p> <p>另外一項漏洞串連的消息，也相當引人注意，先前Meta透露蘋果修補的ImageIO資安漏洞CVE-2025-43300、WhatsApp零點擊漏洞CVE-2025-55177被串連，用於非常複雜的攻擊，最近有資安研究團隊透過影片，透露兩者如何串連。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171474"><strong style="font-size: 22px;">西捷航空資料外洩，證實120萬旅客護照等資料外流</strong></a></p> <p>加拿大航空業者西捷航空（WestJet Airlines）本周向主管機關證實，6月的網路攻擊造成120萬旅客護照及其他身份資料被竊。</p> <p>經過三個多月的調查，西捷航空以電子郵件通知消費者資料外洩。這家航空公司說，外流的資料包括旅客姓名、出生日期、郵寄地址、以及旅行文件資料或其他政府身份證明、以及客訴等其他資料。但西捷航空表示，信用卡號、有效日期、檢查碼或帳號密碼沒有受到影響。根據該公司向美國緬因州檢察長辦公室通報，有120萬名客戶資料受影響。</p> <p>究竟駭客如何得逞？根據資安媒體Bleeping Computer報導，駭客是利用社交工程取得西捷航空員工Citrix憑證並重設員工密碼，得以存取該公司網路，最後登入微軟雲端網路環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/medusa-ransomware-comcast-data-breach/">勒索軟體Medusa聲稱大型電信業者Comcast資料外洩，索討120萬美元贖金</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/allianz-life-says-july-data-breach-impacts-15-million-people/">安聯人壽7月資料外洩事故調查結果出爐，近150萬人受到影響</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-uses-vnc-to-give-attackers-hands-on-access/">安卓惡意軟體Klopatra透過VNC建立駭客存取受害裝置的管道</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/25/i/lockbit-5-targets-windows-linux-esxi.html">勒索軟體LockBit 5.0東山再起，針對Windows、Linux、VMware ESXi而來</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171476"><strong style="font-size: 22px;">Red Hat OpenShift AI存在近滿分漏洞，恐導致混合雲基礎設施遭挾持</strong></a></p> <p>9月29日Red Hat發布資安公告，為旗下人工智慧平臺OpenShift AI修補CVE-2025-10725，由於其CVSS分數評為9.9分（滿分10分），相當危險，若不處理攻擊者有機會用於提升權限，進而在特定情況下掌控整個基礎設施。</p> <p>針對這次公布的資安漏洞CVE-2025-10725，Red Hat指出已通過身分驗證的低權限攻擊者，有機會藉此奪下完整的叢集管理員權限，使得叢集的機密性、完整性、可用性受到損害。攻擊者可藉此竊取敏感資料、破壞所有服務，甚至控制底層基礎設施，從而導致平臺及受到管理的所有應用程式完全遭到破壞。2.19與2.21版OpenShift AI皆受到影響，該公司已發布修補程式。</p> <p>若是無法即時套用更新，Red Hat也建議可採用臨時替代的緩解措施，那就是針對system:authenticated群組當中，移除與kueue-batch-user-role有關的ClusterRoleBinding權限；再者，則是關於系統層級的使用者群組，避免對其授予廣泛的權限。</p> <p><a href="https://www.ithome.com.tw/news/171468"><strong style="font-size: 22px;">Google修補Gemini工具3漏洞，串連攻擊可致敏感資訊外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/3a - Payload in Gemini Trifecta .png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/3a%20-%20Payload%20in%20Gemini%20Trifecta%20.png" style="width: 300px; float: right;" /></a></p> <p>Google已修補Gemini工具中3個彼此獨立但可串連利用的弱點，涉及Gemini Cloud Assist、Gemini Search Personalization與Gemini Browsing Tool。資安公司Tenable研究人員發現，攻擊者能將惡意指令植入受信任的輸入通道，觸發Gemini的工具呼叫，把使用者的已儲存資訊與位置等敏感資料帶往外部伺服器。Google在通報後已完成緩解並調整相關行為，降低實際風險。