本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
本週焦點資安事件搶先看：
- FBI 輕鬆破解川普槍擊案槍手手機：駭客工具升級
美國前總統川普日前在賓州的造勢活動遭 20 歲槍手槍擊兩天後，FBI就宣布取得並破解槍手手機。不過 FBI 並沒有說明如何駭入手機，也沒有披露發現了什麼，但 FBI 這次快速破解嫌犯手機消息，也被解讀成現在手機駭客工具已經升級了。
- 52% 企業「供應鏈遭攻擊」！資安業者：AI 成為駭客幫手
根據趨勢科技威脅研究中心，2023年就有超過一半(52%)的企業表示其供應鏈夥伴曾遭受勒索病毒攻擊，加上全球組織部署生成式AI和其他數位工具以獲得更大的競爭優勢的趨勢，企業除了原先的資安問題，還需煩惱生成式AI所帶來的存取權限控管、指令注入(prompt injection)、AI政策規範等新興挑戰。因此如何管理攻擊面、保有資安可視性和制定AI相關應用規範將是維護組織整體資安態勢的重要關鍵。
⭕️ 趨勢科技將於8月6、7、9日的Risk to Resilience「AI世代的資安風險管理」世界巡迴研討會中，說明新興資安威脅發展現況，以及企業IT及資安團隊如何在生成式AI席捲全球的狀態下善用平台化資安工具，發展客製化的風險管理策略以保持營運韌性。
⟫ 即刻報名參加2024 Risk to Resilience World Tour了解AI世代的資安風險管理
- 微軟令中國員工9月起「辦公只能用iPhone」，發生什麼事？發言人揭關鍵原因
微軟宣布，從 9 月起，其中國員工將被禁止在工作時使用 Android 手機。該公司表示，此舉是為了降低安全風險。微軟發言人表示，Android 平台比 iOS 平台更容易受到惡意軟體和攻擊的影響。
- 駭客聲稱掌握數千名微軟、Nokia員工個資
駭客組織聲稱竊取了數千名微軟和 Nokia 員工的個資。其中與Nokia有關的CSV檔中包含了7,258名Nokia員工的資料，至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，包括職稱、全名、公司名稱、國家/地區/州、專線及公司電話號碼，以及電子郵件位址等等。
- 蘋果提供識別網路釣魚詐騙方法
蘋果發布了一份新指南，幫助用戶識別和避免網路釣魚詐騙。該指南指出詐騙者手段包括：
- 乍看類似來自正規公司（包括 Apple）的詐騙電子郵件和其他訊息。
- 說明你的裝置出現安全問題的誤導式彈出式視窗和廣告。
- 假冒 Apple 支援、Apple 合作夥伴，以及其他知名或受信任的實體或個人的詐騙電話或語音郵件。
- 提供免費產品和獎項的偽造促銷活動。
- 不想要的「行事曆」邀請和訂閱。
其他值得注意的資安事件
- 迪士尼遭駭超過1TB資料外洩，包括未發佈電影計畫。
- 卡巴斯基將遵守美國禁令，退出美國市場並裁員。
- 微軟的安全警報電子郵件看起來像垃圾郵件。
- 帛琉遭受重大勒索軟體攻擊，海關與邊境保護系統遭遇網攻事件，疑似與中國有關。
- 六個月前，APT 駭客組織 Void Banshee 使用 MSHTML 零時差漏洞散播 Atlantida 竊資軟體。
資安趨勢部落格一週精選
- 全民瘋奧運！趨勢科技提醒五大網路陷阱勿中計
- 解開 Water Sigbin 最新的加密編碼技巧
- ISPM + ITDR：AI 時代的主動式資安防禦
- 回顧 AI 風潮:網路駭客使用生成式 AI 的最新發展
- AI PC 時代,如何保護 AI 模型不被惡意篡改?
