本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的內容。
資安趨勢部落精選：
詐騙當道！近9成民眾擔心家人成為詐騙受害者，你也是嗎？
AI防詐達人「換臉詐騙偵測、詐騙查證、簡訊過濾與網頁防護」四大功能 即刻下載保護全家人
【圖說】在與他人視訊通話時，開啟「換臉詐騙偵測」功能即時偵測其是否為經AI變造的換臉視訊，若偵測到疑似有偽冒他人的可能性，螢幕會跳出通知與應對建議。
☞ 瞭解更多趨勢科技AI防詐達人相關資訊
- 果粉注意，假冒蘋果客服警告信， 鎖定 Apple ID ！網路釣魚信三大破綻你發現了嗎？
- AI Pulse：價格衝擊、AI 代理興起、不受控的AI
- Earth Lusca 駭客集團使用 KTLVdoor 後門程式入侵多重平台
- 《打詐週報》憂詐團冒名募款！「台灣隊長」陳傑憲母慈善會發公告澄清/ 果粉注意！Apple ID釣魚電郵真假難辨 /LINE假投票詐騙升溫，當心LINE帳號被盜
- 《上週資安新聞周報》LINE會偷看對話內容嗎？官方回應了/Meta 刪除200萬個「殺豬盤詐騙」有關帳戶/紐約時報指OpenAI刻意刪除資料，阻礙查找使用未授權內容訓練人工智慧的證據
媒體資安新聞一周精選
2024LINE詐騙最新手法！6個常見騙錢起手式「銀行帳戶、個資秒被盜光」， 3招自救方法一次看 風傳媒
防詐子法上路 網路平台詐騙廣告須24小時下架 中央通訊社
名人詐騙廣告猖獗，Meta忌憚澳洲政府禁令提出廣告驗證政策 關鍵評論網
Spotify 播放清單功能被有心人士濫用於推送惡意軟體與詐騙內容 Xfastest Media
駭客入侵美國公共事業 工商時報
打詐行動綱領2.0明年1月上路 導入AI、新增「防詐」面向 中央廣播電臺
最新 15 款惡意 Android App 名單曝光！不刪除恐被騙高利貸 自由時報電子報
12強台灣冠軍商品有假！一頁式網站下單當心受騙 自由時報電子報
冠軍同款「Team Taiwan黑色帽T」熱銷中？趨勢科技AI防詐達人攔截詐騙廣告網址
周杰倫演唱會假票竄出！「最離譜」案例曝 Joeman：面交也會上當 今日新聞
打詐儀錶板專頁上線 新增5功能多瀏覽可防詐 中央通訊社
駭客廣泛使用 AI 來打造 Mac 惡意軟體 科技新報網
伊朗駭客APT35鎖定航太及半導體產業，利用假徵才網站發動攻擊 iThome
日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門 iThome
Matrix 殭屍網路肆虐全球，藉 IoT 設備發動大規模 DDoS 攻擊 資安人
已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險 iThome
中國駭客組織「鹽颱風」利用新型 GhostSpider 後門程式攻擊電信業者 資安人
Bootkit 不再是 Windows 獨家威脅！史上首支殺不死的 Linux UEFI bootkit 現身 科技新報網
微軟強調沒有使用Microsoft 365用戶文件訓練AI iThome
網釣攻擊套件Rockstar 2FA鎖定M365帳號而來 iThome
Windows Server 2012、2012 R2存在MotW零時差漏洞 iThome
Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚 iThome
微軟修補 AI、雲端與 ERP 系統漏洞，一個已遭駭客利用 資安人
微軟慘了！正遭美國反壟斷調查 涉軟體授權、雲端運算 自由時報電子報
收到解僱通知別慌，可能是詐騙陷阱 科技新報網
