本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一週精選
- 趨勢科技偵測 NVIDIA AI Toolkit 漏洞
- 趨勢科技獲選為Gartner端點防護神奇象限領導者
- ⟪資安漫畫⟫毛孩爸媽必知！社群分享萌寵照的三個 NG 行為
- 《上週資安新聞周報》擁抱AI不可或缺風險對策 零信任與沙盒化是關鍵 /破解遊戲網站免費玩？假驗證碼真下毒！/快改密碼！高鐵會員點數遭盜用轉贈 /賓州醫院被駭 患者裸體圖外流
媒體資安新聞一周精選
釣魚網站騙人新招：偽裝「我不是機器人」驗證機制、誘導用戶打開Windows執行惡意命令 T客邦
◎延伸閱讀：【證明你不是機器人】後,竟被植入銀行木馬竊帳密, CAPTCHA 驗證機制被網路釣魚利用接收惡意網站通知、竊個資!
3成移工曾遭詐 總金額估17億 自由時報電子報
Windows 11 最新升級不要裝！微軟認：會碰到藍白死機 自由時報電子報
【資安日報】9月30日，Unix與Linux普遍內建的列印系統CUPS存在重大漏洞 iThome
Kia網站漏洞可讓攻擊者駭入並控制車子，2013年以後車款受影響 iThome
LLM訓練資源需求高 趨勢：駭客也覬覦 電子時報
macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具 iThome
安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置 iThome
趨勢科技警告 企業裝置與帳號為第一、二高風險資產 經濟日報網
趨勢科技再度蟬聯CNAPP市場占有率第一 新通訊元件雜誌
趨勢科技獲Forrester評選為受攻擊面管理領導者 techlife科技生活網
趨勢科技獲選為Gartner端點防護神奇象限領導者 中華新聞雲
趨勢科技 PC-cillin Pro 網友心得集錦：先進 AI 智能防毒技術，守護全家資訊安全 T客邦
VicOne再度報喜 通過TISAX AL3汽車工業資訊安全最高等級認證 CompoTech Asia 電子與電腦
Nvidia Container Toolkit漏洞影響33%的雲端環境 iThome
微軟為Windows AI功能Recall加強安全功能 iThome
Progress Software修補WhatsUp Gold 6項高風險安全漏洞 iThome
HPE Aruba修補無線基地臺重大層級的命令注入漏洞 iThome
【資安日報】9月27日，駭客利用Docker引擎API進行挖礦 iThome
全球電子郵件系統安全告急！漏洞濫用事件頻傳 網擎解析郵件伺服器軟體資安危機 iThome電腦報周刊
駭客藉由惡意程式SnipBot竊取機密資料 iThome
TeamViewer修補兩個新揭露的高風險權限提升漏洞 iThome
媒體識讀1 / 美國選舉前大打認知戰 伊朗駭客假新聞齊轟川普 中央通訊社
DDoS攻擊 0912親俄駭客對臺網站發動DDoS攻擊，4天內發生45起事故 iThome電腦報周刊
WSJ：北京支持駭客入侵美網路業者 試圖竊取敏感資訊 自由時報電子報
勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護 iThome
資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料 iThome
HITCON企業場10月底登場 美日資安專家來台開講 自由時報電子報
駭客攻擊 3種資安險幫企業抵抗損失 ETtoday新聞雲
「全社會防衛韌性委員會」重點一次看！賴清德：必要時能支援軍事行動 遠見雜誌網
圖輯／500盤2024跨界名人共襄盛舉 力挺台灣美食文化 聯合新聞網
你是詐騙被害潛在族群嗎? 快來看警政署解析詐騙手法讓你不中詐騙招 中國時報
你是詐騙被害潛在族群嗎? 快來看警政署解析詐騙手法讓你不中詐騙招 中國時報
打開新聞頻道、瀏覽網路新聞，幾乎每日都有報導詐騙案例，而許多人卻十分有自信，認為自己絕不可能被騙，但根據警政署165反詐騙諮詢專線統計資料，被害人的學歷、工作經歷並非絕對，警政署提供近期常見的詐騙案例及手法，讓各行各業的讀者朋友們，檢視自己或是周遭親朋好友是否也身陷詐騙招數之中？透過認識詐騙手法，提升防詐知能，避免你我成為潛在的詐騙受害高風險群族，遠離詐騙、守護荷包！
釣魚網站騙人新招：偽裝「我不是機器人」驗證機制、誘導用戶打開Windows執行惡意命令 T客邦
