Quantcast
Channel: iThome
Viewing all 32679 articles
Browse latest View live

微軟3月修補的NTLM漏洞危機升溫,至少出現10起實際濫用的攻擊行動

$
0
0

今年3月上旬微軟修補NTLM雜湊值洩露漏洞CVE-2025-24054,近期有資安業者提出警告,在微軟公告一週後,他們察覺有人將其用於實際攻擊行動。

資安業者Check Point指出,他們約從3月19日發現相關攻擊,駭客試圖用於洩露NTLM雜湊值或是使用者密碼,並用來入侵受害電電腦。到了20至21日,研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業,利用垃圾郵件接觸受害者,藉此散布Dropbox連結。一旦使用者依照指示開啟,就會觸發與NTLM有關的已知漏洞,從而讓攻擊者能挖掘NTLMv2-SSP雜湊值,而其中一個遭到攻擊者利用的漏洞,就是CVE-2025-24054。

由於這項資安漏洞與欺騙有關,當時微軟提及利用的前提是必須與使用者互動,但該公司也特別提到,此弱點只需使用者進行最少的互動,就有可能成功觸發,這些互動包含對惡意檔案進行選取、點選右鍵,以及在開啟或執行檔案以外的其他行為,此漏洞的CVSS風險評為6.5。Check Point指出,攻擊者只要利用特製的library-ms檔案,就能利用這項弱點。

針對這波試圖利用CVE-2025-24054的情況,Check Point自3月19日至25日總共發現超過10起攻擊行動,而所有活動的最終目標,就是從受害電腦找出NTLMv2-SSP雜湊值。駭客用來收集相關資料的SMB伺服器,分散於俄羅斯、保加利亞荷蘭、澳洲、土耳其。

研究人員提及其中部分攻擊行動的發生過程,他們舉出攻擊波蘭及羅馬尼亞政府機關及企業的事故為例,使用者一旦收到駭客的垃圾信並依照指示點選連結,就會從Dropbox下載壓縮檔xd.zip,若是將此壓縮檔案開啟,由於內含能觸發CVE-2025-24054的檔案xd.library-ms,使用者就會中招,而有可能導致NTLMv2-SSP雜湊值外流。

但除此之外,駭客也試圖透過其他方法洩露NTLM雜湊值,例如xd.zip內含的xd.url,就是利用CVE-2024-43451及網路共用資料夾來達到目的。此ZIP檔案也內含Website及LNK檔案,攻擊者藉此建立SMB連線,從而竊取使用者的NTLM雜湊值。

針對攻擊者的身分,研究人員根據駭客使用的CVE-2024-43451,以及SMB伺服器的IP位址,這些分別與俄羅斯駭客UAC-0194、APT28(Fancy Bear)有關,他們不排除是俄羅斯國家級駭客所為,但目前沒有進一步的證據能佐證駭客的身分。

值得留意的是,Check Point也發現駭客直接挾帶library-ms檔案的惡意郵件,這樣的情況更加危險,因為收信人一旦另存附件,就有可能觸發CVE-2025-24054。


惡意NPM套件藏反向Shell,鎖定電商交易流程滲透伺服器

$
0
0

開源資安公司Socket揭露一個名為merchant-advcash的NPM套件,其表面上聲稱支援Advcash金流整合,實則於付款成功時觸發反向Shell,將伺服器權限交由攻擊者遠端控制。該攻擊行為未在套件安裝或匯入時啟動,而是延遲至使用者完成支付流程後才暗地執行,明確鎖定實際部署於電商平臺的生產環境。

反向Shell是一種常見的攻擊手法,讓駭客能在受害系統主動發起連線後,遠端取得該系統的指令列控制權。與其從外部強行入侵,攻擊者設計程式讓目標伺服器在特定時機自己連回駭客機器,建立一條可雙向傳輸指令的通道。一旦連線成功,攻擊者便能在背後執行任意指令、存取資料,甚至橫向攻擊其他系統。

Advcash常見於諸如加密貨幣交易、高風險投資、線上博弈等灰色市場或高風險電子商務應用網站。此NPM套件偽裝成開發者整合工具,實作包括金額雜湊、商家驗證與交易狀態更新等看似正當的功能。研究人員指出,該模組在處理交易成功通知的url_success()回呼函式,內嵌一段以Node.js撰寫的即時反向Shell程式碼,使用child_process與net模組連線至IP 65.109.184.223、埠號為8443的遠端主機,並將/bin/sh的標準輸入與輸出完整轉交給該連線。

該攻擊行為高度隱匿,並藉由付款成功此業務邏輯節點,掩護惡意程式的執行時機,繞過常見的套件安裝監測、靜態掃描與CI工作管線稽核。研究人員表示,其撰寫手法明顯異於低階垃圾套件,而是建構出一個具實際商業邏輯的伺服器端整合模組,具有更高的可信度與部署機會,也更容易被企業系統採用。

研究人員認為,此種攻擊方式顯示出惡意行為者對目標環境的熟悉程度與技術熟練度,其目的可能是針對特定場景的交易系統進行滲透。雖然該套件目前已由NPM官方下架,但對於電商平臺、第三方支付整合開發者及資訊安全團隊而言,在處理金流、帳務與用戶操作密切相關的流程,更應注重供應鏈安全防護。

研究人員建議開發者導入如CLI掃描器與GitHub拉取請求監控等機制,強化對第三方相依項目的動態與靜態檢查,避免單純仰賴套件描述或README等表面資訊評估其安全性。

中國駭客Mustang Panda鎖定緬甸而來,利用StarProxy存取未與網際網路連線的環境

$
0
0

專門針對臺灣、越南、馬來西亞等亞太國家發動攻擊,被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織,在今年2月、3月傳出相關攻擊行動,包含意圖利用作業系統預載公用程式MAVInject.exe迴避偵測,以及散布惡意LNK檔案利用尚無修補的零時差漏洞,最近有研究人員發現,這些駭客改用新的工具犯案,使得行蹤變得更加難以捉摸。

資安業者Zscaler指出,Mustang Panda近期鎖定緬甸而來,該國3月底才因7.7級地震而遭逢重大災難,沒想到現在還必須處理駭客攻擊的問題,他們在2臺受害電腦發現後門程式ToneShell的變種,以及一系列未曾被發現的作案工具,因而高度關注此事。

基本上,ToneShell是慣用的後門程式,而這次Zscaler發現,駭客使用的新版本出現顯著的變化,那就是調整了與C2連線的FakeTLS通訊協定,以及在建立用戶端識別編號的做法。這次研究人員總共看到3個版本的ToneShell,它們都由執行檔(EXE)與DLL程式庫組成,駭客藉由正常的執行檔以側載的手法,執行ToneShell的DLL檔案。

另一個駭客透過FakeTLS代理流量的作案工具,則是用於橫向移動的StarProxy。研究人員推測,駭客將其用於成功入侵之後,目的是存取無法直接透過網際網路連線的系統。

什麼是FakeTLS?研究人員直指這是ToneShell的主要功能,目的是用來隱匿惡意軟體的行蹤,駭客使用FakeTLS標頭,模仿TLS的通訊協定。而過往的ToneShell,藉著FakeTLS標頭模仿TLS 1.2版通訊,而現在Zscaler看到的新版本,則是仿造1.3版TLS通訊,來建立受害電腦與C2之間的連線。

此外,這些駭客也運用名為SplatCloak的驅動程式元件工具組,來迴避EDR系統的偵測。SplatCloak的主要用途,是干擾Windows內建的Microsoft Defender及卡巴斯基相關驅動程式的運作,停用核心層級的通知回傳功能。Mustang Panda透過公用程式SplatDropper部署上述的工具包,並設置系統服務來執行。

附帶一提的是,駭客運用兩款鍵盤側錄工具PakLOG、CorKLOG,監控使用者鍵盤輸入的內容,以及剪貼簿的資料,兩者主要的差異在於:CorKLOG使用48個字元長度的RC4金鑰加密截取到的資料,並設置工作排程或是服務以便持續於受害電腦運作。