- 駭客濫用生成式AI助長社交工程攻擊並擴大攻擊面 企業資安防禦恐更艱辛
- 《上週資安新聞周報》史上最大規模！近百億組密碼外洩/ Apple ID網路釣魚攻擊大規模出現/ macOS 版 ChatGPT 爆出隱私外漏危機 /臺美聯手合作，查獲透過暗網市集Genesis Market購買臺灣民眾個資的嫌犯
媒體資安新聞一周精選
駭客工具升級了，FBI 輕鬆破解川普槍擊案槍手手機 科技新報網
52%企業「供應鏈遭攻擊」！資安業者：AI成為駭客幫手 三立新聞網
微軟祭安卓禁令！中國員工9月起「辦公只能用iPhone」，發生什麼事？發言人揭關鍵原因 數位時代
駭客聲稱掌握數千名微軟、Nokia員工個資 iThome
AI PC可能帶來的新改變 iThome
迪士尼被爆遭駭，多達1.1TB包括美術、未展出作品到個人資料內容洩漏 Yahoo 新聞
卡巴斯基將依照美國禁令，退出美國市場並裁員 INSIDE
半年前APT駭客組織Void Banshee利用MSHTML零時差漏洞散布竊資軟體Atlantida iThome
【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象 iThome
帛琉遭網攻、旅遊代表團入境澳門被拒 惠恕仁：中國施壓達新層次 中央通訊社
人工智慧基本法草案預告 拚10月送審 自由時報電子報
駭客濫用生成式 AI 助長社交工程攻擊 資安防禦更艱辛 經濟日報網
涵蓋內部系統、外部網站、AI服務，趨勢打造單一遠端安全存取 iThome
微軟修補MSHTML零時差漏洞消息剛發布，但今年1月就有駭客濫用漏洞，5月又被發現有人藉此散布竊資軟體Atlantida iThome
【資安日報】7月17日，專案管理工具Trello逾1,500萬名使用者個資流入地下論壇，對方聲稱是透過公開的API取得 iThome
惡意軟體DarkGate透過Samba檔案共用資料夾散布 iThome
Google收購Wiz將強化雲端安全產品 與微軟、亞馬遜較勁 鉅亨網
日本航太研究機構JAXA伺服器、Microsoft 365環境被駭，疑導致上萬份資料外洩 iThome
JAXA 調查其 Active Directly 遭入侵事件，發現涉及零日漏洞 科技新報網
日本針對北韓駭客Kimsuky的攻擊行動提出警告 iThome
【資安日報】7月15日，美國電信業者AT&T針對今年4月的資安事故通報調查結果，客戶通話及簡訊記錄遭到外流 iThome
中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門，過程中採用罕見迴避偵測手法 iThome
勒索軟體Estate利用Veeam去年修補的備份軟體高風險漏洞從事攻擊行動 iThome
研究發現RADIUS協定可讓駭客發動MitM攻擊 iThome
VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊 iThome
打詐四法三讀通過 詐騙刑責最重12年罰3億、網路平台可封網 聯合新聞網
CISA 紅隊演練，入侵政府機構五個月沒人發現 科技新報網
防堵漢光演習假訊息 國防部介紹Deepfake打預防針 中天新聞網
AI魔法夏令營 圓滿結束 小學生探索科技新視野 花蓮最速報
駭客工具升級了，FBI 輕鬆破解川普槍擊案槍手手機 科技新報網
美國前總統川普日前在賓州的造勢活動遭 20 歲槍手槍擊，所幸川普無大礙。川普遭槍擊兩天後，聯邦調查局（FBI）就宣布取得並破解槍手手機。不過 FBI 並沒有說明如何駭入手機，也沒有披露發現了什麼，但 FBI 放出消息突顯，現在手機駭客工具效率提高不少。
52%企業「供應鏈遭攻擊」！資安業者：AI成為駭客幫手 三立新聞網
資安業者趨勢科技指出，近年生成式人工智慧（AI）技術發展快速，成為駭客進行不法攻擊的幫手，企業除了須面對原本待解決的資安難題外，也面臨駭客社交工程攻擊手法更快速演變及攻擊面不斷擴大的窘境。
