| iThome

Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響

研究人員揭露UEFI韌體漏洞「UEFICanHazBufferOverflow（CVE-2024-0762）」，並指出這項漏洞影響搭載第7代至第14代Core i處理器的電腦，恐有數百款設備曝險

2024-06-24

75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權

針對Adobe本月修補電商平臺Adobe Commerce及Magento Open Source的資安弱點CosmicSting（CVE-2024-34102），資安業者Sansec提出警告，這是歷年來該電商平臺最嚴重的漏洞之一，網站管理者應儘速採取緩解措施因應

2024-06-24

CDK Global | BlackSuit | 勒索軟體

癱瘓CDK Global系統的兇手為BlackSuit勒索軟體，提出高達數千萬美元的贖金要求

以BlackSuit勒索軟體癱瘓CDK Global系統的駭客，還偽裝成CDK Global客服撥打詐騙電話，企圖騙取這家SaaS業者的汽車經銷商用戶憑證等機密資訊

2024-06-24

【資安週報】2024年6月17日到6月21日

在本期資安週報回顧的新聞當中，網路防詐發展成焦點，有金控公司在臺灣資安大會揭露他們下架偽冒網站和詐騙群組的因應方式，資安院也公布採用AI防詐的現況；在資安威脅態勢方面有一重要消息，Mandiant最近揭露中國駭客組織UNC3886的攻擊動向，指出有4個近年修補的漏洞，其實在2021就遭零時差漏洞利用攻擊

2024-06-24

資安日報

【資安日報】6月21日，駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式

資安業者趨勢科技近期揭露由駭客組織Void Arachne發起的惡意軟體攻擊行動，值得留意的是，這些駭客除利用惡意廣告，也透過簡體中文Telegram頻道，假借提供應用程式來發動攻擊

2024-06-21

駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體、Deepfake人工智慧工具散布惡意程式Winos 4.0

研究人員發現專門鎖定中國用戶的後門程式Winos 4.0攻擊行動，駭客組織Void Arachne藉由提供VPN軟體、Deepfake生成式人工智慧程式，藉由搜尋引擎廣告，以及Telegram頻道來散布惡意軟體

2024-06-21

Wget | CVE-2024-38428

研究人員針對Wget漏洞提出警告，呼籲用戶近期應留意相關資安公告

德國電腦緊急應變團隊（CERT-Bund）針對下載工具Wget的漏洞CVE-2024-38428提出警告，並一度將其CVSS風險評分評為10分，因此，有資安研究人員認為，接下來各家Linux開發商將會著手處理，用戶應留意相關公告

2024-06-21

卡巴斯基 | 美國商務部 | 禁售令 | 俄羅斯 | 國家安全

美國宣布全面禁售卡巴斯基產品

美國商務部以美俄關係緊張以及國家安全為由，禁止卡巴斯基（Kaspersky）於該國境內銷售網路安全產品/服務及防毒軟體，至於卡巴斯基的威脅情報產品/服務、安全培訓產品/服務，或是顧問與諮詢服務則不在此限

2024-06-21

資安 | 重訊 | 證交所 | CIO大調查 | 資安大調查

資安自知之明

資安不可能做到百分之百的防禦，是否能更快、更早知道自己遭到鎖定，考驗了企業對自家資安防護態勢的認識能力，企業得有足夠的資安自知之明，才能採取更適當也更有效的應變

2024-06-21

微軟 | Copilo | Copilot+ PC | 資安

如何保護Copilot技術架構？微軟推未來安全計畫

今年Build大會上微軟揭露2大AI戰略：微軟Copilot技術架構和Copilot+ PC，為保障這個技術架構安全運行，該公司特別打造了AI安全與資安層

2024-06-21

WordPress | Hustle | Chrome更新

駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式

研究人員揭露針對WordPress而來的攻擊行動，駭客入侵這些網站，然後設法將彈出式視窗外掛程式塞進網站裡面，聲稱使用者的瀏覽器存在弱點而必須升級，藉此散布惡意程式

2024-06-20

Operation Celestial Force | GravityRAT | HeavyLift

巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式

研究人員揭露為期長達6年的攻擊行動Operation Celestial Force，並指出駭客的攻擊目標，從最初的Windows電腦，後續擴及安卓裝置及Mac電腦

2024-06-20

生成式人工智慧 | 生成式AI | 資安 | re:Inforce 2024

AI老手如何防護生成式AI Amazon安全長首揭露

AI的安全防護與傳統資安有其共通特性，但也有諸多截然不同之處。有鑑於AI應用服務的樣態與傳統應用程式不同，Amazon安全長Steve Schmidt以亞馬遜的經驗指出，AI資安團隊的角色定位、AI應用的安全檢測方式、對於資料安全的要求皆與過往有很大的不同，倘若策略錯誤，資安將會成為AI創新的絆腳石

2024-06-20

資安院 | 詐騙 | 打詐

資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成

針對詐騙廣告的橫行，資安院接受數位產業署的委託，研發以AI偵測詐騙廣告的技術，根據他們的分析，97％的詐騙廣告刊登不到兩天，而資安院將偵測到的詐騙廣告清單通報社群和通訊平臺，詐騙廣告下架率達九成

2024-06-20

google | 數產署 | 資安人培 | Google Cybersecurity Certificate | Google專業資安證書

Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生

Google在1年前推出的資安證書課程Google Cybersecurity Certificate，主打沒有經驗方面要求，可在6個月內培育含實作訓練的資安生力軍，先前已在美、日、印度、新加坡有合作發展計畫，如今也成臺灣資安人培新利器，我國數位部數產署與Google於6月17日宣布合作，將運用贈送的1千課程帳號在短期養成2千位資安新血

2024-06-20