從數據到數位策略的旅程

$
0
0
商業周刊

在2018年福特汽車宣布,將投入110億美元在10年的數位轉型。主要是在福特汽車上安裝大量感測器,作為生成數據的源頭,例如即時地偵測引擎性能、煞車系統性能、輪胎胎壓、道路狀況、以及空氣品質等狀態的感測器。福特的感測器能夠以高達每秒50次的速率更新數據,在1小時的車程中,生成約25 GB的數據。

有了這些數據,福特能夠提供幾項新的「智慧型」汽車功能。汽車能夠偵測、並提醒駕駛人注意盲點處有其他車輛;幫助駕駛人保持行駛在車道上;在即將撞車前及時自動煞車;(在駕駛人的同意下),偵測到前方交通減緩時減速。電動車提供目前及預測電儲量狀態的資訊,以及計畫車程需要的充電時間量。在充電站,通知使用者是否因為停電、插頭鬆動、或其他類似事件而意外停止充電。車子甚至會規畫路線,確保行程中充飽足夠的電。

福特汽車也透過名為「SYNC」的車用通訊系統,以及應用程式商店取得、並透過手機連結的各種APP傳輸數據。福特的APP除了把駕駛人從A點運載至B點,也在開車途中提供適合駕駛人的生活服務,例如一款APP讓駕駛人可以透過智慧型語音助理Alexa訂購星巴克咖啡。

了解新興的數位生態系

為了釋放數據的新潛力,企業需要數據接收者網路分享數據。這些數據接收者當中有一些位於企業的價值鏈上,例如,福特汽車出產的車子中任何特定元件上的感測數據被拿來和軟體設計部門、AI中心、單位協調數位服務、儲存備用零組件的倉儲中心、服務據點等等接收者分享,全都是福特組織的一部分。這些數據接收者可以協調活動,執行新的數位價值主張,例如預測性維修服務。感測器數據的其他接收者不在價值鏈上,例如亞馬遜(Alexa智慧型音箱)、星巴克、銀行、天氣或交通APP供應商,這些數據接收者調整扮演的角色,實現前文敘述的福特汽車上提供的車上訂購咖啡服務。數據生成者和資訊接收者網路構成數位生態系,對傳統企業而言,這種網路有兩個部分:其一,生產生態系(production ecosystems),由公司的價值鏈形成;其二,消費生態系(consumption ecosystems),不是公司的價值鏈形成的。

生產生態系

生產生態系是公司「內部」參與生產與銷售產品的各種實體、資產、及活動之間的數位連結,包括供應商、研發、製造、組裝、及通路所形成的。因為公司的整個價值鏈活動有感測裝置,並且有物聯網賦能,才能建立這些連結,因此,生產生態系提供一條能釋放數據價值的內部管道。舉例而言,在公司供應鏈中建立一個感測網路,可以讓公司根據存貨使用狀態的即時數據,完成更緊密的存貨協調。又如,在智慧型工廠裡安裝感測器,讓機器、機器人、或生產與組裝單位之間同步溝通,簡化工作流程,進一步提升作業效率。

透過產品中安裝的感測器,生產生態系傳輸產品生成的數據,發展出增進產品性能的特色及服務,創造新價值。當產品根據個別消費者的使用數據來調整特性時,就能做到這點。此外,可以使用有形的指標來追蹤、改善、及展示這類服務的結果,例如,奇異公司為飛機引擎推出「以成果為基準」(outcome-based)的服務:機師依循智慧型引擎指示,節省燃料,奇異公司根據實際的燃料成本降低成果來收費。因此,除了傳統的噴射引擎銷售營收,也增加了營收。

其他公司也可以採取類似行動,供應根據數據調整的智慧型產品,改善產品成果。舉例而言,歐樂B(Oral-B)的智慧型牙刷追蹤刷牙結果,並在APP上展示結果,藉此改善刷牙習慣。開拓重工根據感測器監測到的機器使用及磨損狀態即時數據,減少機器故障停工時間。這些例子顯示企業如何從生產生態系釋放新價值,當研發、產品發展、行銷、銷售、及售後服務單位透過數位連結來接收、分析、生成、分享、及應感測數據創造這種價值。感測網路愈精細、愈普遍涵蓋,生產生態系就愈大。

消費生態系

「消費生態系」與「生產生態系」的不同之處是,「消費生態系」把「外部」連結至公司的價值鏈。消費生態系由一個「外部」實體網路形成,那些外部實體為產品的感測器生成的數據提供互補、完善作業。例如,星巴克根據車子感測器傳來的數據,為駕駛人供應咖啡;一個停車位以數位訊號通知一輛車子,告知這個停車位是空的。跟公司的價值鏈的單位及實體不同的是,公司並不直接控管外部網路。這個獨立實體構成的外部網路隨著更多資產加入數位連結而擴展,例如,當有更多零售商(星巴克以外的零售商)或更多資產(例如停車場)數位連結至福特車的感測器數據,提供互補、完善作業,福特的消費生態系就會擴大。

對大多數企業而言,在數據和數位連結的現代發展與進步問世之前,不存在消費生態系。舉例而言,當一個燈泡嵌入感測器後,便形成燈泡的新消費生態系。「智慧型燈泡」內含感測器,收集動作、物件位置、及聲音之類的數據,這些數據為各方開啟創造價值的新機會。消費生態系可能形成多個領域,這取決於智慧型燈泡生成的數據,以及吸引的第三方實體。以動作偵測為例,當住家中無人時,若燈泡的感測器偵測到有動作,就對保全服務生態系和行動應用程式發出警訊。藉由感測及追蹤倉庫裡的存貨狀態,可以形成一個改善補給與物流作業的實體生態系。藉由感測槍擊事件,可以形成一個攝影機數據、911接線員、以及救護車的生態系,改善街道安全性。消費生態系為傳統企業提供新管道,提供釋放數據價值的新方式。

消費生態系與數位平台

「生產生態系」提供釋放價值的「內部」管道,「消費生態系」則是提供釋放價值的「外部」管道,不過,為了從外部管道衍生價值,公司必須協調各種互補實體之間的數據交易作業;換言之,公司必須以一個數位平台模式來運營。位於波士頓的新創公司星空照明(CIMCON Lighting)開發出能感測槍擊事件的智慧型燈泡,這家公司運營一個平台,連結攝影機之類的物件,以及警察與救護車服務及醫院之類的實體。福特的咖啡訂購服務是透過平台來協調駕駛人、Alexa、星巴克、各種應用程式開發商、以及銀行之間的數據交換。雖然對產品而言,這是一個新概念,但這方法與許多現有的數位平台協調各種第三方彼此交流或交易的模式,例如,臉書協調朋友和群組間的新聞及資訊分享;Uber共乘平台協調駕駛人與乘客之間的交易。

靠數據經營的生態系

因此,不論是生產生態系或消費生態系,「數據」是串成這些數位生態系的共同脈絡。在生產生態系裡,數據被數位連結的價值鏈加以利用;在消費生態系裡,數據被數位連結的互補實體加以利用。這兩個生態系把企業的競爭範圍從「產品」擴展到產品生成的「數據」,兩個生態系都為企業帶來改變和消費者互動方式的新機會,幫助企業想像數據的無窮潛力。不過,企業必須把不同類型的生態系分開來分析,因為需要不同的業務模式(一個是價值鏈,另一個是平台),不同的業務模式需要不同的能力。認知與了解這些差別,也能幫助企業發想更多的策略選擇,思考打造數位策略更多的方法。(本文摘錄整理自《數位競爭策略》,商業周刊提供)

圖片來源_商業周刊

 書名 數位競爭策略:企業如何從數據中打造競爭優勢、做好數位轉型?(The Future of Competitive Strategy)

莫漢.薩布拉曼尼亞(Mohan Subramaniam)/著;李芳齡/譯

商業周刊出版

定價:450元

圖片來源_IMD Business School

 作者簡介 

莫漢.薩布拉曼尼亞(Mohan Subramaniam)