</p> <p>其中，Cloud Assist的問題出在人工智慧導引的日誌摘要流程，會直接處理原始欄位內容，要是攻擊者將惡意內容寫入GCP日誌欄位，這段文字可能被當成指令而非純資料；Search Personalization的風險，來自模型引用使用者搜尋歷史作為個人化資料；Browsing Tool則被用作資料外送的旁路，攻擊者仍可設計提示，要求Gemini以瀏覽工具擷取特定URL，同時把使用者的敏感內容作為查詢參數，帶入HTTP請求。</p> <p>前述3項工具漏洞的型態，Cloud Assist與Search Personalization屬於間接提示注入的滲透途徑，而Browsing Tool也由間接提示注入觸發，但表現為在工具執行層將使用者敏感內容夾帶於URL查詢參數對外送出，三者可串連成一條從滲透到外洩的完整攻擊鏈。</p> <p><a href="https://www.ithome.com.tw/news/171478"><strong style="font-size: 22px;">WhatsApp修補鏈結裝置授權缺失，與蘋果ImageIO漏洞可構成零點擊攻擊鏈</strong></a></p> <p>8月20日蘋果針對手機、平板電腦、Mac電腦<a href="https://www.ithome.com.tw/news/170738">發布緊急更新</a>，修補一項已在極度複雜的攻擊行動裡，用來攻擊特定人士的ImageIO資安漏洞CVE-2025-43300；後續Meta<a href="https://www.ithome.com.tw/news/170921">發布iOS及macOS版WhatsApp更新</a>，修補零時差漏洞CVE-2025-55177，並指出攻擊者與蘋果最近修補的作業系統層級漏洞CVE-2025-43300串連，針對特定使用者發動複雜的攻擊行動。究竟駭客如何串連漏洞用於實際攻擊？Meta和蘋果都沒有說明，現在有資安業者公布概念驗證（PoC）進行相關展示。</p> <p>9月28日獨立資安研究機構DarkNavy在X上展示WhatsApp零點擊攻擊概念驗證影片，該攻擊鏈串連WhatsApp應用與蘋果作業系統中的兩個重大漏洞，最終可在被害裝置上執行任意程式碼。他們先觸發WhatsApp零點擊漏洞CVE-2025-55177，由於該漏洞源自對特定訊息的驗證，從而進一步處理攻擊者特製的DNG映像檔，觸發ImageIO資安漏洞CVE-2025-43300。該機構提及，他們也著手分析WhatsApp通報給三星的資安漏洞CVE-2025-21043，但是否代表這項漏洞也被用於使用三星裝置的WhatsApp用戶，該機構並未透露。</p> <p><a href="https://www.ithome.com.tw/news/171435"><strong style="font-size: 22px;">針對蘋果修補的ASLR資安漏洞，Google揭露洩漏資訊的手法</strong></a></p> <p>Google Project Zero研究人員公開一項研究，說明iOS、iPadOS和macOS在特定條件下，即使不涉及記憶體安全漏洞或計時旁路，攻擊者仍可能透過資料結構的特性推得系統記憶體位址，進而削弱位址空間配置隨機化（Address Space Layout Randomization，ASLR）安全防護的效果。該攻擊手法研究屬於在macOS上的測試情境，尚未發現可直接利用的攻擊面，而蘋果也已在今年3月31日的安全更新修補潛在風險。</p> <p>研究的重點在於指標作為鍵值（Key）的資料結構如何成為洩漏來源，研究人員設計的測試程式利用了Apple的NSKeyedUnarchiver與NSKeyedArchiver API，模擬反序列化與再序列化的過程。攻擊者要是能傳入精心設計的物件，並獲得系統輸出的序列化結果，便能藉由觀察鍵值輸出的順序，推斷出特定物件在記憶體中的位址。</p> <p><a href="https://www.ithome.com.tw/news/171175"><strong style="font-size: 22px;">西門子SIMATIC PCS neo工控平臺曝高風險漏洞，恐致遠端程式碼執行與當機</strong></a></p> <p>西門子（Siemens）ProductCERT發布資安通報，指出整合於SIMATIC PCS neo工控平臺的UMC（User Management Component）存在多項嚴重弱點，未經驗證的遠端攻擊者可透過網路觸發，進而執行任意程式碼或造成系統中斷。官方已釋出修補版本，並呼籲使用者盡速更新，以降低受攻擊的風險。</p> <p>通報指出，所有低於UMC V2.15.1.3的版本均受影響。西門子已推出V2.15.1.3作為修補版本，並建議使用者在可行的情況下立即升級，要是暫時無法更新，官方也提出臨時因應措施，在非網路部署情境，用戶可以直接在安裝UMC的機器上封鎖TCP 4002與4004連接埠。</p> <p>當部署未採用RT Server類型的UMC機器，則可在所有UMC機器類型，包括Server、Ring-Server、Agent上全面封鎖4004埠連接埠，在不影響其他UMC機器類型網路功能的情況，透過降低攻擊面爭取升級緩衝時間。