數發部防詐APP 拚下季上線 工商時報
台灣業者也受害／中國APP偽裝合法程式 騙過App Store上架 自由時報
Veeam修補備份集中管理工具漏洞，包括遠端執行程式碼重大漏洞 iThome
Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節 iThome
SmokeLoader惡意程式瞄準台灣製造業與資訊科技業 資安人
網路遭受駭客網路DDoS攻擊 新天地：無個資或內部文件外洩之虞 工商時報電子報
【資安週報】1125~1129，中華電信提供寬頻網路用戶的D-Link數據機被發現漏洞，該設備年初已終止支援，近6萬多臺仍在使用 iThome
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty iThome
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦 iThome
重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享 iThome
迎向混合 AI 新時代，CloudMile 萬里雲以 AI4Biz 解方助企業驅動創新未來 數位時代
AWS re:Invent 2024在即 晶片迭代、AI展望受矚 電子時報
資安策略揭秘：台灣科技產業借力CMMC 強固晶片與供應鏈資安 提升全球競爭力 經濟日報網
針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明 iThome
自己培育人才！趨勢科技研發替代役比照「正職」標準核薪、提供教育訓練資源 科技島
2024LINE詐騙最新手法！6個常見騙錢起手式「銀行帳戶、個資秒被盜光」， 3招自救方法一次看 風傳媒
「我現在有急事可以借我3萬塊嗎？」、「想網購但平台無法下單，可以麻煩你聯絡平台客服嗎？」相信你一定在LINE看過這些話，隨著LINE成為日常溝通的重要工具，各類詐騙手法也隨之層出不窮，從投資、網購、交友到假冒公家機關等，無不以誘人的話術吸引受害者上鉤。這些詐騙方式多以建立信任為手段，再逐步誘導受害者提供個人資訊或匯款，往往造成金錢和個人隱私的重大損失。
防詐子法上路 網路平台詐騙廣告須24小時下架 中央通訊社
詐欺犯罪危害防制條例（詐防條例）今年7月底正式施行後，數發部今天表示，防詐4子法已在11月底生效，強化納管Google、Facebook、Line等6個網路廣告平台，若廣告明顯涉詐，平台應24小時內移除下架詐騙廣告。
名人詐騙廣告猖獗，Meta忌憚澳洲政府禁令提出廣告驗證政策 關鍵評論網
繼上週澳洲國會通過針對16歲以下兒少的社群禁令後，這次Meta搶在澳洲政府之前，率先提出打擊金融詐騙的政策。由於近年利用AI深偽冒用名人的詐騙廣告猖獗，Meta在各方壓力下提出新政策，明年2月起旗下平台將要求廣告主需通過政府執照驗證才能下廣告。
Spotify 播放清單功能被有心人士濫用於推送惡意軟體與詐騙內容 Xfastest Media
根據外媒報導，目前出現有心人士正透過 Spotify 的自訂歌單與 Podcast 劇集的功能，推送盜版軟體、盜版網站、遊戲作弊碼或製作釣魚內容、惡意連結與詐騙，他們會透過將自定義清單的標題與敘述中注入針對性的關鍵字與連接，讓內容更容易出現於諸如 Google 等搜尋引擎之中。
駭客入侵美國公共事業 工商時報
美國水利公共事業American Water在今年10月初發現駭客入侵後，美國人再次驚覺原來駭客無所不在，已經開始威脅一般民眾的日常生活，因為這起駭客攻擊導致American Water暫時關閉My Water服務，害用戶無法查詢水費。