國際知名管理學者、數位策略大師,知名企業高階經理人教練。

瑞士洛桑國際管理發展學院(IMD Business School)策略與數位轉型教授,曾任康乃狄克大學、波士頓大學及波士頓學院,經常在著名學術期刊發表文獻,目前也擔任《史隆管理評論》(MIT Sloan Management Review)編輯顧問委員會委員。深入研究數位轉型、數據驅動策略與生態系設計等領域,是國際公認數位策略大師。

瞄準全球企業市場,中信銀上架首支供應鏈金融解決方案至全球SAP Store

$
0
0

近日,中國信託銀行和SAP、臺灣IBM公布全新的供應鏈金融解決方案「提早付款專案」。這套專案,是臺灣金融業中,第一支上架至全球SAP Store的服務,能串接至企業端的雲端SAP ERP系統,協助企業提升營運資金效率,優化供應鏈資金調度。同時,這也是中信銀第一支B2B的SaaS服務。

過去企業與供應商之間的結算付款模式,企業開立紙本的付款憑證,郵寄至銀行,銀行確認金額無誤後再撥款給供應商,但這樣高度依賴紙本作業的流程,不僅繁瑣也相當耗時,光是國內郵寄,就需要兩至三天。若企業位於海外,郵寄憑證時間更可能超過一週。冗長的處理時間,拉長了供應商取得貨款的時間。

後來開始有銀行提供金融供應鏈解決方案,透過數位化方式取代紙本的付款憑證,來縮短企業付款給供應商的作業時間。像中信銀在2023年就推出銀企直連服務,提供一套與企業ERP整合的軟體介面,讓企業自家ERP可以串接到銀行的系統來拋轉資料,來加快撥款的作業,可支援不同廠牌的ERP,像是SAP ERP,甲骨文 ERP或鼎新ERP的介接。

但是,這樣的銀企直連服務,企業得自行客製內部ERP來整合中信銀提供的API,這段開發工作並不輕鬆,企業IT部門有時需要花費數月時間。

中信銀上架全球SAP Store的提早付款專案模組,類似銀企直連的做法,同樣提供了一套軟體外掛,讓企業ERP透過API傳送匯款帳務資訊到銀行,審核同意後,自動撥款給供應商,省下既有流程中的紙本作業。另外,這些立賬付款資訊也能與企業ERP同步更新,減少錯帳。不過,這項外掛只支援採用雲端版SAP ERP的企業。去年底在SAP Store上架推出,目前已有跨國機電製造商、大型醫材通路商、電子組件通路商採用。

中信銀最高資訊主管賈景光表示,這次發布的專案,是延續中信銀法金業務的場景金融策略,協助客戶解決發生在自家場景的痛點,「我們把拼圖拼得更完整,讓不同企業更容易拿到我們的金融服務,更安全解決企業痛點。」

對中信銀而言,新的提前付款專案,能讓升級到雲端SAP ERP的企業更快速導入自家服務,有助於吸引更多企業客戶,提高企業金融業績。另一方面,透過將服務上架至SAP Store,中信銀不只可以接觸到全球採用SAP ERP的企業,同時也建立了一套將自家金融服務外掛上架上架至SAP Store的流程,未來也能上架更多金融服務。

中信銀看好企業數位轉型浪潮,以及不少大型企業紛紛將自家ERP上雲的趨勢,積極步局雲端供應鏈金融解決方案,中信銀也是少數將ERP系統上雲的金融業者。

【資安日報】4月21日,微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動

$
0
0

微軟每個月例行更新(Patch Tuesday)修補的資安漏洞,少則40、50個,多的時候往往會超過100個,也因此大家通常會優先注意已遭到利用的零時差漏洞,以及危險程度較高的弱點,但被認定較不可能被利用的漏洞,若不處理,有可能成為駭客攻擊的目標。

最近資安業者Check Point公布針對NTLM雜湊值洩露漏洞CVE-2025-24054的攻擊行動,就是這種例子,他們在一週內看到超過10起攻擊。

 

【攻擊與威脅】

微軟3月修補的NTLM漏洞危機升溫,至少出現10起實際濫用的攻擊行動

今年3月微軟在例行更新(Patch Tuesday)總共修補57個漏洞,其中有7個零時差漏洞最受到關注,且有6個已有實際攻擊行動而成為焦點,但也有當時公布的資安漏洞,微軟評估利用的可能性不高,觸發漏洞存在必要條件,認為其風險不高,後續被駭客盯上並相繼用於攻擊。例如,當時修補的NTLM雜湊值洩露漏洞CVE-2025-24054(CVSS風險6.5分),近期有資安業者提出警告,在微軟公告一週後,他們察覺有人將其用於實際攻擊行動。

資安業者Check Point指出,他們約從3月19日發現相關攻擊,駭客試圖用於洩露NTLM雜湊值或是使用者密碼,並用來入侵受害電腦。到了20至21日,研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業,利用垃圾郵件接觸受害者,藉此散布Dropbox連結。一旦使用者依照指示開啟,就會觸發與NTLM有關的已知漏洞,從而讓攻擊者能挖掘NTLMv2-SSP雜湊值,而其中一個遭到攻擊者利用的漏洞,就是CVE-2025-24054。值得留意的是,針對這波試圖利用CVE-2025-24054的情況,Check Point自3月19日至25日總共發現超過10起攻擊行動。

網路上有超過1.6萬臺Fortinet裝置含有符號連結後門

專門開發各種軟、硬體安全解決方案的美國資安業者Fortinet在今年4月中旬揭露了一個與符號連結(Symbolic Link)有關的後門問題,這是駭客藉由攻陷已知漏洞,建立了一個可連結用戶檔案系統及根檔案系統的符號連結,就算用戶修補了遭到攻擊的安全漏洞,此一符號連結依然存在,因而允許駭客持續存取根檔案系統中的機密配置。Shadowserver基金會的掃描發現,在Fortinet揭露此事後,網路上含有符號連結後門的Fortinet裝置顯著增加,從1.2萬臺增加到近1.7萬臺。

當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997,以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件,駭客針對網路上未修補的已知漏洞展開攻擊並非新聞,特別的是Fortinet發現駭客採用了新技術,透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力,就算只能唯讀,卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。

萬海海運網站遭遇攻擊

4月18日晚間海運業者萬海於股市公開觀測站發布資安重訊,指出該公司資訊網站當天下午遭到攻擊,他們發現此事後即刻啟動資安防護措施因應,將網站進行隔離。此網站暫時停止提供服務。

而對於這起事故可能造成的影響,萬海表示根據他們的初步評估,對公司營運、資訊安全、個資無重大影響。

其他攻擊與威脅

殭屍網路XorDDoS透過暴力破解入侵Linux設備,在全球廣泛發動攻擊

惡意軟體攻擊行動Proton66鎖定重大漏洞而來,散布勒索軟體SuperBlack

Node.js惡意軟體攻擊行動鎖定加密貨幣用戶而來,假借提供加密貨幣工具散布惡意酬載

 

【漏洞與修補】

Windows工作排程工具遭揭多項弱點,恐被濫用於提升SYSTEM權限

資安公司Cymulate研究人員揭露Windows作業系統中的工作排程工具schtasks.exe,存在多項可被濫用的安全弱點,攻擊者可透過合法命令列參數及任務排程XML檔案,在特定條件下繞過使用者帳戶控制(UAC)提示,並以SYSTEM權限執行任意程式。研究人員指出,這些行為雖未被微軟視為漏洞,但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。

針對Cymulate研究人員提出的安全質疑,微軟安全回應中心(MSRC)回覆表示,Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計,並非安全用途,因此不構成漏洞。不過,研究人員認為,使用者與資安人員仍應注意被惡意濫用的系統設計,特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。

其他漏洞與修補

啟用AiCloud功能的華碩路由器存在重大漏洞,恐被用於繞過身分驗證流程

SSH程式庫Erlang/OTP存在風險滿分漏洞,攻擊者有機會未經授權執行任意程式碼

 