從上週開始不少 Github 使用者收到電子郵件，郵件標題是他們的專案程式碼中有嚴重的安全漏洞，點選連結可以查看詳細資訊。當使用者點選連結時 ， 釣魚網站會自動彈出類似於 Google CAPTCHA 驗證。
3成移工曾遭詐 總金額估17億 自由時報電子報
深耕移工教育近十年的非營利組織「One-Forty」昨與北富銀共同發布「移工金融理財認知大調查」，結果顯示二十七％的受訪移工曾遭受詐騙，其中八十五％受騙一至兩次，甚至有十五％被騙三次以上；假親友借款、跨境匯款與假購物網站是移工最常被騙的管道，其中更不乏來自同鄉或朋友詐騙。
Windows 11 最新升級不要裝！微軟認：會碰到藍白死機 自由時報電子報
在本月 26 日 Windows 11 最新釋出的 KB5043145 屬於「選用更新」，微軟不會強迫設備升級，而是開放用戶自行決定安裝與否。主要是新增一些小功能，像是允許用戶直接在搜尋欄分享找到的檔案，同時也將 Copilot Pro 訂閱進一步整合至「設定」內的選單，方便用戶即時管理。
CVE-2024-21412是一個存在於Microsoft Windows SmartScreen中的漏洞，該漏洞是由於處理文件時的錯誤引起的，駭客可以利用這一漏洞來繞過安全警告，進而傳遞惡意檔案。在過去的一年中，包括Water Hydra、Lumma Stealer和Meduza Stealer在內的許多集團都已經利用此一漏洞來進行攻擊。
【資安日報】9月30日，Unix與Linux普遍內建的列印系統CUPS存在重大漏洞 iThome
資安研究人員Simone Margaritelli指出，Unix通用列印系統（Common UNIX Printing System，CUPS）存在一系列的漏洞，攻擊者有機會從遠端連入具有此弱點的Unix或Linux系統，執行任意程式碼，並透露問題出在CUPS有CVSS風險評分達到9.9的漏洞，相當危險。
Kia網站漏洞可讓攻擊者駭入並控制車子，2013年以後車款受影響 iThome
安全研究人員今年6月發現汽車大廠Kia面向客戶的網站有項漏洞，可被攻擊者取得車主重要資訊，只要輸入車牌號碼就能控制車子，包括遠端定位、解鎖或啟動車子。所幸Kia已經修補了這項漏洞。
LLM訓練資源需求高 趨勢：駭客也覬覦 電子時報
趨勢科技台灣暨香港區總經理洪偉淦建議建議，企業擬訂雲端資安策略時，需著重權限管理、可視化、檢核機制3大重點。由於觀察到生成式AI正以前所未有的速度演進，趨勢科技近期也接連宣布許多新服務，包括與NVIDIA合作強化AI部署之安全、與英特爾合作推動AI PC資安防護等。
macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具 iThome
研究人員在macOS版ChatGPT應用程式發現攻擊手法SpAIware，並指出攻擊者可藉由這項弱點，將間諜程式碼植入ChatGPT的記憶（Memory）內容，外流使用者與AI機器人的對話內容。
安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置 iThome
研究人員針對安卓金融木馬Octo2攻擊行動提出警告，指出雖然駭客目前僅用於攻擊部分國家，但在開發團隊積極向買家推廣的情況下，全球很可能都會出現相關攻擊。
趨勢科技警告 企業裝置與帳號為第一、二高風險資產 經濟日報網
全球網路資安解決方案業者趨勢科技發布2024年資安風險報告指出，網路資安人員應強化整體攻擊面風險的可視性。目前企業內最大的風險領域，包括資安控管強度不足、組態設定錯誤，以及經常遭到攻擊的未修補漏洞。特別是企業的裝置與帳號，是風險最高與次高的前兩大資產。
趨勢科技再度蟬聯CNAPP市場占有率第一 新通訊元件雜誌
隨著企業投資多重雲端與混合雲基礎架構來支撐業務成長計畫，企業的攻擊面也持續擴大。由於企業內部缺乏相關技能，再加上IT的複雜性以及單一面向產品衍生的資安漏洞，網路駭客因而有機可乘，也讓CNAPP成為越來越受歡迎的一種選項。
趨勢科技獲Forrester評選為受攻擊面管理領導者 techlife科技生活網
美國哥倫比亞市資深網絡安全分析師 Luke Mason 表示：「趨勢科技的受攻擊面風險管理是我們扭轉局勢的關鍵，讓我們能夠評估情勢、判斷漏洞優先次序，並聚焦於掌握黑客的攻擊計劃，有助我們精準找出脆弱的地方，有效分配資源。」
趨勢科技獲選為Gartner端點防護神奇象限領導者 中華新聞雲