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apple-font-parser-vulnerability/">蘋果針對手機、平板、電腦發布更新，修補字型處理元件漏洞</a></strong></p> <p> </p> <h3>【資安產業動態】</h3> <p><a href="https://hitcon.org/2025/CyberRangexCTF/"><strong style="font-size: 22px;">HITCON Cyber Range × CTF 2025決賽即將登場，攻防論壇同步舉行</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HITCON-CyberRange-CTF-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HITCON-CyberRange-CTF-1.jpg" style="width: 300px; float: right;" /></a>今天台灣駭客協會（HITCON）宣布，如火如荼進行的企業藍隊競賽HITCON Cyber Range、駭客攻防挑戰賽HITCON CTF，即將於10月17日、18日於臺北文創大樓舉行決賽，他們將同步舉辦「HITCON 菁英人才培育 × 攻防論壇」，以及競賽導覽和職涯交流活動，<a href="https://hitcon.kktix.cc/events/hitcon-forum-2025">即日起開放報名</a>。</p> <p>本次論壇將根據競賽的行程規畫，首日為藍隊日，第二天為紅隊日。藍隊日聚焦應變與韌性，內容涵蓋金融業到智慧城市實戰經驗分享；紅隊日深入攻擊模擬實務，揭示企業如何以攻防驗證安全韌性。</p> <p>值得一提的是，這次論壇規畫了競賽導覽及職涯交流活動，其中，競賽導覽參與者（須事先報名）可進入決賽現場，實地觀察企業藍隊的事件應變演練，以及駭客攻防過程中的即時對決。職涯交流將以分組方式進行，由來自知名企業的資深工程師與技術主管擔任導師，與社群成員進行一對多交流，分享產業經驗與職涯建議。</p> <p><a href="https://www.ithome.com.tw/news/171456"><strong style="font-size: 22px;">Google開發者驗證新制惹議，安卓第三方市集F-Droid警告恐限縮開源應用</strong></a></p> <p>Google正推動開發者驗證（Developer Verification）制度，未來要在Android認證裝置上安裝的所有應用，均需由已驗證且完成登記的開發者所發行，此規定同樣涵蓋經由第三方商店與直接下載安裝的應用。 </p> <p>依Android開源應用替代商店F-Droid的說法，開發者可能被要求繳交註冊費，同意不可協商的條款，甚至需要提供政府核發身分證件，並把自己名下所有要發行的App應用識別碼（Application Id）註冊到Google的Developer Console，而F-Droid警告，要是此制度落地，未完成註冊的應用不只可能無法安裝，恐在認證裝置上也無法更新，整體自由開源發布生態將被大幅削弱。</p> <p>Google對外以提升安全為由，稱此舉是新增安全層，意在嚇阻惡意行為者，並讓散播危害更困難。F-Droid則反駁，Android已內建Play Protect能在裝置端偵測與停用惡意軟體，安全問題並非只能用集中管制處理。F-Droid呼籲監管機關正視此舉是否構成對替代商店的不當限制，並評估以安全為名實則鞏固集中化控制的風險。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171463"><strong>【10月1日】中國駭客Phantom Taurus鎖定外交官、大使館從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171444"><strong>【9月30日】中國宇樹AI機器人存在資安漏洞UniPwn</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171403"><strong>【9月26日】資安院漏洞獵捕計畫正式推出</strong></a></p> </div></div></div>
2025/10/2 14:40作者周峻佑https://www.ithome.com.tw/news/171480
Google開發者驗證新制遭F-Droid警告恐限縮開源應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正推動<a href="https://developer.android.com/developer-verification">開發者驗證（Developer Verification）制度</a>，未來要在Android認證裝置上安裝的所有應用，均需由已驗證且完成登記的開發者所發行，此規定同樣涵蓋經由第三方商店與直接下載安裝的應用。 </p> <p><a href="http://f-droid.org/en/2025/09/29/google-developer-registration-decree.html">依Android開源應用替代商店F-Droid的說法</a>，開發者可能被要求繳交註冊費，同意不可議的條款，甚至需要提供政府核發身分證件，並把自己名下所有要發行的App應用識別碼（Application Id）註冊到Google的Developer Console，而F-Droid警告，要是此制度落地，未完成註冊的應用不只可能無法安裝，恐在認證裝置上也無法更新，整體自由開源發布生態將被大幅削弱。