【資安產業動態】

資策會導讀臺灣最新出爐的PQC遷移指引,預告兩週後將推出自動化加密盤點工具

隨著全球主要國家陸續發表後量子密碼遷移指引,為因應量子破解威脅做好準備,臺灣也需積極布局,上個月後量子資安產業聯盟(PQC-CIA)召集人李維斌曾透露,資策會正在負責我國「後量子密碼遷移指引」的制定,如今數位發展部數位產業署於2025臺灣資安大會上正式發表這項指引,目的是協助產業及早因應量子破密威脅的挑戰,讓後PQC遷移能順利過渡。

在這場活動中,負責此項指引開發的資策會資安科技研究所主任蕭榮興,有更具體說明。基本上,關於遷移指引對臺灣產業的重要性,這不僅是對齊國際趨勢,最大重點是促使企業瞭解量子破密威脅,重視後量子加密的必要性並加速遷移,並提供企業組織一套清晰的遷移路徑與實施步驟,確保遷移過程安全並且可以實行。

 

近期資安日報

【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法

【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面

【4月16日】MITRE停止維護CVE等多項專案,恐波及全球資安漏洞分析

GitLab 17.11擴充AI功能並強化法遵框架與控制項支援

$
0
0

GitLab釋出17.11版本,正式推出自訂法規遵循框架與全新法規要求設定機制,讓開發與資安團隊可依據組織所需遵守的標準與法規,精細定義稽核項目與對應控制項,強化內部法遵治理與審查透明度。

同時,此版本擴充開箱即用的法遵控制數量,從原本5項提升至超過50項,可自動檢查專案設定、合併請求規則與安全機制,支援SOC2、NIST、ISO 27001與GitLab CIS Benchmark等常見標準,並可於標準遵循報告中呈現與要求間的對應關係。此外,也可對應組織內部或GitLab平臺外部的控制項,統一於GitLab法遵中心呈現,用作法遵證據與稽核依據。

GitLab 17.11也同步宣布GitLab Duo with Amazon Q進入正式發布階段,該功能向Ultimate版本的自託管部署使用者開放,透過整合Amazon Q人工智慧代理,可直接於開發流程中執行如程式碼生成、Java版本升級、自動化審查與單元測試生成等操作。使用者僅需透過Issue或Merge Request操作介面輸入/q dev、/q review、/q transform或/q test等指令,即可觸發人工智慧輔助任務,無須切換工具或額外撰寫腳本,減少重複性工作。

除人工智慧功能與法遵強化外,本次更新也擴充工作項目Issue、Epic與Task的自訂欄位支援,開發者可於群組層級建立文字、數值、單選與多選欄位,並套用至所屬專案,以更具結構化的方式記錄業務需求與任務屬性。CI/CD部分則新增工作管線輸入機制,取代過去風險較高的工作管線變數,提供更安全且易於控管的參數注入方法,並支援排程、下游與觸發式流程情境。

微軟系統出包 誤將部分Entra帳號鎖定

$
0
0

微軟坦承,由於內部Log系統錯誤,導致上周部分企業用戶的Entra帳號遭到鎖定無法存取。

上周多家組織反映在登入Entra帳號時,接獲系統端發出帳號密碼疑似外洩的訊息,為了確保用戶帳號安全而自動將Entra帳號鎖定。用戶一度認定元兇是新上線的安全功能MACE憑證註銷(MACE Credential Revocation)。不過微軟管理員周末對影響用戶說明,原因是內部Log系統擺烏龍。

用戶登入Entra時,微軟管理系統標準程序應該只記錄用戶token的metadata,像是發行時間或用戶ID等,但在4月18日卻將部分用戶的短效更新令牌(refresh token)本體記錄下來。更新令牌是一種憑證,用於獲取新的存取令牌(access tokens),而無需用戶重新進行身分驗證,可提升用戶體驗。

這次Log系統出包,微軟團隊很快就發現並修正問題。為了保護用戶於是主動讓這些令牌失效,可是失效程序意外觸發Entra ID Protection的警示訊息,發送給用戶,同時將其帳號鎖定。這批警示是在臺北時間4月20日中午12:00到下午5:00左右發出。

微軟說這些令牌沒有遭到未授權存取的跡象。此外,若微軟發現真的有未經授權存取令牌,也會啟動標準安全事件回應和通報流程。

微軟提醒受影響的管理員,可以在某些使用者被Entra標註為高風險時,利用「Confirm User Safe」的管理員功能解除警報。


Microsoft 365將預設關閉ActiveX

$
0
0

微軟4月中旬公告,基於安全考量,微軟將預設關閉Microsoft 365及Office 2024中的ActiveX

ActiveX是很強大的工具,ActiveX控制項可讓使用者與web應用程式互動,同時,Web應用程式亦可藉由ActiveX控制項存取電腦。微軟說,ActiveX為Microsoft 365(M365)創造豐富互動,但是它可存取系統深度資源,也帶來安全風險。從4月開始,Windows版Word、Excel、PowerPoint及Visio將預設關閉ActiveX控制項。它不會再通知用戶,而是已經關閉所有控制項。

由於微軟產品屢次發現存在ActiveX漏洞。微軟Edge瀏覽器早在2015年就不再支援ActiveX

去年9月微軟決定預設關閉Office/M365應用程式中的ActiveX,但是還要用戶主動選擇。那時用戶需在「信任中心設定」頁中的ActiveX 設定項,選擇「以最小限制關閉所有控制項前提示我」選項。但微軟說,這設定可能讓攻擊者利用社交工程或惡意檔案濫用,而為惡意活動開了大門。新的預設設定可完全封鎖控制、降低惡意程式碼執行的風險。因此用戶如果開啟包含ActiveX控制項的檔案,M365應用程式的上方就會顯示:「封鎖內容:本檔案內的ActiveX內容已經封鎖。」

只有在之前從未手動設定ActiveX設定的用戶會收到這通知。關閉ActiveX物件後,用戶就無法再和M365 ActiveX物件互動或新增物件。現有檔案的ActiveX物件則會呈現靜態圖像,但無法再使用。

用戶若有把握檔案是安全的,還是可啟用ActiveX控制項。方法是選擇上方功能列的「檔案」>「選項」「信任中心」>「信任中心設定」>「ActiveX設定」,勾選「以最小限制啟用所有控制項前提示我(Prompt me before enabling all controls with minimal restrictions)」,再按下「OK」。

不過要注意的是,啟用ActiveX後,會適用所有Office/M365應用程式,而非只適用於單一檔案。

企業用戶可能會發現ActiveX設定是灰色無法使用狀態,這表示管理員已統一設定了ActiveX政策。

法院開庭討論Google如何補救搜尋壟斷,結果將於夏季出爐

$
0
0

美國法官Amit Mehta本周一(4/21)開始主持一場預計持續數周的聽證會,以討論在判決Google的搜尋引擎違反壟斷法令之後,該公司將採取哪些補救措施,而美國司法部(DOJ)以一貫的態度認為,法官應該要求Google剝離旗下的Chrome瀏覽器。此一聽證會的結果可望於今年夏天出爐,而Google已經決定要就搜尋引擎違反托拉斯法一案提出上訴。

此案是由美國司法部所提出,法院於去年8月判決Google利用不當手段維持搜尋引擎的壟斷地位;司法部也控告Google的數位廣告技術違反壟斷法令,法院則在今年4月認定Google供出版商銷售廣告的DoubleClick For Publishers(DFP),以及用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange(AdX)違法。

對於Google搜尋的壟斷,美國司法部早在去年11月就遞交法院文件以提出建議,包括禁止Google與第三方簽訂排他性合約,以避免排擠競爭對手;還要求Google剝離對Chrome的控制權,以及必要時亦應考慮剝離Android,以促進公平競爭。

