| iThome

Apple Silicon | 側通道攻擊 | 瀏覽器

Apple Silicon存在SLAP與FLOP側通道攻擊，恐洩漏用戶機敏資料

喬治亞理工學院揭露Apple Silicon晶片存在SLAP與FLOP側通道攻擊，可能導致Mac、iPhone與iPad使用者在瀏覽網頁時，機敏資訊遭竊

2025-01-30

Zyxel | 防火牆 | USG Flex | ATP | 錯誤更新

Zyxel防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需現場修復

Zyxel防火牆因應用程式簽章更新出錯，導致USG FLEX與ATP系列部分設備不停重啟、ZySH守護程式失敗、無法登入等異常，需透過人工進行現場修復設備的程序

2025-01-27

【資安月報】2025年1月，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗

適逢農曆年節，回顧2025年第一個月的資安新聞，多項消息顯現出網路安全面臨的挑戰是越來越嚴峻，不論是國家級駭客的網路間諜攻擊、海纜安全與國家通訊韌性面臨的惡意破壞與天然考驗，以及殭屍網路DDoS攻擊持續帶來的服務中斷情形，都持續引發大眾的關切

2025-01-26

2025年全球風險報告出爐，錯假訊息、網路間諜名列短期10大風險

世界經濟論壇（WEF）2025全球風險報告指出，以未來2年審視，全球十大風險主要有四個類型，在科技風險方面，錯誤資訊與假訊息名列第一大風險，網路間諜與戰爭位居第五大風險，而以未來10年來看全球重大風險，環境風險名列1到4名，科技風險位列第5、6、9名，不僅包含前面提到兩項，還有AI技術的不良後果

2025-01-25

【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區

回顧1月第三星期資安新聞的主要焦點，首先是針對國家級駭客攻擊態勢的最新進展：電信業在2024年已成駭客攻擊頭號目標；在資安事件方面，所羅門集團兩家公司同日發布資安重訊，以及中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，還有多項殭屍網路攻擊的揭露受矚目

2025-01-25

資安日報

【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式

針對行動裝置用戶竊取機敏資料出現新手法，印度駭客組織DoNot（APT-C-35）先是引誘用戶安裝假的即時通訊軟體，隨後再藉由推播訊息的方式進行網路釣魚攻擊

2025-01-24

印度駭客 | DoNot | APT-C-35

印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem

資安業者Cyfirma揭露印度駭客組織DoNot（也稱做APT-C-35）最新一波攻擊行動，駭客假冒提供即時通訊軟體的名義，對安卓用戶下手，並企圖透過推送訊息的方式發動第二波攻擊

2025-01-24

Subaru | Starlink | 漏洞 | 資安 | 車聯網

Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置

Subaru車聯網系統STARLINK漏洞讓駭客能以少量個資控制特定車輛、存取個資和位置記錄，Subaru目前已修復漏洞，但該事件凸顯出STARLINK車聯網在權限管理與資料保護的結構性問題

2025-01-24

WordPress | 房地產 | RealHome | Easy Real Estate | CVE-2024-32444 | CVE-2024-32445

供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限

資安業者Patchstack揭露房仲網站WordPress佈景主題RealHome、外掛程式Easy Real Estate的重大漏洞CVE-2024-32444、CVE-2024-32445，並指出迄今開發商不予理會此事，用戶應停用這些元件避免曝險

2025-01-24

ClamAV漏洞修補 | CVE-2025-20128 | 思科 | DoS防護 | 安全更新

Cisco修補防毒軟體ClamAV DoS漏洞，防止攻擊者中斷防毒掃描

思科釋出ClamAV 1.4.2與1.0.8修補CVE-2025-20128漏洞，該漏洞由Google的OSS-Fuzz專案發現，可能遭攻擊者濫用中斷防毒掃描

2025-01-24

數位部 | 打詐 | 韌性 | 衛星 | AI | 資安

預算遭大砍4成，數位部：將影響打詐、通訊韌性基礎建設及資通安全

數位部在今天年終座談會中，再次對外重申預算遭砍4成，將影響今年推動中的網路通訊韌性、資安服務量能也將因為經費縮減而減少，國際合作交流減少，同時對於數位經濟產業補助、推動打詐、數位公共基礎建設也將一併受影響。

2025-01-23

資安日報

【資安日報】1月23日，中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門

資安業者ESET揭露韓國VPN業者IPany遭到攻擊的資安事故，駭客在該公司提供的VPN軟體安裝程式植入惡意內容，一旦使用者不慎安裝，電腦就會部署後門程式SlowStepper

2025-01-23

行政命令 | 川普 | CISA | CSRB | Salt Typhoon

川普下令解除所有美國國土安全部顧問委員會成員職務，恐波及Salt Typhoon攻擊電信業者事故調查

美國總統川普宣布就職發出一系列的行政命令，其中有一條引起外界高度關注，那就是他要解除所有國土安全部（DoH）顧問委員會的成員，由於當中包含網路安全審查委員會（Cyber Safety Review Board，CSRB）成員，有可能對正在調查的中國駭客大規模攻擊美國電信業者事故帶來影響

2025-01-23

殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務

中國資安業者奇安信揭露殭屍網路Aisuru變種Airashi的攻擊行動，並指出駭客從原本以綁架網路設備從事DDoS攻擊，也開始打算擴展業務，提供非法代理伺服器服務

2025-01-23

SlowStepper | 中國駭客

韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper

資安業者ESET揭露韓國VPN服務業者IPany遭遇供應鏈攻擊的事故，中國駭客組織PlushDaemon於安裝程式加入惡意程式碼，導致部分使用者下載後電腦被植入名為SlowStepper的後門程式

2025-01-23