微軟祭安卓禁令！中國員工9月起「辦公只能用iPhone」，發生什麼事？發言人揭關鍵原因 數位時代
由於中國封鎖Google Play商店，因此在中國的Android手機無法安裝Microsoft Authenticator和Identity Pass等多重身份驗證(MFA)應用程式， 自今年9月起，所有中國員工的公務用手機，一律僅限為iPhone，以避免工作資料被竊取。
駭客聲稱掌握數千名微軟、Nokia員工個資 iThome
資安媒體HackRead本周揭露，一名代號為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料都是源自這兩家公司的第三方合作夥伴。
2024年1月，微軟（Microsoft）遭受一場名為午夜暴雪（Midnight Blizzard，又名APT29）的大規模網路攻擊。這次攻擊據稱由俄羅斯支持的駭客組織發動，成功入侵Microsoft高層員工的郵件帳號。雖然攻擊者未能進入客戶系統，但這事件仍然讓人震驚。
科技巨頭蘋果更新了其安全支援文檔，針對最近出現的Apple ID「簡訊釣魚」（smishing）攻擊，為iPhone、iPad和Mac用戶提供了識別和避免社群攻擊的最新指南。據悉，不法分子正通過發送簡訊，誘導用戶在假的iCloud網站上，提供Apple ID用戶名和密碼。
AI PC可能帶來的新改變 iThome
個人電腦與智慧型手機產業如果要重振市場雄風，光是在裝置強化本機執行AI模型的能力是不足的，或許更重要的關鍵在於，能否更普遍、順暢地提供超越既有的設備操作體驗。
迪士尼被爆遭駭，多達1.1TB包括美術、未展出作品到個人資料內容洩漏 Yahoo 新聞
根據 insider-gaming 報導，13 日由駭客組織「Nullbulge」稱已成功從迪士尼的內部 Slack 獲取多達 1.1 TB 內容，包括未公開的項目、美術內容、概念設計到在職人員個人資訊等內容，但無論是該組織以至於迪士尼都還沒有更進一步的公開動作，無法確認違法程度與內容屬實。
卡巴斯基將依照美國禁令，退出美國市場並裁員 INSIDE
卡巴斯基宣布在美國商務部新禁令之下，將關閉其美國業務並裁減相關員工，正式退出美國市場！美國商務部在6月宣布，從7月20日起，禁止在美國銷售卡巴斯基軟體。
半年前APT駭客組織Void Banshee利用MSHTML零時差漏洞散布竊資軟體Atlantida iThome
微軟在本月的例行更新當中修補MSHTML平臺欺騙漏洞CVE-2024-38112，並表示這項漏洞已被用於攻擊行動。趨勢科技指出，ZDI也在今年5月向微軟通報CVE-2024-38112遭到利用的情況，鎖定北美、歐洲、東南亞的APT駭客組織Void Banshee，從今年1月開始發動零時差漏洞攻擊，並在受害電腦植入竊資軟體Atlantida。
【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象 iThome
日本資通大廠富士通公布今年3月資安事故最新發現，他們指出對方使用的作案工具具備高深的偽裝技術，且具備蠕蟲特性進行橫向感染。富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是使用多種偽裝手法躲避偵測的進階攻擊工具。駭客利用惡意程式進行複製，有部分客戶及公司資訊流出。
帛琉遭網攻、旅遊代表團入境澳門被拒 惠恕仁：中國施壓達新層次 中央通訊社
帛琉總統惠恕仁告訴日經亞洲，中國的施壓達到「新層次」，例如帛琉旅遊代表團日前入境澳門被拒；帛琉也在調查本月海關與邊境保護系統遭遇網攻事件，疑似與中國有關。
人工智慧基本法草案預告 拚10月送審 自由時報電子報
人工智慧的快速發展引發許多疑慮，國科會徵詢各界意見後，預告人工智慧基本法共18條草案，明定政府應該依風險將AI分級，同時提出七大基本原則，包括揭示永續發展、人類自主、隱私保護、資安與安全、透明可解釋、公平不歧視及問責等，還有創新合作及人才培育、風險管理及應用負責、權益保障及資料利用、法規調適及業務檢視等四大推動重點。