打詐行動綱領2.0明年1月上路 導入AI、新增「防詐」面向 中央廣播電臺
行政院會今天(28日)通過「新世代打擊詐欺策略行動綱領2.0版」，將於明年1月實施，從識詐、堵詐、防詐、阻詐、懲詐五大面向，結合跨部會力量，從源頭打擊詐欺犯罪。行政院長卓榮泰裁示，2.0版新設「防詐」面向，針對當前情勢擬定「強化AI防制」、「深化跨境合作」、「監管防詐產業」及「強化被害人保護」等各項新增策略及措施。
最新 15 款惡意 Android App 名單曝光！不刪除恐被騙高利貸 自由時報電子報
Android 手機又有惡意軟體現身！資安業者 McAfee 發現 15 款累積下載次數超過 800 萬的 App，會冒充為合法的金融貸款服務，藉機騙取用戶個資，更惡劣的還可能會放高利貸。
12強台灣冠軍商品有假！一頁式網站下單當心受騙 自由時報電子報
正當全台狂慶台灣棒球隊勇奪棒球12強世界冠軍時，有詐騙集團卻在網路上擷取相關新聞圖片，以一頁式購物網站販售台灣隊周邊商品，吸引熱情粉絲下單購買，此類商品以貨到付款方式寄送，待民眾付款拆封後才發現為明顯不符之劣質商品，後續聯繫網站客服退貨退款，也受到百般推託，甚至封鎖，才驚覺遭騙。
周杰倫演唱會假票竄出！「最離譜」案例曝 Joeman：面交也會上當 今日新聞
亞洲天王周杰倫將從明（5）日起一連4天在台北大巨蛋舉辦「嘉年華世界巡迴演唱會」，許多歌迷都還在搶在最後一刻求票，希望能一睹天王與小夥伴們的精采表演。但近期在網路社群上，有越來越多歌迷表示收到假票。對此，Joeman也特別拍片提醒歌迷，就算面交也可能上當。
打詐儀錶板專頁上線 新增5功能多瀏覽可防詐 中央通訊社
刑事局召開「打詐儀錶板專網正式上路」記者會，並邀吳淡如出席分享防詐經驗。全新設計打詐儀錶板專門網頁已於1日上線，讓民眾隨時瀏覽查詢防詐資訊，其包含5項重要功能，包含美化專網頁面、提供常用詐騙話術、公布每天詐騙手法前5名、各縣市詐騙數據統計、各縣市每天案例。刑事局同時公布詐騙數據，以11月為例，高發詐騙案前5名依序為假投資、網路購物詐騙、假買家騙賣家、假中獎通知詐騙、假交友投資詐財；以假投資詐騙造成財損位居第1，占總財損64%。
駭客廣泛使用 AI 來打造 Mac 惡意軟體 科技新報網
報告貼出的暗網論壇截圖顯示，惡意攻擊者正在使用 ChatGPT 等人工智慧工具，來引導他們完成複雜的惡意軟體創建過程；其中一個著名例子就是一名為「barboris」的俄語威脅參與者，他在沒有任何編碼經驗的情況下公開分享了開發 macOS 竊取程式的經驗。
伊朗駭客APT35鎖定航太及半導體產業，利用假徵才網站發動攻擊 iThome
威脅情報業者ThreatBook揭露伊朗駭客APT35最新一波攻擊行動，並指出這起事故相當不同的是，駭客攻擊範圍涵蓋美國、泰國、阿拉伯聯合大公國（UAE）、以色列，而且針對航太及半導體產業而來。
日本遭APT-C-60網釣攻擊，濫用StatCounter、Bitbucket並意圖散布SpyGlace後門 iThome
日本電腦網路危機處理暨協調中心（JPCERT/CC）指出，他們得知駭客組織APT-C-60於今年8月攻擊日本企業組織，對方佯裝成求職者向人資窗口寄送釣魚信，意圖散布惡意程式。
Matrix 殭屍網路肆虐全球，藉 IoT 設備發動大規模 DDoS 攻擊 資安人
雲端安全公司 Aqua 近期揭露了代號為 Matrix 的威脅行動者，正在進行大規模的分散式阻斷服務（DDoS）攻擊活動。該攻擊者透過利用物聯網（IoT）設備的漏洞和錯誤配置，將這些設備納入其破壞性的殭屍網路中。