趨勢科技營運長Kevin Simzer表示：「端點對企業的營運至關重要，是企業需要妥善保護的珍貴資產，同時也是駭客攻擊的關鍵目標之一。隨著端點的數量和複雜性不斷增長，一套全方位的解決方案勢在必行。這正是為何我們要透過單一平台來提供威脅防護、偵測及回應能力，如此才能強化安全、落實法規遵循，並且減輕IT的工作負擔。」
趨勢科技 PC-cillin Pro 網友心得集錦：先進 AI 智能防毒技術，守護全家資訊安全 T客邦
連年榮獲台灣付費防毒軟體第一品牌的趨勢科技 PC-cillin，也是警政署 165全民防騙網的合作伙伴，多年來幫助無數的用戶遠離網路惡意攻擊，並保障個人資訊與電腦安全，然而各種入侵方式不斷翻新，因此防範手段也應與時俱進，如 PC-cillin 2024 雲端版以及新一代 PC-cillin Pro 的推出，就帶來了更加強悍且聰明的防禦機制，也提供了最完善的保護，在今年度的搶先體驗活動中，T 客邦亦挑選出 15 名幸運網友，看看大家在試用後最真實的心得感想。
VicOne再度報喜 通過TISAX AL3汽車工業資訊安全最高等級認證 CompoTech Asia 電子與電腦
全球車用資安領導廠商VicOne已獲得TISAX(可信任資訊安全評估交換)Assessment Level 3認證，這是汽車工業資訊安全的最高等級，代表VicOne具備為汽車製造商及其供應商提供最嚴密的資料保護和數據互聯的安全性。
Nvidia Container Toolkit漏洞影響33%的雲端環境 iThome
Nvidia修補Container Toolkit重大漏洞CVE-2024-0132，資安業者Wiz Research估計，全球有3成雲端環境因為安裝Nvidia Container Toolkit函式庫，曝露於這項重大漏洞風險中。
微軟為Windows AI功能Recall加強安全功能 iThome
在因隱私疑慮延遲將近3個月後，微軟上周再公布Windows Copilot+ PC的AI功能Recall安全功能，加密儲存、整合生物驗證功能Windows Hello，以及虛擬隔離區技術，為其重新推出鋪路。
Progress Software修補WhatsUp Gold 6項高風險安全漏洞 iThome
該公司產品團隊上周發布WhatsUp Gold 24.0.1，以修補之前版本發現的6項漏洞。該部門並主動通知用戶，要求應下載WhatsUp Gold 24.0.1安裝器（installer），並在WhatsUp Gold伺服器上依提示執行安裝器。
HPE Aruba修補無線基地臺重大層級的命令注入漏洞 iThome
這些命令注入漏洞存在於命令列介面（CLI）服務，攻擊者可在未通過身分驗證的情況下，傳送特製封包到採用PAPI協定的UDP埠（8211埠），從而觸發上述弱點，一旦成功，攻擊者就能以特殊權限的使用者身分，於作業系統底層執行任意程式碼。
【資安日報】9月27日，駭客利用Docker引擎API進行挖礦 iThome
雲端監控服務業者Datadog旗下的資安實驗室發現，有人針對Docker引擎的API從事挖礦攻擊，並橫向移動到Docker SwarmKubernetes，以及其他能透過SSH存取的伺服器。此外，駭客也濫用Docker Hub，並上傳大量惡意映像檔。
全球電子郵件系統安全告急！漏洞濫用事件頻傳 網擎解析郵件伺服器軟體資安危機 iThome電腦報周刊
電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（HPE、歐美政府），開放原始碼電子郵件系統Zimbra，Barracuda郵件安全閘道設備，以及Cisco郵件安全閘道。
駭客藉由惡意程式SnipBot竊取機密資料 iThome
使用惡意軟體RomCom從事攻擊行動的駭客組織，近期打造了新的變種程式SnipBot，並將其用於對多個領域的企業組織從事間諜活動，搜括受害電腦的機敏資料。
TeamViewer修補兩個新揭露的高風險權限提升漏洞 iThome
本週TeamViewer揭露兩項高風險漏洞CVE-2024-7479、CVE-2024-7481，攻擊者可在實際接觸到電腦的情況下，用來提升權限。該公司呼籲用戶套用新版程式緩解漏洞。
媒體識讀1 / 美國選舉前大打認知戰 伊朗駭客假新聞齊轟川普 中央通訊社
美國官員與研究人員表示，伊朗利用假新聞網站與駭客入侵等方式攻擊共和黨總統候選人川普（Donald Trump），擴大干預美國總統大選。
DDoS攻擊 0912親俄駭客對臺網站發動DDoS攻擊，4天內發生45起事故 iThome電腦報周刊