雖然違反壟斷法的是搜尋引擎,但司法部認為Google利用擁有主導地位的Chrome瀏覽器來優先推廣Google搜尋,同樣的,在行動平臺上具主導地位的Android也內建了Google搜尋,這些用來分發搜尋服務的平臺都是造成搜尋壟斷的關鍵角色。

此外,司法部亦要求Google以邊際成本向競爭對手供應搜尋索引及用戶資料,以促進競爭;提高廣告效果的透明度,改善廣告商的控制權;以及禁止Google在新裝置上預裝自家的搜尋引擎,並應提供選擇視窗,以讓用戶選擇其它搜尋引擎;以及設立技術委員會來監督Google的遵循情況。

由於本周司法部及Google就要在法庭上展開攻防,負責Google法規事務的副總裁Lee-Anne Mulholland前一天就公開說明了Google的立場,闡明Google已經決定要對此案提出上訴,但在此之前,法院必須先決定有哪些補救措施。

對於美國司法部的提議,Mulholland認為,人們使用Google是因為他們想用Google,而非被迫,當司法部逼迫瀏覽器或手機將預設值改為諸如Bing等其它搜尋服務時,人們將更不容易存取Google。

此外,司法部認為Google搜尋的散布方式會提高價格並減緩創新,但裝置製造商或Firefox等瀏覽器業者其實仰賴從搜尋中所獲得的收入,取消相關收入將會增加手機成本,並妨礙使用者每天使用的瀏覽器。Mulholland也批評司法部的建議將迫使Google與名不見經傳的公司分享敏感的搜尋查詢,危及使用者的隱私。

對於拆分Google耗費大量心力且免費提供的Chrome及Android,則可能會破壞這兩個平臺,同時傷害建立在這些平臺上的企業,Mulholland指出,若將Chrome與Android自Google的技術、安全及基礎設施剝離,不僅會帶來網路安全與國家安全風險,還會提高裝置成本。

因此,Google提出了自家的建議,認為應該讓瀏覽器業者自由選擇最適合的任何搜尋引擎,或是輪替所預設的搜尋引擎,而不應採用極端的補救措施。

深度學習框架PyTorch存在重大漏洞,恐被用於RCE攻擊

$
0
0

研究人員Ji'an Zhou在深度學習框架PyTorch發現重大層級的漏洞CVE-2025-32434,指出該框架在使用名為torch.load的功能,並搭配weights_only=True的功能參數載入模型的過程裡,他能夠突破安全防護機制並遠端執行任意程式碼(RCE),4.0版CVSS風險達到9.3分(滿分10分),相當危險。這項弱點影響去年10月發布的2.5.1版,PyTorch於今年1月推出的2.6.0版予以修補。

由於PyTorch廣泛受到產業及學術界採用,是主流的深度學習框架,不僅是深度學習技術標準化的重要推手,也是OpenAI、Meta等公司採用、作為生成式AI的主要開發平臺,一旦出現資安漏洞,將會帶來相當廣泛且深遠的影響。

如前所述,CVE-2025-32434的問題,在於特定功能的使用方式可能產生資安風險。Ji'an Zhou指出,照理來說,torch.load是底層資料載入工具,而weights_only=True是高階模型載入API的配置,通常不會一起使用,PyTorch的正式文件卻提及,開發者應同時使用兩者來降低相關資安風險,然而,這麼做,反而產生問題。

針對這項弱點發生的原因,Ji'an Zhou未說明細節,資安業者卡巴斯基進一步解析並提出解決的方式。他們指出,該漏洞起因是PyTorch載入模型的過程裡,反序列化不正確造成,建議開發人員儘速升級為新版PyTorch,而對於無法即時套用更新的用戶,最好不要同時使用torch.load和weights_only=True載入模型,以降低曝險。

資安業者Cyble旗下的新聞網站The Cyber Express,也對開發人員提出緩解上述弱點的建議:除了應將PyTorch升級至2.6.0版,也要稽核從公開儲存庫取得的第三方AI模型,同時,最好追蹤GitHub上的資安公告,以便掌握此漏洞的最新資訊。

Meta將利用AI來辨識那些偽裝成人的青少年帳戶

$
0
0

Meta周一(4/21)宣布,將於美國測試新的AI技術,以辨識那些偽裝成成人的青少年帳戶,並將它們改為青少年的帳戶設定。

Meta所定義的青少年是13到17歲的使用者,由青少年所建立的帳戶預設值為私密的,僅允許已接受的追蹤者查看內容;青少年只能接收來自他們已追蹤或已建立連結者的私訊,以預防陌生人的騷擾;系統會自動將青少年帳戶設定為最嚴格的內容過濾模式,限制暴力或整形手術等內容;僅允許被追蹤者標註或提及青少年帳戶;當使用時間超過60分鐘時,系統會發出提醒,晚上10點至早上7點自動啟用睡眠模式,通知改為靜音;16歲以下用戶需獲得家長同意才能進行直播;16歲以下的青少年必須取得父母或監護人的同意,才能更改上述限制。

儘管青少年帳戶具備家長監控功能,允許家長查看小孩的部分帳戶活動,例如追蹤或被追蹤的對象,但不包含訊息內容;以及讓家長設定使用時間等限制,或是提醒青少年該休息了等等。但家長監控功能必須要青少年同意才會啟用。

Meta從去年開始推廣青少年帳戶,首先是去年9月於Instagram平臺上部署,去年底延伸至Facebook,今年4月再擴及Messenger,但目前相關帳戶僅部署於美國、英國、加拿大及澳洲等市場,預計今年將擴大至全球市場。根據Meta的統計,從去年9月迄今,全球已有5,400個青少年帳戶,在13~15歲的青少年中,有97%持續使用Meta對青少年的保護措施。

Meta表示,有超過9成的受訪家長認為新的青少年帳戶保護措施,有助於他們在Instagram上支持家中的青少年。

不論如何,總是會有青少年想要繞過平臺或家長的限制,而謊報年齡以建立成人帳戶,過去Meta便已透過AI來辨識這些偽成人,只是多有錯置,也教育家長如何與青少年溝通,讓他們如實建立青少年帳戶,因為了解年齡最有效的方法是獲得家長批准並驗證年齡。不過,有鑑於不少家長很忙,再加上AI愈來愈進步,Meta將開始於美國測試新的AI技術,專門查找那些即使列出成人生日,但懷疑屬於青少年的帳戶,並將這些帳戶改為青少年設定。

Erlang/OTP SSH函式庫爆出滿分等級漏洞,攻擊者可未經驗證執行程式碼

$
0
0

由德國波鴻魯爾大學研究人員揭露的CVE-2025-32433,是Erlang/OTP SSH函式庫的一項重大安全漏洞,CVSS v3評分達10.0分,屬最嚴重等級的遠端程式碼執行漏洞。該漏洞來自SSH協定訊息處理邏輯缺陷,允許未經驗證的用戶透過精心設計的協定封包,在尚未完成身分驗證的階段,繞過安全機制直接執行指令,進而全面控制或癱瘓目標系統。

根據Erlang官方於GitHub公告的資安通報,受影響版本涵蓋OTP-25、OTP-26與OTP-27分支的多個次要版本,當系統或應用層採用Erlang/OTP提供的SSH伺服器模組,極可能處於高風險環境。官方已針對各分支釋出修補版本,分別為OTP-25.3.2.20、OTP-26.2.5.11與OTP-27.3.3,建議用戶盡快升級,並在未能立即修補的情況下,考慮先行停用SSH服務或透過防火牆限制外部存取。

此漏洞主要涉及伺服器在處理未經驗證用戶所送出的SSH協定訊息,缺乏應有的封鎖行為。根據程式碼修補內容,後續版本已加入RFC 4252所規範的驗證前封包處理邏輯,當伺服器接收到不應出現的訊息時,會主動中斷連線並記錄異常訊息。這項修正從根本上防止未經授權的封包被處理並進入後續執行流程。

