美國的科技部落格網站 VentureBeat在最近的一篇文章中將Microsoft Teams稱為“網路釣魚攻擊的新前線”。有越來越多駭客從傳統的網路釣魚(Phishing)作法轉向使用其他平台，像是最近有超過2.7億月活躍使用者的 Teams。
趨勢科技的研究顯示，駭客會將執行檔加入Teams對話串，以便利用木馬程式來感染受害者的裝置。攻擊者透過入侵使用者的郵件帳號（或用竊取的Microsoft 365帳密）來取得存取權限。一旦進入，他們可以繞過保護措施並連上各種系統。
趨勢科技的研究顯示，駭客會將執行檔加入Teams對話串，以便利用木馬程式來感染受害者的裝置。攻擊者透過入侵使用者的郵件帳號（或用竊取的Microsoft 365帳密）來取得存取權限。一旦進入，他們可以繞過保護措施並連上各種系統。
隨著地緣政治局勢的緊繃，企業提升網路資安穩定性的壓力也隨之攀升。
歐洲目前正處在刀口上，隨著 13 萬俄羅斯部隊集結在烏克蘭邊境，該地區正面臨冷戰以來火藥味最濃厚的時刻。而這場衝突，無可避免地也包含了網路攻擊的元素。
一些針對烏克蘭網站與 IT 基礎建設的攻擊，已使得美國華盛頓及其他各國高層感到緊張，深怕衝突會進一步升溫。而這一切都發生在美俄雙方史無前例地聯合打擊組織犯罪之際。然而資安長 (CISO) 該清楚明白的一點是：處在一個瞬息萬變的世界，最好的作法絕非等待政治人物達成協議，而是不斷提升自己的網路資安穩定性，以及威脅偵測與回應能力。
繼續閱讀趨勢科技分析了政治動機強烈的進階持續性滲透攻擊駭客集團 APT36 (亦稱 Earth Karkaddan) 最近的活動，並探討其所用的 CapraRAT (Android 遠端存取木馬程式) 與該集團最愛的 Windows 惡意程式 Crimson RAT 在設計上的明顯相似之處。
APT36 (亦稱 Earth Karkaddan) 是一個政治動機強烈的「進階持續性滲透攻擊」（Advanced Persistent Threat，簡稱APT攻擊） 集團，向來專門攻擊印度的軍事與外交目標。此 APT 集團有時也被稱為「Operation C-Major」、「PROJECTM」、 「Mythic Leopard」及「Transparent Tribe」，他們擅長利用社交工程與網路釣魚誘餌來入侵目標機構，成功之後然後再利用 Crimson RAT 惡意程式來竊取受害機構的資訊。
在 2021 年尾，我們看到該集團開始使用一個 Android 遠端存取木馬程式 (RAT) 叫作「CapraRAT」，其設計與該集團愛用的 Windows 惡意程式 Crimson RAT 明顯相似。兩者在函式名稱、指令與功能上都相當雷同，詳細內容請參閱我們的技術摘要報告「Earth Karkaddan APT」。
這份研究是根據趨勢科技 Smart Protection Network (SPN) 全球威脅情報網從 2020 年 1 月至 2021 年 9 月所蒐集到的資料。
隨著全球局勢逐漸緊繃，網路資安風險的管理與資安基本功，將成為企業維持資安穩定性的關鍵。
雖然這聽起來有點老生常談，但我們「確實」處於一個前所未有的時代。由於全球疫情的關係，世界各地的企業機構都被迫不僅必須應付公衛和供應鏈的挑戰，更要面對逐漸緊繃並且可能衝擊營運的政治紛擾。隨著烏克蘭境內軍事情勢的升溫 (從該國政府多個網站遭駭客竄改詆毀即可證明)，再加上該國政府機關紛紛遭到針對性攻擊，還有該地區的金融機構也開始蒙上一層陰影，此時，沒有什麼比妥善掌握自己的資安穩定性更加重要。
繼續閱讀我們藉由一系列的部落格文章，從多個面向探討 Codex 的功能在資安上可能影響一般開發人員和駭客的特點，本文是該系列文章的第二篇。
2020 年 6 月，非營利人工智慧研究機構 OpenAI 推出了第三版的 Generative Pre-trained Transformer (GPT-3) (生成式預先訓練轉換器) 自然語言轉換器，在科技界掀起了一番波瀾，因為它具備神奇的能力，可產生足以讓人誤認為是真人撰寫的文字內容。不過，GPT-3 也曾針對電腦程式碼來做訓練，因此最近 OpenAI 釋出了一套專為協助程式設計師 (或者可能取代程式設計師) 的特殊引擎版本叫作「 Codex」。.
我們藉由一系列的部落格文章，從多個面向探討 Codex 的功能在資安上可能影響一般開發人員和駭客的特點，本文是該系列文章的第二篇。(第一篇。)
由於 Codex 是以 GPT-3 為基礎，因此已先經過網際網路上的大量程式碼訓練完成，且涵蓋了幾乎每一種目前可取得的程式設計語言。不過，自然語言和程式設計語言在特性上並不相同。一般來說，自然語言在傳達人類想法時的彈性較大，而程式設計語言則結構較為固定、規則較為嚴謹，且完全視程式語言的解譯器和組譯器而定。
在高階程式設計語言方面，我們很自然地會認為針對自然語言處理而設計的 GPT-3 統計模型應該也可以用來產生高階程式設計語言的程式碼。然而 Codex 缺乏真正「理解」程式語言的必要元素，例如有關語法的結構或是電腦的架構。
那麼，這樣的程式碼產生功能到底能發揮到多少實用性呢？
模仿遊戲：Codex 理解低階程式碼的能力
為了評量 Codex 對其所產生的程式碼到底有多深的理解，我們測試了它對組合語言的理解能力。我們刻意挑選與自然語言最不像、但卻最貼近機器的組合語言。我們試著提供一段組合語言程式碼範例給 Codex，然後看看它能不能用一般語言來解釋這段程式碼。
繼續閱讀