</p> <p>F-Droid強調其發行機制以開放原始碼為核心，上游專案公開原始碼，經F-Droid檢視後由建置服務產生可安裝套件，平時以F-Droid的簽章發布。當專案達到可重現建置（Reproducible Build），則可沿用原作者的私鑰簽章，此流程讓使用者得以驗證套件與原始碼一致未被竄改。</p> <p>面對Google的新要求，F-Droid表示無權強迫上游作者至Google註冊，同時也不可能接管他人應用識別碼，因那等同於奪取發布權與更新主導權。兩難在於，一端是開源作者拒絕或無法提供個資與身分文件，另一端則是Android認證裝置層面的安裝門檻逐步抬升。</p> <p>Google對外以提升安全為由，稱此舉是新增安全層，意在嚇阻惡意行為者，並讓散播危害更困難。F-Droid則反駁，Android已內建Play Protect能在裝置端偵測與停用惡意軟體，安全問題並非只能用集中管制處理。</p> <p>開放原始碼與可重現建置帶來的透明度，足以形成另一種值得信賴的安全模型，當安裝權限與開發者身分驗證綁定，替代商店與社群維護的實驗性或非商業應用，將面臨合規程序與個資揭露的實質負擔，最終影響的是能否持續更新與正常發行。</p> <p>F-Droid呼籲監管機關正視此舉是否構成對替代商店的不當限制，並評估以安全為名實則鞏固集中化控制的風險。</p> </div></div></div>
2025/10/1 12:40作者李建興https://www.ithome.com.tw/news/171456
Google證實Android for PC明年推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推動統合ChromeOS和Android數年後，上周證實Android on PC可望在2026年問世。</p> <p><a href="https://www.theverge.com/news/706558/google-android-chromeos-combining-sameer-samat" target="_blank">Google Android主管Sameer Samat在今年7月證實</a>，公司正在推動「將ChromeOS與Android整合為單一平臺」後，上周現身高通於夏威夷舉行的Snapdragon 高峰會，<a href="https://www.youtube.com/live/fpHCkdIg9gU?t=4655s" target="_blank">在開幕演說中證實</a>，可執行於筆電的Android即將完成。</p> <p>Samat透露Google計畫在Android基礎上，加上ChromeOS體驗及AI能力。他說Google過去在筆電有ChromeOS，而在平板上提供了Android，兩者都非常成功。這讓Google看到機會，加速將Android上的AI進展帶到筆電，並使筆電和Android應用生態圈、社群無縫合作。他說ChromeOS和Android整合是「明年最令人興奮的事情」，而Google也正和高通及其他硬體業者發展新的Android PC。</p> <p>高通和Google主管並未說明明確的公布時程。但在前一天高通執行長Cristiano Amon和Google平臺暨裝置部門主管Rick Osterloh<a href="https://www.theverge.com/news/784381/qualcomm-ceo-seen-googles-android-pc-merger-incredible" target="_blank">的對談中透露自己已經實際看過這個尚在開發中的作業系統</a>，形容它「很棒」（incredible），完美體現了行動與PC混合的理想，甚至迫不及待想要擁有。</p> <p>Osterloh則證實，Google正在開發一個「跨PC與行動裝置的共通技術基礎」，計畫將Gemini、完整的Android AI堆疊帶進PC平臺，使Android得以服務所有運算平臺用戶。</p> <p>在此宣布外，<a href="https://www.qualcomm.com/content/dam/qcomm-martech/dm-assets/images/company/news-media/media-center/press-kits/snapdragon-summit-2025-press-kit/day-2-/documents/SnapdragonX2EliteExtremeandSnapdragonX2Elite_FeaturesataGlance.pdf" target="_blank">高通上周在Snapdragon Summit大會上公布</a>二款最新的第二代高階Arm-based Windows筆電PC晶片，包括Snapdragon X2 Elite及X2 Elite Extreme。Elite Extreme是在標準版頂級晶片Elite上新開闢的產品。Snapdragon X2 Elite Extreme的核心數將多達18個，高通表示是第一顆時脈來到5GHz的Arm晶片。Snapdragon X2 Elite使用Qualcomm Oryon Prime CPU。高通聲稱其耗電量比競爭者少75%，在多任務情璄下，這塊晶片的效能還比競爭者高31%，而較上一代晶片耗電則少43%。</p> </div></div></div>