駭客濫用生成式 AI 助長社交工程攻擊 資安防禦更艱辛 經濟日報網
趨勢科技針對AI世代的資安威脅與風險管理，指出勒索病毒進化、資料外洩問題、網路釣魚、商務電子郵件入侵（BEC）是現今企業正面臨的四大資安問題。近年生成式AI技術發展快速，不僅企業開始或準備導入生成式AI技術以強化營運效率，生成式AI也成為駭客進行不法攻擊的幫手。企業除了須面對原本待解決的資安難題外，更陷入駭客社交工程攻擊手法更加快速演變及攻擊面不斷擴大的窘境。
涵蓋內部系統、外部網站、AI服務，趨勢打造單一遠端安全存取 iThome
疫情時期為了維持企業與組織正常運作，WFH與WFA的模式興起，帶動了全球安全存取服務邊緣(SASE)需求，而其中注重資安防護的解決方案稱為SSE。趨勢科技在資安大會上展示Trend Vision One Zero Trust Secure Access(ZTSA)，能夠針對組織內部的應用系統，以及位於雲端服務的應用系統，提供安全存取的方式。
微軟修補MSHTML零時差漏洞消息剛發布，但今年1月就有駭客濫用漏洞，5月又被發現有人藉此散布竊資軟體Atlantida iThome
本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈。
【資安日報】7月17日，專案管理工具Trello逾1,500萬名使用者個資流入地下論壇，對方聲稱是透過公開的API取得 iThome
值得留意的是，外洩這批巨量資料的人表示，取得管道居然是Trello公開的API端點，他能在未通過身分驗證的情況下將電子郵件信箱對應到Trello帳號。
惡意軟體DarkGate透過Samba檔案共用資料夾散布 iThome
研究人員針對發生在今年3月至4月的DarkGate攻擊行動提出警告，指出這波攻擊最為不同之處在於，對方使用公開的Samba（SMB）檔案共享資料夾作為散布惡意程式的管道。
Google收購Wiz將強化雲端安全產品 與微軟、亞馬遜較勁 鉅亨網
知情人士表示Alphabet 正在就收購 Wiz 進行深入談判，這筆高達230億美元的交易將成為 Google 最昂貴的收購，並為其提供網路安全產品，以抵禦勒索軟體團夥對大型企業造成的破壞。
日本航太研究機構JAXA伺服器、Microsoft 365環境被駭，疑導致上萬份資料外洩 iThome
日本宇宙航空研究開發機構JAXA去年10月接獲外部通報，該單位與M365相關的數臺伺服器有非經授權存取活動，如今JAXA除了公布這起資安事故的調查結果，也透露該單位後續還遭到數起網路攻擊。經過緊急阻斷及廓清行動後，JAXA找來微軟調查事件及影響範疇，並在本月初公布調查結果。
JAXA 調查其 Active Directly 遭入侵事件，發現涉及零日漏洞 科技新報網
JAXA 聲明透露，調查 M365 同時，發現並移除另一些惡意軟體，涉及零日漏洞攻擊。JAXA 表示：「採取措施並加強監控，發現自今年 1 月以來檢測到並對抗多次未經授權存取 JAXA 網路的行為（包括零日漏洞攻擊），但未有任何資訊遭洩漏。」
日本針對北韓駭客Kimsuky的攻擊行動提出警告 iThome
北韓駭客組織Kimsuky近期的動作頻頻，不時傳出發動網路攻擊的情況，其中有不少是針對韓國而來，但鄰近的日本也是被鎖定的目標，他們國內企業組織最近傳出也遭到這些駭客攻擊的消息。
【資安日報】7月15日，美國電信業者AT&T針對今年4月的資安事故通報調查結果，客戶通話及簡訊記錄遭到外流 iThome
AT&T指出駭客存取第三方雲端平台的AT&T工作區，複製並轉移客戶通話及簡訊互動紀錄的文件。另外，根據科技新聞網站Techcrunch報導，蘋果對98國iPhone用戶發布威脅通知，警告部分用戶的Apple帳號遭到傭兵間諜軟體攻擊。最後，Palo Alto Networks針對旗下產品發布資安公告，總共修補五項漏洞，其中存在於組態移轉工具Expedition的漏洞發生原因在於部分重要功能缺乏身分驗證機制。