已終止維護的D-Link數據機存在重大漏洞，近6萬臺設備曝險 iThome
台灣電腦網路危機處理暨協調中心（TWCERT/CC）針對D-Link數據機DSL-6740C提出警告，指出該設備存在多項漏洞，但因為此設備已屆終止支援階段，呼籲用戶應汰換設備。值得留意的是，這款數據機全球仍有近6萬臺正在運作，且幾乎都在臺灣。
中國駭客組織「鹽颱風」利用新型 GhostSpider 後門程式攻擊電信業者 資安人
趨勢科技的調查進一步揭露，「鹽颱風」組織除了使用 GhostSpider 外，還部署了多項駭客工具，包括針對 Linux 系統的惡意程式「Masol RAT」、用於隱藏惡意行為的 rootkit 工具「Demodex」，以及在中國進階持續性威脅（APT）組織間常見的後門程式「SnappyBee」。
Bootkit 不再是 Windows 獨家威脅！史上首支殺不死的 Linux UEFI bootkit 現身 科技新報網
令人聞之色變的 UEFI 開機套件（bootkits），會感染在作業系統啟動之前運行的韌體，即使更換或重新格式化硬碟也無法移除，它們仍然可以持續運行。但 10 年來，這個惡意工具始終只針對 Window 電腦下手。如今安全公司 ESET 揭露了史上第一個專門感染 Linux 系統的 Bootkitty 惡意 bootkit，破天荒地讓 Linux 電腦韌體成為 bootkit 常駐的目的地。
微軟強調沒有使用Microsoft 365用戶文件訓練AI iThome
一名使用者在Tumblr指稱，微軟近日在M365加入一項連結體驗（Connect Experience）功能，並且悄悄加入自願退出（opt-out）選項。文章指出，如同時下許多廠商，微軟將這項功能預設為開啟，一旦用戶未主動關閉，即意謂允許微軟擷取用戶在雲端上的Word、Excel文件作為資料集，用以訓練其AI模型。針對使用者的爆料，微軟對外澄清並未使用Microsoft 365用戶的Word或Excel等文件，來訓練自家AI模型。
網釣攻擊套件Rockstar 2FA鎖定M365帳號而來 iThome
資安業者Trustwave揭露的Rockstar 2FA網釣工具包，就是典型的例子，這個工具包的前身，其實是去年5月出沒的DadSec，而到了去年底，駭客先後更名為Phoenix、Rockstar 2FA，然後持續從事攻擊行動。
Windows Server 2012、2012 R2存在MotW零時差漏洞 iThome
11月28日專門提供微修補的資安業者0patch指出，他們在伺服器作業系統Windows Server 2012、2012 R2發現零時差漏洞，一旦遭到利用，電腦對於來自網際網路的特定類型檔案，執行Mark of Web（MotW）安全檢查的流程，就有可能被攻擊者繞過。
Word檔案修復功能遭到濫用！攻擊者藉此繞過電腦資安防護機制，假借公司人資與員工福利的名義從事網路釣魚 iThome
提供惡意軟體分析沙箱的資安業者Any.run指出，他們發現疑似利用零時差漏洞的攻擊行動，駭客在過程中不僅能迴避防毒軟體的偵測，還能繞過收信軟體Outlook的垃圾信過濾機制，並防有人上傳到沙箱進行檢查。
微軟修補 AI、雲端與 ERP 系統漏洞，一個已遭駭客利用 資安人
微軟近日修補四個影響其AI、雲端、ERP和合作夥伴中心的資安漏洞，其中一個已遭駭客積極利用。被標記為「已遭利用」的漏洞為 CVE-2024-49035(CVSS 評分 8.7)，這是一個存在於partner.microsoft.com 的權限提升漏洞。微軟在本週發布的公告中表示，「partner.microsoft.com 存在不當的存取控制漏洞，允許未經認證的攻擊者透過網路提升權限。」