引起關注的另一層面,則是有研究人員實驗性地使用GPT-4等人工智慧模型,在尚無公開攻擊程式的情況下,透過閱讀通報內容與比對修補差異,自動生成概念驗證攻擊碼,並成功於本機測試環境觸發漏洞。這代表人工智慧工具雖已具備協助完成漏洞分析、行為比對與初步攻擊模擬的能力,但在提升資安研究效率提升的同時,也加快漏洞武器化的速度。

Erlang/OTP廣泛用於即時通訊、分散式系統與高並行應用場景。對於具有SSH遠端管理功能的環境,該漏洞的潛在影響重大,建議開發者檢視服務架構中採用的Erlang/OTP SSH模組,並依照官方建議進行修補與風險控管。

目前此漏洞仍處於NVD補充分析階段,尚未公布完整的CWE分類與攻擊細節,但已有數個第三方單位陸續針對其可能危害發表觀察與攻防測試紀錄。

謊稱美國政府效率部,勒索軟體Fog打著政府機構的名號犯案

$
0
0

最近兩到三年,不斷有新的勒索軟體出現,這些駭客通常都在短短幾個月攻擊大量受害組織,從而得到資安圈的關注,但如今有新興的駭客團體打著美國政府團隊的名號,吸引研究人員的目光。

趨勢科技近期發現勒索軟體Fog最新一波攻擊行動,他們一共在惡意軟體分析平臺VirusTotal看到9個惡意酬載,這些檔案上傳的時間介於3月27日至4月2日,一旦執行,受害電腦的檔案就會被加密,並將副檔名竄改成.flocked,然後留下勒索訊息。特別的是,研究人員發現駭客在勒索訊息當中,自稱是美國的政府效率部(Department of Government Efficiency,DOGE),由於3月底DOGE才有成員被起底疑似曾協助網路罪犯竊取資料,這樣的情況引起他們注意。

針對攻擊行動發生的過程,趨勢科技指出駭客透過釣魚郵件接觸受害組織,信件挾帶聲稱是與調整薪資有關的LNK附件,一旦收信人開啟,電腦就會下載PowerShell指令碼stage1.ps1並執行,啟動多階段的攻擊流程,接收勒索軟體載入工具及其他的PowerShell指令碼。附帶一提的是,stage1.ps1還會在受害電腦開啟與政治有關的YouTube影片,但為何攻擊者這麼做,研究人員沒有說明。

在攻擊過程裡,駭客利用Ktool.exe提升權限,並搭配存在弱點的Intel網路卡診斷驅動程式iQVW64.sys來達到目的。

最終駭客在執行勒索軟體之前,藉由檢查受害電腦的系統配置,例如:處理器數量、記憶體、MAC位址、系統登錄檔等資訊,來判斷是否在沙箱環境,排除後才會加密電腦檔案並留下勒索訊息。

中壢長慎醫院傳出遭駭客組織NightSpire攻擊,駭客聲稱竊得800 GB資料

$
0
0

今年2月、3月,勒索軟體駭客組織CrazyHunter傳出對馬偕彰基發動攻擊,衛生福利部不排除駭客將系統性對全臺中大型醫院下手,如今傳出也有其他駭客加入攻擊醫院的行列。

根據民視新聞網4月20日的報導,位於桃園中壢的老年專科醫院長慎醫院,於4月13日遭到駭客組織NightSpire攻擊,導致網路掛號、初診、醫師開處方箋等業務停擺。長慎醫院也在網站發出公告,表示電腦系統異常,他們暫停掛號並改為現場叫號,醫師手寫處方因應。

民視新聞網取得資深資安顧問鴻創資訊總經理陳建銘的說法,指出駭客癱瘓該院的掛號及看診系統,並竊得800 GB資料。

究竟長慎醫院部分營運停擺是否為遭到攻擊所致?根據中央社聯合新聞網壹蘋新聞網等多家媒體報導,隔天(21日)衛生福利部資訊處長李建璋接受媒體採訪證實此事,表示他們接獲長慎醫院通報,將進一步了解整體情況,依照相關應變流程處理。

桃園市政府衛生局向中央社透露整起事故的處理流程,14日長慎醫院透過電話通知此事,他們立即引導依據衛福部制訂的《醫院面對勒索軟體攻擊的應變指南》進行後續處理,執行相關通報作業並中斷院內外網路,長慎醫院當天完成通報並委託資訊系統廠商掃描所有主機,並於15日至警局報案。

中壢分局也證實院方到普仁派出所報案,並指出長慎醫院收到駭客寄送勒索信的情況,由於駭客聲稱是國際駭客,他們不排除是境外組織所為。

而對於駭客竊得的資料,聯合新聞網、壹蘋新聞網提及,恐有逾8萬人病歷外流。

今天資安業者竣盟科技也揭露他們的調查結果,駭客聲稱握有13萬張含有病徵及個資的醫療影像、10萬份電子病歷文件,以及數百萬筆實驗室、X光、CT、MRI的記錄。而對於駭客入侵的手法,竣盟科技認為很有可能透過釣魚郵件、社交工程,也不排除是利用尚未修補的已知漏洞得逞。

4月21日長慎醫院在網站上發出新的公告,表示他們在14日察覺資訊系統異常,經初步調查確認遭受駭客攻擊,經過多天的處理,已逐步恢復正常。但這起事故是否為勒索軟體攻擊?長慎醫院並未說明。


【資安日報】4月22日,中壢長慎醫院遭駭客組織NightSpire攻擊,部分業務受到衝擊

$
0
0

繼勒索軟體駭客組織CrazyHunter攻擊馬偕和彰基,有駭客組織也加入行列,對臺灣中大型醫院發動攻擊,而引起全臺高度關注。

根據國內多家媒體報導,駭客組織NightSpire攻擊中壢長慎醫院,並聲稱竊得大量病歷資料,由於長慎醫院是老年專科醫院,專門照顧洗腎、糖尿病等慢性病患者,一旦資料外流,不光是病人隱私曝光,還有可能影響連續就醫的記錄,干擾醫生的診斷。

 

【攻擊與威脅】

中壢長慎醫院傳出遭駭客組織NightSpire攻擊,駭客聲稱竊得800 GB資料

今年2月、3月,勒索軟體駭客組織CrazyHunter傳出對馬偕、彰基發動攻擊,衛生福利部不排除駭客將系統性對全臺中大型醫院下手,如今傳出也有其他駭客加入攻擊醫院的行列。

根據民視新聞網4月20日的報導,位於桃園中壢的老年專科醫院長慎醫院,於4月13日遭到駭客組織NightSpire攻擊,導致網路掛號、初診、醫師開處方箋等業務停擺。長慎醫院也在網站發出公告,表示電腦系統異常,他們暫停掛號並改為現場叫號,醫師手寫處方因應。後續21日中央社、聯合新聞網、壹蘋新聞網等多家媒體報導,衛生福利部資訊處長李建璋接受媒體採訪證實此事。

今天資安業者竣盟科技也揭露他們的調查結果,駭客聲稱握有13萬張含有病徵及個資的醫療影像、10萬份電子病歷文件,以及數百萬筆實驗室、X光、CT、MRI的記錄。而對於駭客入侵的手法,竣盟科技認為很有可能透過釣魚郵件、社交工程,也不排除是利用尚未修補的已知漏洞得逞。

萬潤科技部分資訊系統遭受病毒攻擊

專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技,於4月20日在股市公開觀測站發布資安重訊,表示有資訊系統遭受網路攻擊的情況,且病毒入侵部分主機與電腦。但對於駭客使用的病毒為何,該公司並未透露。

針對這起事故可能帶來的影響,萬潤表示根據初步評估,對於公司營運無重大影響,沒有個資、機密或重要文件外流的跡象。

其他攻擊與威脅

安卓惡意軟體SuperCard X透過NFC中繼攻擊竊取信用卡資料

中國駭客鎖定東南亞而來,透過防毒軟體元件載入作案工具

日本警告挾持證券帳號攻擊升溫,駭客網路下單中國股票並洗劫數億美元資產

WordPress廣告詐欺外掛一天產生14億請求

 