2025/9/29 18:56作者林妍溱https://www.ithome.com.tw/news/171414
Google Search Live正式進駐美國市場，可連續對話並直接以相機畫面搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（9/24）<a href="https://blog.google/products/search/search-live-tips/" target="_blank">正式於美國市場推出Search Live</a>功能，當使用Android或iOS版的Google程式時，只要點擊搜尋欄下方的Live圖示，便能夠以語音提問、來回對話，同時啟用視訊輸入以分享相機畫面。不過，目前美國的Search Live也只支援英文。</p> <p>Search Live原本位於<a href="https://www.ithome.com.tw/news/169630" target="_blank">Google搜尋實驗室中的AI模式</a>，它讓使用者能夠利用語音與系統連續對話，既能秀出逐字稿，也會列出參考連結，之後還加上相機畫面的分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Search%20Live_AI%20Mode_Google(1).png" style="width: 600px;" /></p> <p>在最新的版本中，一旦使用者啟用了Live模式，系統就能同時接受語音及影像，因此，使用者可以開著相機拍向一堆線材，然後用語音問它：「哪條是HDMI」繼之接著問它：「那另一條是什麼？」，也能拍向一棵植物，問它：「這能吃嗎？」，總之，使用者隨時可與系統連續對話，還能與之分享影片，像是一個隨侍在側的專家朋友。</p> <p>Search Live在測試時就只開放美國市場，Google尚未揭露讓它進軍其它市場的時程表。</p> </div></div></div>
2025/9/25 11:56作者陳曉莉https://www.ithome.com.tw/news/171375
WhatsApp開始支援訊息翻譯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/09/introducing-message-translations-whatsapp/" target="_blank">Meta周二（9/23）宣布</a>，旗下傳訊程式WhatsApp將開始支援訊息翻譯功能，目前Android與iOS程式所支援的語言不一，Android版僅支援英文、西班牙文、印地語、葡萄牙文、俄文與阿拉伯文，而<a href="https://www.apple.com/ios/feature-availability/#translate-translate-app" target="_blank">iOS版則可支援包括繁體中文在內的19種語言</a>。</p> <p>未來當WhatsApp用戶看到其它語言的訊息時，只要長按該訊息，再點選翻譯（Translate）即可。使用者亦可選擇所要翻譯的語言，或是要翻譯成哪種語言，再下載所需的語言資料，方便日後翻譯時直接使用。</p> <p>上述的翻譯功能同時適用於一對一聊天、群組對話，以及頻道更新，Android用戶還可以直接於整個對話串中，開啟自動翻譯功能。</p> <p>根據瑞典雲端通訊業者<a href="https://sinch.com/blog/most-popular-messaging-apps-by-country/?utm_source=chatgpt.com" target="_blank">Sinch所提供的資料</a>，WhatsApp是全球最熱門的傳訊程式，每月有30億用戶數，超越WeChat的13.9億、Messenger的10億、Telegram的10億、Snapchat的9億、QQ的5.6億、Viber的2億，以及Line的1.98億。</p> <p>此外，WhatsApp堪稱是全球首個全面部署翻譯功能的即時傳訊程式，<a href="https://www.ithome.com.tw/news/122869" target="_blank">過去Messenger也曾協助使用者翻譯西班牙文與英文</a>，但僅止於此，Viber亦曾於2018年支援翻譯功能，不過亦未全面部署。</p> <p>Meta說，新的翻譯功能將能讓位於180個國家的30億WhatsApp用戶輕鬆地跨語言溝通，而且它只會在使用者的裝置上進行，以保護聊天室的隱私。</p> </div></div></div>
2025/9/24 15:23作者陳曉莉https://www.ithome.com.tw/news/171362