微軟慘了！正遭美國反壟斷調查 涉軟體授權、雲端運算 自由時報電子報
《路透》報導，知情人士在本（11）月稍早證實，FTC正在調查關於微軟可能濫用自身在生產力軟體市場地位的指控，透過實施懲罰性授權條款，阻止客戶將資料從旗下的雲端服務Azure轉移到其他競爭平台。
收到解僱通知別慌，可能是詐騙陷阱 科技新報網
這批詐騙郵件目前主要在英國流行，郵件偽裝成英國就業仲裁法庭的法律文件，甚至使用英國國徽增加可信度。郵件以「緊急：您的仲裁訴訟程序」為主旨，警告收件人若不立即下載相關文件將面臨嚴重法律後果。當受害者點擊「立即下載文件」按鈕時，會被導向偽造的 Microsoft 網站。
數發部防詐APP 拚下季上線 工商時報
黃彥男指出，第一階段測試有1.2萬人下載，但每個人一次可以檢舉幾百件到千件，下載量很大，另外也看到一些惡意攻擊，到11月底有通報將近6萬件，下架1.5萬件，公測顯示確實有效果。
台灣業者也受害／中國APP偽裝合法程式 騙過App Store上架 自由時報
中國侵犯著作權猖獗，在國際素有海盜國家之名，中國軟體開發商或駭客，也積極開發可以違法觀看影片的軟體，還美化成「免費隱藏影視App」，甚至附加影片簡介，可以選擇集數、支援離線下載播放，收藏特定影片等功能，包括日本電視台製播放的《巧克力醫生》等電視劇，都是被違法下載的熱門戲劇，警方雖認為兩位網紅雖非App開發者，卻是助紂為虐，助長侵權行為。
Veeam修補備份集中管理工具漏洞，包括遠端執行程式碼重大漏洞 iThome
VSPC是Veeam備份應用環境的遠端集中監控與管理工具，可以管理安裝Veeam備份代理程式的Windows、Linux、Mac系統，以及Microsoft 365平臺，並能橫跨雲端與企業內部網路環境進行管控。要啟用VSPC，必須針對納入集中管理的系統，安裝VSPC的管理代理程式（Management Agent），不過Veeam在12月3日警告，VSPC管理代理程式會導致2個漏洞，須盡速修補。
Progress於9月修補的WhatsUp Gold重大層級漏洞，發現問題的資安研究人員公布細節 iThome
資安業者Tenable對於他們向Progress通報的WhatsUp Gold重大漏洞CVE-2024-8785公布細節，並指出攻擊者可藉此竄改Windows主機的機碼，從而達到遠端執行任意程式碼的目的。
Winos4.0 是一種先進的惡意後門軟體，具備廣泛的功能、穩定的架構，並能有效控制大量的線上端點以執行進一步的操作。它是基於 Gh0strat 重建的，包含多個模組化元件，每個模組負責不同的功能。Winos4.0 已經在多起攻擊活動中被使用，例如 Silver Fox。
SmokeLoader惡意程式瞄準台灣製造業與資訊科技業 資安人
網路遭受駭客網路DDoS攻擊 新天地：無個資或內部文件外洩之虞 工商時報電子報
新天地餐飲集團公告指出，新天地網路遭受駭客網路DDoS攻擊，所幸於遭受網路DDoS攻擊時，公司立即啟動相關防禦機制，避免影響安全，目前評估沒有個資或內部文件資料外洩之虞等情事，對公司營運並無重大影響。
一年前的UEFI漏洞LogoFAIL被用於植入Bootkitty iThome
繼上周Bootkitty現身後，研究人員又發現，去年發現的一組UEFI韌體漏洞，已有人發展出濫用手法來植入Bootkitty這第一隻可在Linux執行的UEFI Bootkit程式。
惡意程式GodLoader迴避偵測出現新手法，駭客濫用遊戲引擎感染1.7萬臺電腦 iThome
