資安新聞周報 - 資安趨勢部落格

資安業者 NCC Group 公布今年4月的勒索軟體威脅報告，指出在攻擊組織數量上，Lockbit 2.0 以103個居冠，其次是 Conti 的45個，同時發現去年中旬遭執法單位查緝的 Clop 有捲土重來的跡象。雖然 NCC Group 觀察到 Clop 的受害者激增，但趨勢科技指出 Clop 的攻擊行動似乎從沒停過，因為外傳執法機關去年只扣押了 Clop 聯盟用來散布惡意程式的伺服器，以及破壞該集團用來洗錢的管道而已。

<回到新聞條列重點>

駭客會怎麼做？DEVCORE「攻擊型」資安人才培育計畫，主動入侵系統找漏洞數位時代

DEVCORE 執行長暨共同創辦人翁浩正表示，過去台灣人才培訓大多關注在「管理」和「防守」層面，隨著網路攻擊手法日新月異，需要更深入了解駭客思維，才能透過攻擊真正達到防守功效。

<回到新聞條列重點>

半導體的資訊安全經濟日報

本篇報導作者為SEMI國際半導體產業協會全球行銷長暨台灣區總裁，報導中指出台灣半導體製造業在過去十年積極轉型，然設備及產線智慧化的提升，隨之後來的是更大的網路惡意攻擊風險，及資安問題帶來的營運危機。由台灣主導的半導體產線設備資安標準規範SEMI E187於今年1月正式上架，而除了制定及導入標準之外，SEMI資安委員會也正在規劃提供企業資安評鑑服務，積極推動產業的資安意識。

<回到新聞條列重點>

Meta打造隱私中？和新控制選項，助用戶瞭解平台個資運？及隱私調整雅虎奇摩

Meta也正在更新《服務條款》，如用戶違反條款或社群守則、侵犯他人智慧財產權或觸犯其他法律規定，Meta將會停用或終止用戶帳號。即日起，大家將於Facebook、Instagram與Messenger上收到更新通知，並於7月26日起開始生效。

<回到新聞條列重點>

Meta更新隱私政策文字加強說明個資使用中央通訊社

臉書母公司Meta今天宣布將調整「隱私政策」說明文字，讓用戶更容易了解既有內容，以及Meta如何使用用戶的個人資訊；另更新「服務條款」文字內容，提供更清楚解釋及說明。

<回到新聞條列重點>

安卓手機又被攻擊！駭客在467個APP中竊取重要個資新頭殼

根據外媒《紐約郵報》報導，去年發現有駭客利用惡意軟體ERMAC對安卓手機進行攻擊並竊取用戶個人資料，而這次發現相同來源的惡意軟體ERMAC 2.0又針對安卓手機進行攻擊。ERMAC 2.0除了在467個APP中被發現外，在一些網頁、瀏覽器中也有發現ERMAC 2.0的存在。

<回到新聞條列重點>

研究人員發現最新WSL惡意程式能竊取密碼、瀏覽器cookies iThome

安全廠商Lumen指出，2隻新發現的WSL惡意程式樣本為遠端存取木馬，結合從GitHub取得的開源專案以增進其攻擊，並使用第三方合法服務對木馬下達攻擊指令以躲避偵測。

<回到新聞條列重點>

專訪 AWS 亞太區文化長：姐的宇宙，致力於女力覺醒遠見雜誌網

AWS注意到科技業男多女少的現象，特別設立了文化長一職，致力於孕育女力，包含舉辦女子盃自駕車比賽、鼓勵10歲至15歲女學生學習數位技能以及為女性員工安排專屬的職場導師等。

<回到新聞條列重點>

人權觀察：有89%的遠端學習技術危及兒童隱私，臺灣榜上有名 iThome

專門研究與倡議人權的國際非政府組織Human Rights Watch（人權觀察）近日公布了一份研究報告，該報告調查了全球49個國家的學校因COVID-19疫情而停課時，兒童線上學習所使用的164款教學科技（EdTech）產品是否危及兒童隱私，發現其中有146款（89%）可能危及兒童隱私，而臺灣常用的Line、Microsoft Teams、Cisco Webex、PaGamO或Facebook，或是由政府建置的教育雲（Education Cloud）、臺北酷課雲（Taipei CooC Cloud）與Kaohsiung Daxuetang亦名列其中，會將兒童的資料傳送給第三方廣告公司。

<回到新聞條列重點>

車用資訊娛樂系統元件恐成駭客遠端鎖定目標經濟日報網

趨勢科技Zero Day Initiative (ZDI) 漏洞懸賞計畫每年都會舉辦這項駭客大賽，今年Pwn2Own邁入第15 屆，以高達115.5萬美元獎金獎勵參賽的產業研究人員，為包括Microsoft、Tesla、Zoom等合作夥伴與贊助商VMware在內的軟體廠商揭露了25個零時差漏洞。