【資安日報】9月23日，協作平臺Notion導入AI代理，攻擊者可透過惡意PDF檔洩露資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式導入人工智慧的情況越來越普遍，但同時也可能使得應用程式存在AI相關的資安弱點。例如，最近發布大改版的協作平臺Notion，開發團隊導入了AI代理程式，號稱能自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程，但資安業者CodeIntegrity發現，此代理程式有可能被惡意內容操控，使得攻擊者有機會透過內建的網頁搜尋工具外洩資料。</p> <p>另一項受到外界關注的資安漏洞，是風險值達到滿分的Entra ID（原Azure AD）漏洞CVE-2025-55241，通報此事的研究人員指出，一旦攻擊者成功利用這項漏洞，就有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫，相當危險。</p> <p> </p> <h3>【攻擊與威脅】</h3> <p><a href="https://www.ithome.com.tw/news/171344"><strong style="font-size: 22px;">針對週末歐洲多個機場登機系統服務中斷事故，歐盟當局透露是勒索軟體攻擊所致</strong></a></p> <p>歐洲多個大型機場，包括：柏林勃蘭登堡機場、布魯塞爾機場，以及倫敦希思羅機場，從上週五（9月19日）晚間開始傳出登機系統中斷運作的現象，導致部分航班受到影響而出現延誤，引起全球關注。而本次傳出攻擊者下手的目標，是航太暨國防業者Collins Aerospace打造的Muse登機系統，歐盟主管介入調查，如今傳出這起事故是勒索軟體攻擊。</p> <p>根據衛報的報導，9月22日歐盟網路安全局（European Union Agency for Cybersecurity，ENISA）透露這起事故的初步調查結果，指出Collins Aerospace疑似遭遇勒索軟體攻擊，從而引發這起事故。但除此之外，對於攻擊者的身分、勒索軟體名稱，以及其他細節，ENISA並未進一步說明。</p> <p>英國反恐立法獨立審查員Jonathan Hall KC也對此事提出看法，他認為攻擊者的身分，很有可能是國家資助的駭客組織，但不排除是強大的私人駭客組織所為。</p> <p><a href="https://www.ithome.com.tw/news/171349"><strong style="font-size: 22px;">密碼管理服務業者LastPass遭冒名，駭客設置GitHub儲存庫散布竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/github-campaign---screen-capture-of-LastPass-impersonation-page-png.png" style="width: 300px; float: right;" /></a></p> <p>上週美國聯邦調查局（FBI）提出警告，近日有人偽裝他們旗下的網路犯罪投訴中心（Internet Crime Complaint Center，IC3），恐用於架設詐騙網站從事網路犯罪活動，進行網路釣魚、投資詐騙、商業郵件詐騙（BEC）等行為，現在也有資安業者遭到歹徒假冒的情況，他們公布相關手法並警告用戶提高警覺。</p> <p>密碼管理解決方案業者LastPass指出，他們追蹤正在進行、影響廣泛的竊資軟體攻擊活動，駭客透過冒牌GitHub儲存庫鎖定macOS用戶而來，意圖誘騙他們下載、安裝應用程式，其中一款就是號稱提供macOS版LastPass，假若用戶照做，電臘就會被植入竊資軟體Atomic Stealer（AMOS Stealer）。</p> <p>值得留意的是，根據LastPass列出的入侵指標（IoC），他們也看到攻擊者聲稱提供1Password、Dropbox、After Effects等其他應用程式的情況。</p> <p><a href="https://www.ithome.com.tw/news/171342"><strong style="font-size: 22px;">Jeep、Fiat母公司汽車集團Stellantis疑資料外洩，1,800萬筆北美客戶個資恐被竊</strong></a></p> <p>擁有Jeep、Fiat、克萊斯勒（Chrysler），以及瑪莎拉蒂（Maserati）等多個品牌的汽車集團Stellantis公告遭駭外洩北美客戶資料。惡名昭彰的勒贖組織ShinyHunters宣稱竊走了1800萬筆個資。</p> <p>Stellantis本周表示近日偵測到，支援其北美客戶服務的第三方服務平臺遭未授權存取，因而洩露了客戶個資。該公司立即啟動安全回應措施、阻止了惡意活動，並展開調查，同時通報主管機關及聯繫受影響的客戶。</p> <p>經過調查， Stellantis相信遭到存取的個資只有聯繫資訊，強調該平臺並未儲存財務或敏感個資，也沒有任何這些資料遭存取。該公司提醒客戶留心釣魚攻擊，切勿點擊不明來源的連結或分享個資的要求。雖然這家車廠沒有說明被存取的第三方客戶平臺為何，但根據資安新聞網站BleepingComputer報導，這起事件是最新一樁Salesforce資料外洩案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/17500-phishing-domains-target-316.html">網釣套件租用服務Lighthouse、Lucid規模顯著增加，鎖定74國、冒充316個品牌</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/apt28-recent-campaign-infection-chain/">俄羅斯駭客APT28結合隱寫術、雲端C2從事新一波惡意軟體感染活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/09/dprk-hackers-use-clickfix-to-deliver.html">北韓駭客鎖定加密貨幣業者而來，透過ClickFix網釣散布惡意軟體BeaverTail</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://research.checkpoint.com/2025/nimbus-manticore-deploys-new-malware-targeting-europe/">伊朗駭客Nimbus