繼3家上市公司於12日發布重大訊息，表明他們網站遭到DDoS攻擊而一度受到影響，隔天也傳出有國防單位及電信業者成為駭客攻擊目標的情況。數位發展部14日召開記者會，表明已發生45起攻擊行動。
WSJ：北京支持駭客入侵美網路業者 試圖竊取敏感資訊 自由時報電子報
《華爾街日報》報導，與中國政府有關的駭客在過去幾個月以來，入侵了幾家美國網路服務供應商，以獲取敏感資訊，被調查人員稱為「鹽颱風（Salt Typhoon）」。這次的入侵也顯示出，北京龐大的網路間諜大軍，已成功入侵美國和全球各地的電腦網路。知情人士表示，微軟（Microsoft）也正在調查這次入侵事件，以及那些敏感資訊可能會被取得。微軟發言人則拒絕回應。
勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護 iThome
半年內已造成超過200個企業組織受害的勒索軟體RansomHub，攻擊過程裡運用EDRKillShifter停用防毒軟體或EDR端點防護工具，如今有研究人員公布新的發現，指出這些駭客攻擊全程都會讓這支程式維持運作，而能增加得逞的機會。
資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料 iThome
細部而言，此項資安弱點的問題出在OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。
HITCON企業場10月底登場 美日資安專家來台開講 自由時報電子報
HITCON（台灣駭客年會）今年來到20週年，台灣駭客年會-企業場（HITCON Enterprise）將於10月30日登場，以「HITCON 20年：從人類到AI，駭客精神共融進化」為主題，將邀請到來自美國、日本的全球資安界重量級人物親臨現場，加上來自台灣政府、資安公司與社群組成的「台灣隊」，共同探討AI時代下企業資安的機遇與挑戰。
電子商務交易、人工智慧（AI）與雲端技術蓬勃發展，網路威脅與日俱增，金管會昨（26）日公布統計顯示，不法入侵財損、依法應賠責任、綜合型等3類資安保險需求看俏，整體產險業去年資安險簽單保費約5.28億元、年增30.3%，成長力道強勁。
「開放全球應用程式安全計畫」（OWASP）的十大風險清單一直是企業改善軟體安全最具指標性的一份參考資料。2023年，OWASP又增加了一份專門針對AI的風險清單。AI風險清單分別在該年的春季和夏季發布了兩個草稿版本，而第一份正式版也在當年的10月發布。
駭客攻擊 3種資安險幫企業抵抗損失 ETtoday新聞雲
隨著資訊科技快速進步，電子商務交易蓬勃發展，尤其在生成式人工智慧或雲端技術等快速推動下，網路威脅亦與日俱增，金管會指出，企業可以透過3種類資安險抵抗駭客攻擊後的損失。
「全社會防衛韌性委員會」重點一次看！賴清德：必要時能支援軍事行動 遠見雜誌網
總統賴清德26日首次召開「全社會防衛韌性委員會」，強調凡事觸及社會與民眾，都是「全社會防衛韌性」的範圍，且該委員會是「行動的委員會」，要落實在基層、扎根在鄰里，「務必要走向地方，進行無劇本、小規模的各項演練」，確保國家發生災難時，能做到「維持政府運作」、「維持社會民生核心功能持續運作」、「必要時支援軍事行動」，這3大目標。
圖輯／500盤2024跨界名人共襄盛舉 力挺台灣美食文化 聯合新聞網
第一份屬於台灣人觀點的美食評鑑「500盤」今年邁入第4屆， 日前在台北晶華酒店完整揭曉得盤榜單，並舉辦盛大晚宴，多位本屆評審及名人嘉賓皆盛裝出席，現場星光雲集，展現對台灣美食文化的熱情，也是肯定「500盤」對台灣餐飲界的影響力。
趨勢科技不只是網路安全守護者,還提供各種實用3C冷知識追蹤我們的IG 帳號看更多讓你數位生活更便利、更安全的貼文 ☺️
⭕️ 訂閱資安趨勢電子報,各種實用數位祕技讓你數位生活更便利;隨時掌握資安警訊讓你安先悠遊網路
✅防毒防詐✅守護帳密✅VPN安心串流✅阻絕惡意✅安心蝦拚 趨勢科技PC-cillin雲端版 搭載深度學習AI引擎，不僅可以一次偵測多種病毒、網路威脅，還可即時封鎖異常行為，保護電腦和行動裝置安全，讓你免受變化莫測的詐騙手法之擾，安心享受網路生活。 【一下指就掉入詐騙陷阱？PC-cillin讓你安心點 】PC-cillin不只防毒也防詐騙 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用
PC-cillin 讓你的『指指點點』可以開心又安心點！