<回到新聞條列重點>

研究：第三方App正竊取車主的數據新唐人電視台

隨著汽車變得更加智能，越來越多的用戶轉向第三方聯網汽車應用程序App。5月27日，一份新的報告發出警告，這些應用程序可能會威脅車主的隱私和車輛安全。

<回到新聞條列重點>

5G 與飛航：探討資安與技術升級的配合 Ctimes

本篇報導作者為趨勢科技威脅研究中心，針對5G技術與飛航間潛在的資安風險與疑慮進行探討，並提供相關建議以協助航空業者提升安全和效率。

<回到新聞條列重點>

【InnoVEX】92%惡意軟體來自Email、5成企業不知道被鎖定！資安專家教你怎麼防堵數位時代

根據趨勢科技的調查報告，2021年偵測到的威脅數量成長了42%，超過940億次，報告中更警告，隨著駭客持續提高攻擊頻率，企業的數位基礎架構及遠端工作者，都將面臨更高的資安風險，台灣更是去年家庭連網最常受到內外部攻擊的前三名國家。

<回到新聞條列重點>

中國駭客已著手開採微軟Follina零時差漏洞 iThome

微軟於5月30日公布位於MSDT的Windows漏洞CVE-2022-30190，接著相繼有研究人員揭露此一被命名為Follina的漏洞已遭中國駭客開採。目前微軟只公布了Follina漏洞的編號，尚未進行修補，但提供了暫時性補救措施，建議使用者暫時關閉MSDT的URL協定，以避免Windows的疑難排解員以URL連結啟動。

<回到新聞條列重點>

Trend Micro Cloud One層層把關確保DevOps全程安全無虞電子時報網

隨著數位轉型浪潮興起，DevOps軟體開發概念也順勢躍居主流，其可促使開發、測試與部署流程連成一氣，並融入大量自動化，幫助企業加速開發進程。然而企業在改變程式開發流程之際，若疏於改變資安做法，恐陷莫大風險。鑒於此，趨勢科技線上資安議程主題設定在「開發流程安全防護」，闡述如何透過Trend Micro Cloud One，滿足開發流程中的安全要求。

<回到新聞條列重點>

第80次新竹科學園區審議會核准投資案 techlife科技生活網

科技部科學園區審議會第80次會議於本（111）年5月31日假科技部召開，會中通過睿控網安股份有限公司、活優科技股份有限公司、五強軟體科技股份有限公司、東風科技股份有限公司及保瑞生技股份有限公司等5案，共計核准投資新臺幣（以下同）23.43億元。另備查3件廢止投資計畫案及3件增資案，合計增資約21.7億元。

<回到新聞條列重點>

微軟新增身分及存取管理產品線Microsoft Entra iThome

Entra產品線包含三大部份，一是既有的Azure Active Directory（Azure AD），並新增2產品類別。包括雲端基礎架構權限管理（Cloud Infrastructure Entitlement Management，CIEM）及去中心化身分管理。這些產品將分別提供身分和存取管理、雲端基礎架構的權限管理、以及身分驗證。

<回到新聞條列重點>

微軟揭露mce Systems框架漏洞，波及眾多Android程式 iThome

微軟去年發現的四項安全漏洞，波及由 AT&T等電信業者以mce Systems框架所開發的程式，以及其它採用mce Systems框架的Android與iOS程式，目前mce Systems與電信業者已完成修補。

<回到新聞條列重點>

微軟Build 2022開發者大會閉幕！最新發表4大亮點一次看新頭殼

微軟Build 2022開發者大會於5/24~26舉行，以超過300場主題演講、技術發佈、專題圓桌、案例分享、互動交流，展現微軟近百項新技術、新服務。

<回到新聞條列重點>

MIH鄭顯聰：台灣電動車產業應系統性整合中央通訊社

鴻海推動的MIH電動車聯盟執行長鄭顯聰今天表示，在車界和資通訊領域，產業併購和轉型有很多機會，他建議台灣電動車產業應系統性整合，發展出一套機制，形成快速力量。

<回到新聞條列重點>

【資安日報】2022年6月1日，逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊 iThome

我們才在昨天的資安新聞裡，報導引起許多資安人員關注的Office漏洞CVE-2022-30190。今天就傳出攻擊行動，其中一起很可能是中國駭客鎖定西藏使用者而來。

<回到新聞條列重點>

112年至115年科學技術白皮書規劃啟動　跨界跨域專家共同擘劃2035年科技遠景商傳媒

科技部於昨(30)日舉辦科學技術白皮書啟動會議，擬定2023年到2026年的科學發展方針。科技部吳政忠部長表示，科學技術白皮書的擬訂不能只看科技，還要兼顧社會、經濟與國際政治面因應快速變化的局勢和趨勢。科技部也表示，「跨域」是本期最為重視的價值，將透過多方探討以及多面向的關鍵議題，彙整成為國家總體的科學技術白皮書。