Manticore鎖定西歐而來，攻擊國防製造、電信、航空業</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/oracle-database-scheduler/">Oracle Database Scheduler遭到鎖定，駭客以此滲透企業網路環境</a></strong></p> <p> </p> <h3>【漏洞與修補】</h3> <p><a href="https://www.ithome.com.tw/news/171334"><strong style="font-size: 22px;">Notion大改版3.0新增AI代理，恐遭間接提示注入攻擊並洩露機敏資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/notion-ai-agent-8.png" style="width: 300px; float: right;" /></a></p> <p>受廣泛使用的協作平臺Notion在甫推出的3.0版本，增加了AI Agents作為主打功能，讓代理能在工作區裡自動完成建立文件、更新資料庫、跨工具檢索與多步驟工作流程。該更新凸顯了SaaS平臺向人工智慧驅動自動化邁進的趨勢，不過資安公司CodeIntegrity研究人員也發現其存在間接提示注入風險，代理可被惡意內容操控，藉由內建的網頁搜尋工具，將工作區內的敏感資料外洩到攻擊者控制的伺服器。</p> <p>研究人員說明，一旦使用者在Notion中開啟含有隱藏指令的檔案，例如看似正常的PDF報告，代理在進行摘要任務時，便可能讀取內部頁面中的欄位資料，再把這些資訊組合成字串，嵌入URL並透過網頁搜尋工具發出查詢。</p> <p>攻擊者只要在伺服端記錄這些請求，就能取得PDF報告中公司名稱、產業分類或年度經常性收入（ARR）等機密內容。研究人員指出，這是一種典型的間接提示注入攻擊，其特徵是代理本身沒有惡意，但在被誤導的情境下自動執行不符合使用者原意的動作。</p> <p><a href="https://www.ithome.com.tw/news/171346"><strong style="font-size: 22px;">微軟修補Entra ID滿分漏洞，攻擊者有機會透過舊版Azure AD Graph API在任意租戶隨意讀寫</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/053dNh3oR7.jpg" style="width: 300px; float: right;" /></a></p> <p>9月初微軟修補一系列的雲端服務漏洞，其中出現在Azure Networking的滿分漏洞CVE-2025-54914受到關注，資安業者Rapid7特別在9月例行更新（Patch Tuesday）提及，呼籲用戶在雲端資產進行通訊時，要特別留意，但除此之外，微軟還揭露了另一個Entra ID（Azure AD）滿分漏洞，通報此事的資安研究員近日公布相關細節，受到資安圈的高度關注。</p> <p>這項滿分漏洞被登記為CVE-2025-55241，出現在Azure Entra，可被用於權限提升，屬於未妥善驗證身分的弱點（CWE-287）。微軟對此僅表示他們已全面降低相關風險，使用者不需採取行動，之所以記錄這個漏洞，主要目的是提升後續追蹤的透明度。</p> <p>通報此事的Outsider Security資安研究員Dirk-jan Mollema透露，這是他看過影響最嚴重的Entra ID漏洞，而且，時間恰巧在7月，那時正在準備黑帽大會（Black Hat USA）及DEF CON兩項資安大型會議的資料。Dirk-jan在7月14日通報此事，17日微軟進行修補，並於23日確認已完全緩解。根據微軟內部的遙測，目前尚未出現漏洞遭到濫用的跡象。</p> <p> </p> <h3>【資安防禦措施】</h3> <p><a href="https://www.ithome.com.tw/news/171292"><strong style="font-size: 22px;">當機器人擁有自主思考能力──解析具身AI的資安臨界點</strong></a></p> <p>近年來，人工智慧（AI）的浪潮席捲全球，其觸角已從虛擬網路空間延伸至實體物理世界。當AI不再僅是無形的演算法，而是擁有「身體」，並能在現實中感知、行動、學習的機器人時，我們正迎來一個全新的「具身AI」（Embodied AI）時代。</p> <p>這不僅僅是技術的革新，更是對社會、經濟，乃至國家安全帶來全新考驗的轉折點。臺北市政府日前宣布引進中國宇樹科技（Unitree Robotics）的巡檢機器狗，原意為提升市政管理效率的創舉，卻不料激起層層資安疑雲，這不僅僅是一樁採購案的爭議，更是臺灣社會乃至全球，在迎接具身AI浪潮時，必須正視的嚴峻挑戰。</p> <p>我們該如何理解AI機器人的能力、應用需求，以及各種相關的安全性議題？