中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門，過程中採用罕見迴避偵測手法 iThome
對於駭客發起攻擊的過程，研究人員並未說明對方如何散布DodgeBox，但指出執行的方法是利用公用程式處理程序taskhost.exe側載惡意DLL檔案進行。接著，DodgeBox針對經過加密處理的DAT檔案進行解密，產生第二階段酬載MoonWalk。
勒索軟體Estate利用Veeam去年修補的備份軟體高風險漏洞從事攻擊行動 iThome
研究人員揭露新興勒索軟體Estate，並指出對方用來搜刮用來橫向移動所需帳密的管道，是備份軟體Veeam Backup & Replication的高風險漏洞CVE-2023-27532。
研究發現RADIUS協定可讓駭客發動MitM攻擊 iThome
微軟、Cloudflare及加州大學聖地牙哥分校的研究人員聯合揭露編號CVE-2024-3596的Blast RADIUS漏洞，可導致RADIUS通訊協定被攻擊者用來發動中間人（MitM）攻擊。
VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊 iThome
本週VMware發布資安公告，指出旗下的雲端自動化平臺Aria Automation存在高風險漏洞CVE-2024-22280，攻擊者可藉由輸入特定SQL查詢指令觸發，而能在未經授權的情況下對資料庫讀取或是寫入。
打詐四法三讀通過 詐騙刑責最重12年罰3億、網路平台可封網 聯合新聞網
立法院會今天三讀通過俗稱打詐專法的詐欺犯罪危害防制條例，三讀條文明定，因詐欺獲益達新台幣500萬元，最重可處10年有期徒刑，若獲益達1億元，最重可處12年有期徒刑，併科3億元罰金。針對境外提供詐欺犯作所用設備，對境內的人犯詐欺犯罪加重刑責，擴大不得假釋的要件。
CISA 紅隊演練，入侵政府機構五個月沒人發現 科技新報網
CISA 表示，2023 年進行 SILENTSHIELD 紅隊演練評估，未先通知就入侵聯邦民間行政部門（FCEB）機構，模擬長期敵對國家組織行動。紅隊利用目標機構 Oracle Solaris 系統未修補漏洞（CVE-2022-21587，CVSS 評分 9.8）取得初級權限，再入侵整個系統。
防堵漢光演習假訊息 國防部介紹Deepfake打預防針 中天新聞網
國防部今（16）日舉行例行記者會，由中科院資通所督導長黃益進介紹深偽（Deepfake）技術及國防上應用。他表示，近年來人工智慧（AI）蓬勃發展，其中深偽技術最值得關注，因為可用於製作出極為逼真的照片、語音、影片和其他造假內容，從而由網路迅速散佈假訊息，亦可用在敵對國家間的認知作戰。
AI魔法夏令營 圓滿結束 小學生探索科技新視野 花蓮最速報
趨勢教育基金會今年暑假舉辦的「AI魔法夏令營」圓滿結束，來自全台各地的小學生參加，包括花蓮縣太昌國小的學生。他們來到台北，深入學習人工智慧（AI）的發展及自走車的應用，這座充滿設計感的商業大樓成為他們學習AI的溫馨場所。
趨勢科技不只是網路安全守護者,還提供各種實用3C冷知識追蹤我們的IG 帳號看更多讓你數位生活更便利、更安全的貼文 ☺️
⭕️ 訂閱資安趨勢電子報,各種實用數位祕技讓你數位生活更便利;隨時掌握資安警訊讓你安先悠遊網路
✅防毒防詐✅守護帳密✅VPN安心串流✅阻絕惡意✅安心蝦拚 趨勢科技PC-cillin雲端版 搭載深度學習AI引擎，不僅可以一次偵測多種病毒、網路威脅，還可即時封鎖異常行為，保護電腦和行動裝置安全，讓你免受變化莫測的詐騙手法之擾，安心享受網路生活。 【一下指就掉入詐騙陷阱？PC-cillin讓你安心點 】PC-cillin不只防毒也防詐騙 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用
PC-cillin 讓你的『指指點點』可以開心又安心點！