【漏洞與修補】

深度學習框架PyTorch存在重大漏洞,恐被用於RCE攻擊

研究人員Ji'an Zhou在深度學習框架PyTorch發現重大層級的漏洞CVE-2025-32434,指出該框架在使用名為torch.load的功能,並搭配weights_only=True的功能參數載入模型的過程裡,他能夠突破安全防護機制並遠端執行任意程式碼(RCE),4.0版CVSS風險達到9.3分(滿分10分),相當危險。這項弱點影響去年10月發布的2.5.1版,PyTorch於今年1月推出的2.6.0版予以修補。

如前所述,CVE-2025-32434的問題,在於特定功能的使用方式可能產生資安風險。Ji'an Zhou指出,照理來說,torch.load是底層資料載入工具,而weights_only=True是高階模型載入API的配置,通常不會一起使用,PyTorch的正式文件卻提及,開發者應同時使用兩者來降低相關資安風險,然而,這麼做,反而產生問題。

其他漏洞與修補

針對微軟4月例行更新修補的權限提升漏洞CVE-2025-21204,研究人員公布細節

 

【資安產業動態】

Microsoft 365將預設關閉ActiveX

微軟4月中旬公告,基於安全考量,微軟將預設關閉Microsoft 365及Office 2024中的ActiveX。去年9月微軟決定預設關閉Office及M365應用程式中的ActiveX,但是還要用戶主動選擇。那時用戶需在「信任中心設定」頁中的ActiveX設定選項,選擇「以最小限制關閉所有控制項前提示我」。但微軟說,這設定可能讓攻擊者利用社交工程或惡意檔案濫用,而為惡意活動開了大門。新的預設設定可完全封鎖控制、降低惡意程式碼執行的風險。因此,用戶如果開啟包含ActiveX控制項的檔案,M365應用程式的上方就會顯示:「封鎖內容:本檔案內的ActiveX內容已經封鎖。」

不過,只有在之前從未手動設定ActiveX設定的用戶會收到這通知。關閉ActiveX物件後,用戶就無法再和M365 ActiveX物件互動或新增物件。現有檔案的ActiveX物件則會呈現靜態圖像,但無法再使用。

後量子資安產業聯盟成立屆滿一年,數產署頒布專為臺灣設計的PQC遷移指引

去年臺灣資安大會上,數位發展部數位產業署宣布成立「後量子資安產業聯盟」(PQC-CIA),目標是凝聚我國產官學研能量,確保臺灣具有後量子密碼準備(PQC Ready)的能力,同時加速後量子資安產業的發展,如今一年過去,該聯盟揭露最新成果。

在2025 CYBERSEC臺灣資安大會第二天(4月16日),數產署與PQC-CIA聯盟在臺灣資安館展區宣布,正式發表我國首版《後量子密碼遷移指引》1.0版,目的是幫助對於PQC遷移毫無頭緒的臺灣企業組織,能有一套可依循的具體工作項目來展開行動。

對於我國後量子產業發展,數位發展部數位產業署署長林俊秀指出,臺灣已經關注PQC議題多年,從學界到產業,現在國內已經有7家業者,投入後量子密碼實測,已有初期成果展現,並需要更多產業投入。

 

近期資安日報

【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動

【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法

【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面

中研院開源內部使用的AI語音轉錄平臺,可助企業打造AI語音轉錄服務

$
0
0

中研院內部使用的AI逐字稿服務,近期中研院對外開源該服務使用的AI語音轉錄平臺程式碼,開源專案TranscriptHub,該平臺採用MIT授權,可用於商用使用,讓企業或公務機關建置內部的AI轉錄服務,搭配Whisper模型,用於會議內容或研討會演講錄音內容,快速製作AI逐字稿。

生成式AI在全球帶動風潮,中研院也在2023年開始嘗試生成式AI技術,其中為了解決會議內容或演講內容傳統人工整理逐字稿的痛點,中研院資訊服務處採用OpenAI的Whisper模型開發內部使用的AI逐字稿服務,在不斷改良下,AI逐字稿可以自動辨識中文、英語、法語、德語、西班牙語、義大利語、日語、荷蘭語等進行轉錄。

中研院資訊服務處長陳伶志表示,資訊服務處最初在內部使用Whisper模型,沒有開放中研院的業務單位使用,只有專案方式與業務單位合作,儘管當時的Whisper模型辨識已有一定的準確度,但是辨識的準確度可能不符使用者的期待,公家單位對辨識結果要求更高,因此資訊服務處花費相當多的時間與使用者溝通,直到後來WhisperX問世,辨識的結果更快更準。

資訊服務處在2024年陸續接受其他單位委託,業務單位提供錄音檔案,資訊服務處協助辨識,再將辨識結果提供給業務單位,隨著各個單位的AI辨識需求增加,資訊服務處工作量也增加,陳伶志決定讓AI辨識逐字稿走向服務化、自動化發展,來減輕資訊團隊的負擔。

因此他們將其發展為AI服務平臺,並且和院內帳號系統連結,正好中研院近期積極推動FIDO,將AI逐字稿服務和FIDO身分驗證結合,以算力資源珍貴為由,員工如果想要使用AI逐字稿,就需要先用FIDO驗證身分,讓AI服務成為內部推動FIDO的誘因,今年2月進一步開放全院員工使用。

陳伶志表示,最初以為AI逐字稿服務使用會以會議內容為主,但是有不少研究人員用於研討會或訪談內容,相關的需求漸漸開始增加。資訊服務處以Whisper模型為基礎,建置院內的AI逐字稿服務,目的是希望讓沒有IT能力的單位也能使用AI服務,避免他們使用外部的服務或軟體,造成資安控管的風險增加,「與其控管,不如提供服務讓其他單位來使用」。

由於中研院資訊服務處開發AI逐字稿服務,吸引外界的興趣,中研院資訊服務處近期整理程式碼,近期在GitHub上開源AI語音轉錄平臺,專案名稱AS-AIGC/TranscriptHub。

陳伶志表示,不少感興趣的單位為業務單位,但是基於資安考量,希望建置落地的AI逐字稿服務,因此向中研院資訊服務處表達興趣,因此資訊服務處開源AI逐字稿,讓外部單位也能夠自行建置落地的AI逐字稿服務,或是委托外部的資訊服務廠商協助建置,同時也能透過開放讓外界使用,蒐集各方的意見,不斷優化、增加新功能。(下圖來源: 陳伶志提供)

中研院內部測試使用期間,除了行政單位的會議紀錄需求,還有老師、研究人員的研討會、訪談內容,有的錄音時間2到4個小時,曾佔用大量的算力資源,影響其他專案使用資源的權益,為避免資源被過度佔用,中研院目前將AI逐字稿的錄音檔大小限制在200MB,轉檔資料保留1個月。

陳伶志自己測試AI逐字稿,以2小時的會議錄音檔為例,如果為WAV格式,檔案大小約為1GB左右,轉為MP3後,檔案大小才低於200MB,使用者如果有更長的錄音檔轉檔需求,就需要切割檔案後再轉檔。他認為目前AI逐字稿辨識整體而言準確率表現不錯,但是對於專有名詞或人名、地名可能出現錯誤辨識,此外,同時間多人一起講話會難以辨識,或是講話的語氣突然變小聲,可能造成錯誤辨識,建議使用者利用轉錄後的SRT檔,根據錄音的時間序重新調整辨識的內容。中研院的AI逐字稿可針對錄音檔內不同講者辨識Speaker,再手動修改Speaker名稱。

中研院內部部署方式

中研院開發部署AI逐字稿,最初使用RTX4090顯卡作為算力資源,後來增加至2片4090,但是AI逐字稿仍要與其他專案競爭算力資源,去年底中研院再採購2片H100,才將模型推論、RAG移到H100上執行,讓2片RTX4090作為AI逐字稿的專用算力資源。