<回到新聞條列重點>

【資安日報】2022年5月31日，駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選 iThome

研究人員發現Office的零時差漏洞CVE-2022-30190引起關注；微軟即將提供的Windows功能更新，可能會導致趨勢企業端點防毒產品的部分元件失效。

<回到新聞條列重點>

科技部啟動科學技術白皮書！吳政忠曝「三軸策略」：帶動國家升級轉型雅虎奇摩

科技部30日舉辦「科學技術白皮書」啟動會議，擬定2023年至2026年的科學發展方針，並規劃2035年的科技遠景。科技部長吳政忠表示，近年國際情勢變化非常劇大，從淨零碳排、美中貿易戰、再到年初的俄烏戰爭，局勢與趨勢變化快速，因此，「科學技術白皮書」除了看科技之外，應社會、經濟、國際政治等面向。

<回到新聞條列重點>

意法半導體與微軟合作簡化高安全性物聯網裝置開發 Ctimes

意法半導體微控制器部行銷總監Daniel Colonna表示，「物聯網裝置開發者面臨巨大的壓力，既要滿足產品上市時間的限制，又要滿足最高的安全產業標準。我們的解決方案透過提升安全性以及電源效能和性能，加速嵌入式系統產品的開發速度。」

<回到新聞條列重點>

DEF CON CTF資格賽，臺灣聯隊攜手獲得第二名，八月進軍賭城實體較勁 iThome

臺灣參賽隊伍Balsn.217@TSJ.TW戰隊，囊括臺灣四個世代的CTF比賽選手，總計有53名選手參加，參賽成員以在學學生為主力，政府也有資源挹注參賽選手。總計16個隊伍參加DEF CON CTF決賽。

<回到新聞條列重點>

【資安日報】2022年5月30日，惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體 iThome

針對上週末到今天的資安新聞，我們認為殭屍網路EnemyBot的攻擊行動相當值得留意，因為，該殭屍網路的攻擊者的目標大幅轉變，從一個月前主要針對多個廠牌的路由器下手，如今轉向企業的應用系統而來，並利用重大漏洞入侵伺服器。

<回到新聞條列重點>

駭客透過公用程式進行滲透，躲避系統事件記錄攻擊SQL Server出現新手法 iThome電腦報周刊

微軟於5月18日提出警告，近期發現鎖定SQL Server的攻擊行動，駭客藉由暴力破解的方式，入侵這些資料庫系統，再透過該系統內建的公用程式SQLPS.EXE，來執行惡意的PowerShell命令，以進行寄生攻擊(LOLBin)，同時避免在受害的伺服器留下事件記錄。

<回到新聞條列重點>

求方便是詐騙最大破口！五招提高防詐免疫力一組帳密通到底、隨意加會員　你的「怕麻煩」讓個資被接管商業周刊

當數位科技已經深入日常生活，疫情更讓各式「零接觸」應用大行其道，舉凡外送、叫車、會議、消費支付、證券下單，還有申請貸款等金融服務，都靠手機完成，也成為身分認證的方式之一。在金融業資安控管越來越嚴格下，歹徒已把歪腦筋動到手機上，如何避免手機這把開啟各項便利服務的鑰匙，成為歹徒長驅直入、盜用身分的破口，便非常重要。

<回到新聞條列重點>

2023年，全球每年將被騙走「一個鴻海」遠距釀疫情後遺症　對抗數位詐騙也該有國家隊！商業周刊

當你接到這樣的電話時，代表騙徒已經掌握你的個資，並且正三百六十度全方位的蒐集你更多資訊，例如Gmail、臉書帳戶，甚至近期參加過哪些行銷活動等。這次不成，下一次，他們會設一個更精巧、更能取信於你的圈套。甚至有可能直接運用手中個資，重設你的密碼，巧取豪奪。

<回到新聞條列重點>

Meta、輝達暫緩人才招募力度，微軟要求 Windows 和 Office 團隊更謹慎徵才財經新報

科技產業近期股價大受衝擊，微軟準備採取更保守方法招聘部分業務，包括最受歡迎的產品。消息人士透露，Office 和 Windows 執行副總裁 Rajesh Jha 26 日告訴團隊，招募新員工時更謹慎，也要先獲得上級同意。

<回到新聞條列重點>

Meta擴大在微軟Azure推動AI專案 iThome

Meta在微軟Azure上進行PyTorch等AI研發。在Build 2022大會上，微軟和Meta聯合宣布，Meta將以Azure雲端部署AI應用，包括擴大執行機器學習框架PyTorch。

<回到新聞條列重點>

一場不尋常的收購：晶片巨頭博通為何要砸 610 億美元收購軟體公司 VMWare？科技報橘網

博通（Broadcom）早前宣布將出價 610 億美元收購雲端、虛擬技術開發商 VMWare，若收購成功，將成為科技史上規模最大的收購案之一，僅次於微軟以 687 億美元買下動視暴雪以及 Dell 收購 EMC 的 670 億美元交易。