針對各種智慧移動載具的資安威脅實驗室VicOne LAB R7，發表全球第一份《AI 機器人資安風險與防護白皮書》，當中強調：AI機器人具備「感知、決策、行動」三大能力，一旦遭到入侵，後果不僅止於個資和隱私等資料外洩，還可能導致機器人誤判行為，進而造成人身安全的危害。</p> <p><a href="https://www.ithome.com.tw/news/171173"><strong style="font-size: 22px;">Pixel 10相機與相簿啟用C2PA內容憑證，建立可驗證的拍攝與編輯鏈</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog image C2PA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog%20image%20C2PA.png" style="width: 300px; float: right;" /></a></p> <p>Google Pixel 10的相機應用會對每張JPEG寫入C2PA內容憑證，而Google相簿則會讀取與顯示C2PA內容憑證，並在編輯時續寫相應描述。該功能把可驗證的來源與歷程帶進行動攝影生態，Google強調，目的不是區分人工智慧或非人工智慧，而是讓影像的產生與處理步驟可以被查證。</p> <p>C2PA內容憑證是一套產業標準，透過數位簽章把影像的來源、拍攝或編輯步驟嵌入檔案。當支援的檢視工具讀到這些資料，使用者能看見影像是否由相機拍攝、是否經人工智慧或非人工智慧工具處理、處理順序為何。</p> <p>Pixel相機應用通過C2PA一致性計畫的第二級驗證保障（Assurance Level 2），這是目前計畫中最高等級的安全驗證，其達成仰賴Android的硬體安全架構，包括Tensor G5處理器、Titan M2安全晶片，以及Android Key Attestation、遠端金鑰配置（RKP）與StrongBox等功能。Titan M2經過國際安全標準的認證，用於在晶片層級產生並保護簽章金鑰，而Key Attestation則讓憑證機構能確認裝置狀態是否安全，並驗證請求憑證的應用是否為受信任的版本。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/171332"><strong>【9月22日】歐洲多座機場因登機系統遭到網路攻擊而影響營運</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171285"><strong>【9月19日】多家資安業者紛紛宣布併購AI公司</strong></a></p> <p><a href="https://www.ithome.com.tw/news/171274"><strong>【9月18日】逾500個NPM套件被植入具大量散播能力的蠕蟲</strong></a></p> </div></div></div>
2025/9/23 18:15作者周峻佑https://www.ithome.com.tw/news/171351
Meta即將開始預覽AI眼鏡開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在發布了<a href="https://www.ithome.com.tw/news/171260" target="_blank">一系列的AI眼鏡</a>之後，<a href="https://developers.meta.com/blog/introducing-meta-wearables-device-access-toolkit/?intern_source=blog&intern_content=connect-2025-day-2-keynote-recap-vr-development-use-cases-wearable-device-access-toolkit" target="_blank">Meta周四（9/18）宣布</a>將開始預覽穿戴裝置存取工具包（Meta Wearables Device Access Toolkit），以讓開發人員打造支援這些AI眼鏡的各種應用，涵蓋Ray-Ban Meta、Oakley Meta HSTN、Oakley Meta Vanguard，以及與內建顯示器的Meta Ray-Ban Display。正式版預計會在2026年出爐。</p> <p>Meta表示，Ray-Ban Meta已於全球售出數百萬副，證明這種產品形態是成功的，也代表此一時尚與科技的結合帶動了新的文化潮流，預示著配備開放式喇叭、免持相機及隨身AI助理的AI眼鏡將成為人們日常生活的一部分，因而想建立一個平臺，讓開發者可擴充AI眼鏡的體驗。</p> <p>首版的工具包將開放存取眼鏡上的攝影機，也能透過 iOS/Android藍牙設定檔存取眼鏡上的麥克風與喇叭，但還不能存取Meta AI功能或顯示器，也無法存取肌電圖腕帶Meta Neural Band上的感測器。</p> <p>該工具包支援Android與iOS平臺，開發人員不一定要擁有AI眼鏡，其軟體開發套件（SDK）將包含一個模擬裝置套件（Mock Device Kit），可用來進行自動化與程式測試。此外，就算在沒有開賣Meta AI眼鏡的市場，也能參與此一預覽活動，只是所能存取的功能會受限。</p> </div></div></div>
2025/9/19 11:51作者陳曉莉https://www.ithome.com.tw/news/171286