中研院部署AI服務,也同時兼顧管理的方便及資安風險。

陳伶志表示,AI逐字稿服務的目的是讓行政單位使用的較低規格的電腦也能使用AI辨識逐字稿,因此採用Web的服務模式,讓其他單位也能容易使用,原本的2片RTX4090增加採購2片H100之後,將Web服務和內部算力資源切開,將Ollama的運算集中到H100的算力資源,RTX 4090則作AI逐字稿服務的專用資源,切割的目的也考量到資安風險問題,Web服務容易被攻陷,一方面減少上面開啟的Port服務,前端機器減少運算需求,前端機器只以存取控管、登入UI為主,使用者上傳的音檔在轉檔完成後即刪除,轉檔後的逐字稿檔案則保留一個月。

在RTX 4090、H100之後,中研院今年準備再建置更新的算力資源,規畫採購L40S GPU,專門用於處理院內的API服務,未來隨著效能更高的新算力資源建置,陳伶志表示,未來AI逐字稿會持續跟進Whisper更新,隨著新的算力資源加入,也不排除從RTX4090轉移到H100資源。

惡意NPM套件偽裝Telegram函式庫,植入SSH後門攻擊Linux開發者

$
0
0

資安公司Socket揭露一項針對Telegram機器人開發者的供應鏈攻擊事件,攻擊者透過在NPM平臺發布與熱門函式庫名稱相近的惡意套件,誘導開發者誤用,進而在Linux系統中植入具持久性存取能力的SSH後門,並將系統資訊回傳至攻擊者伺服器。

攻擊者鎖定使用node-telegram-bot-api函式庫進行開發的社群,推出三個偽冒套件,名稱分別為 node-telegram-utils、node-telegram-bots-api與node-telegram-util。這些惡意套件複製原函式庫的說明文件與GitHub頁面連結,甚至以Starjacking手法借用原專案超過19,000星數背書,在NPM頁面側欄混淆視聽,讓開發者在瀏覽與安裝時難以察覺異常。

一旦安裝這些惡意套件,系統便會自動執行一段隱藏在函式庫初始化過程中的addBotId()非同步函式。該函式會在偵測到執行平臺為Linux時進行多項操作,包括寫入兩組預設的攻擊者SSH公鑰至~/.ssh/authorized_keys,形成無需密碼的遠端登入後門,即使其中一組金鑰遭到移除,攻擊者仍可透過備援金鑰重新取得存取權限。此外,惡意程式也會回傳系統使用者帳號名稱與外部IP至遠端伺服器,作為確認感染成功的指標。

根據研究人員的分析,該後門程式碼共約40行,嵌入於正常函式庫的架構,具高度隱蔽性。開發者在匯入套件時,如果沒有進行程式碼審查或相依性檢測,就可能忽略隱藏的惡意邏輯。更嚴重的是,單純移除套件並不會清除被植入的SSH金鑰,系統仍存在風險。

目前三個惡意套件的總下載量僅約300次,但由於其鎖定對象為開發者本機與伺服器環境,當遭滲透就可能成為進一步攻擊其他內部系統的跳板,風險大於一般用戶端感染事件。研究人員建議開發團隊落實相依套件來源的稽核流程,善用掃描工具等多層防護措施,在專案建置與套件匯入階段攔截可疑元件,將安全性檢查前移至開發初期階段,可以更好地確保軟體供應鏈完整性。

傳華為Ascend 910C晶片出貨在即 效能比美Nvidia H100

$
0
0

路透社本周引述二名消息來源報導,華為最新AI晶片昇騰(Ascend) 910C已開始量產,最快在下個月出貨給中國客戶。

消息人士指出,910C採用新架構獲致效能提升。該GPU是將2顆910B處理器整合封裝,使其具備910B兩倍的效能和記憶體,此外,910C也較前代更能支援多元AI運算任務。據稱,910C效能已媲美美國政府禁止Nvidia賣給中國的H100 GPU。

Tom's Hardware則報導,910c執行推論的效能是H100的60%,雖然不足以取代H100,但可減少中國對Nvidia的依賴。

路透社消息見報後Nvidia股價一度重挫4.5%。Nvidia執行長黃仁勳也立即趕赴中國會見相關高層,被視為「顧樁」舉動。

目前不知910C的代工廠為誰。2022年拜登政府禁止Nvidia出售高階GPU如H100至中國,僅允許銷售低階產品如H20,同時美國也禁止晶圓代工龍頭台積電為華為生產晶片。然而去年台積電為中國客戶算能科技(Sophgo)生產的晶片.被發現用於華為的910B晶片,引發美國商務部調查。

川普上任後,對中國施行更強硬貿易戰手段,包括徵收巨幅關稅。此外川普政府也宣布禁止Nivida銷售H20給中國,讓後者因無法出貨,認列55億美元相關支出。

然而近幾年美國的技術禁令激發中國業者自主研發及生產,也讓美國業者在中國市占下滑。美國對中國祭出的H100禁令,讓當地新創業者摩爾線程(Moore Threads)、天數智芯(Iluvatar CoreX)興起,欲搶占Nvidia留下的市場缺口。

華為方面,910C外,報載其下一代晶片Ascend 920可能下半年出貨。Ascend 920採用中國業者中芯國際的6奈米製程生產,效能超過900 TFLOP(每秒浮點運算次數),使用HBM3(第四代高頻寬記憶體)模組。多家媒體報導已可達取代H20的水準,而其下一代920c專為Transformer及Mixture of Experts(MoE)AI架構開發,推論效能還可再提升30%到40%。

Google宣布將保留Chrome中的第三方Cookie

$
0
0

自於去年7月宣布要放棄於Chrome中封鎖第三方Cookie的計畫之後,Google本周二(4/22)再度向外界確認,Chrome將維持目前處理Cookie的方式,也不會在使用者遭遇第三方Cookie時跳出提示。

當使用者以瀏覽器造訪網站時,網站會在使用者裝置上存放名為Cookie的小檔案,記錄使用者的登入狀態或偏好,此為第一方Cookie;但當使用者所造訪的網站含有來自其它業者的廣告時,也會自動下載這些第三方的Cookie,廣告主即可在每次遇見使用者時,記錄並存取其裝置上的自家Cookie來追蹤使用者的行為,以投放目標式廣告。不管是蘋果的Safari或是Mozilla的Firefox等瀏覽器,都已於預設值封鎖了Cookie。

儘管Cookie有違使用者隱私,但仰賴廣告收入的Chrome並不想貿然停用Cookie,於是在2019年提出了隱私沙箱(Privacy Sandbox),以更具隱私的方式將使用者分門別類,而廣告主則可據此向群組發送廣告,並計畫以隱私沙箱全面取代Cookie。

但此舉惹來許多監管機構、開發人員及隱私團體的質疑,包括懷疑隱私沙箱的安全性,以及Google是否利用隱私沙箱來圖利自家廣告服務,或者是Google是否企圖控制目標式廣告的架構。就連廣告主也認為這樣的方式,不見得能夠觸及真正的消費者。

總之,現在Google已決定維持現階段Chrome瀏覽器處理Cookie的方式,亦即使用者可透過Chrome的隱私與安全設定,來決定是否全面封鎖第三方Cookie,而且Chrome也不會在使用者遇見第三方Cookie時跳出新的獨立提示,以免影響使用經驗。

Google決定將保護用戶隱私的力氣,花在Chrome的無痕模式(Incognito Mode),該模式原本的預設值就封鎖了Cookie,且Google更計畫在今年第三季針對該模式推出IP保護機制。

該機制利用兩層代理伺服器來遮蔽用戶的真實IP位址,以防止第三方網站利用使用者的IP位址進行跨站追蹤。

至於已發展多年的隱私沙箱,負責該計畫的Google副總裁Anthony Chavez表示,Google現在已經理解,隱私沙箱的各種API在支援整體生態系統上的任務將有所調整。這也意謂著隱私沙箱將從取代Cookie的角色中退場。

Viewing all 32679 articles
Browse latest View live


<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>