最近2年駭客利用合法元件癱瘓防毒軟體及EDR系統的情況，不斷有資安事故傳出，其中最常見的手法，便是使用過時的驅動程式，以作業系統核心層級來干擾這些資安防護機制的運作，但如今有人轉向其他工具來突破防線。
重塑對企業資安聯防的溝通模式，TWCERT/CC將逐步從傳統事件通報提升到關鍵情資共享 iThome
臺灣在公私聯防發展上，鏈結公私領域駭侵情資的TWCERT/CC是重要角色，今年資安院接手後有新進展，希望扭轉大眾對於事件通報的印象，強調以情資為主的溝通，目標是讓企業回報的內容，可以更聚焦在聯防需要的情資，同時說明TWCERT/CC會員可獲得的4大情資類別，包含活動預警、駭侵事件、漏洞情資與入侵指標。
迎向混合 AI 新時代，CloudMile 萬里雲以 AI4Biz 解方助企業驅動創新未來 數位時代
隨著 AI 趨勢發展，如何善用 AI 與混合多雲架構成為企業數位轉型的核心議題。 CloudMile 萬里雲在日前舉辦的「2024 CloudMile Solution Day」，發表針對混合式人工智慧（Hybrid AI）時代而推出的全新解決方案 AI4Biz （AI for Business），涵蓋生成式 AI、數據治理、資安防護、雲端維運到 FinOps 五大領域，一站式滿足企業在AI轉型中的各種需求。
AWS re:Invent 2024在即 晶片迭代、AI展望受矚 電子時報
雲端龍頭AWS年度大會re:Invent將登場，此次將是新任執行長Matt Garman於6月上任後的首次大會，重點主軸仍圍繞著生成式AI。外界也關注，AWS與NVIDIA的合作會否再擴大、自研晶片迭代進展、以及團隊對於AI趨勢的展望。
資安策略揭秘：台灣科技產業借力CMMC 強固晶片與供應鏈資安 提升全球競爭力 經濟日報網
隨著高科技產業面臨日益嚴峻的資安挑戰，由數發部數位產業署指導，財團法人資訊工業策進會資安科技研究所（資策會資安所）、國家科學及技術委員會新竹科學園區管理局及台灣科學園區科學工業同業公會聯合舉辦的「軟體生命週期安全防護暨ICT產業資安交流會」於11月20日盛大登場。
針對資安業者公布的工業用無線基地臺漏洞，研華科技提出進一步說明 iThome
上週資安業者Nozomi揭露研華科技（Advantech）EKI工業用無線基地臺一系列漏洞，並指出攻擊者有機會透過空中下載（Over-the-Air，OTA）的管道用於攻擊。雖然研華已於11月20日發布新版韌體修補漏洞，但並未在公告裡列出Nozomi公布的20項漏洞。對此，我們進一步向研華進行確認。
自己培育人才！趨勢科技研發替代役比照「正職」標準核薪、提供教育訓練資源 科技島
台灣資安大廠趨勢科技（Trend Micro）不僅在資安、資訊產業深受產業信任，每年校園徵才亦有不少理工科系學生積極投遞實習、正職、研發替代役職缺。趨勢科技資深人資協理柯志宜受訪時表示，自2006年來公司便開始招募研替人才，工作內容及薪資福利與正式員工無異，每年續留轉正的研替接近100%。
⭕️ AI 防詐防毒
趨勢科技PC-cillin雲端版 運用最新 AI 防毒防詐技術，全面保護您的身分隱私，讓您享受上網安心點。
不只防毒也防詐騙 ✓手機✓電腦✓平板，跨平台防護３到位➔ 》即刻免費下載試用
✅ 獨家 AI 隱私權分析技術 讓您的個資，由你自己掌握
✅社群帳號盜用警示 在災害擴大前，搶先一步做好防範
✅全球個資外洩追蹤 24小時為您監測守護
✅跨平台密碼安全管理讓 您安心儲存所有網路帳密
趨勢科技不只是網路安全守護者,還提供各種實用3C冷知識追蹤我們的IG 帳號看更多讓你數位生活更便利、更安全的貼文
⭕️獨家！每週精選最火紅的詐騙與資安新聞，讓您隨時掌握資安警訊 不想成為下一個受害者嗎？立即訂閱，搶先一步防範
