超強後門中國APT攻擊者黑木已潛伏５年以上

 超強後門中國APT攻擊者黑木已潛伏５年以上

2024 / 01 / 29

編輯部

超強後門！中國APT攻擊者「黑木」已潛伏５年以上

自 2018 年以來，一個未知的中國威脅行為者持續使用新型後門對中國和日本目標進行中間人 (AitM) 網路間諜攻擊。

 

ESET公司將該組織命名為「Blackwood」，目前已知的具體受害者包括一家大型中國製造和貿易商、一家日本工程和製造公司的中國辦事處、以及部分中國和日本的特定人士。

 

距離第一次攻擊，Blackwood隔了5年才被曝光。研究人員表示Blackwood能夠毫不費力地在 WPS Office 等流行軟體產品的更新中隱藏惡意軟體，這種惡意軟體是一種高度精密的間諜工具，名為「NSPX30」。

 

NSPX30的前身可以追溯到2005年的Project Wood。該計畫曾多次針對香港政客，後來又針對台灣、香港和中國東南部地區。Project Wood有許多變體，包括2008 年的DCM（又名Dark Specter 黑暗幽靈）。DCM持續10年之久，直到2018年還有出現惡意攻擊行動。

 

NSPX30也在2018年出現，集所有網路間諜工具之大成。NSPX30是一種多階段的多工工具，由一個 dropper、一個 DLL 安裝程式、載入程式、協調器和後門組成。其中協調器和後門都帶有一組附加可交換的插件。

 

無論是系統或網路、文件和目錄、憑證、擊鍵、螢幕截圖、音訊、聊天以及來自流行訊息應用程式，如:微信、Telegram、Skype、騰訊QQ、等等，NSPX30都可以進行資訊竊取。

 

此外，NSPX30 還可以建立反向 shell，將自身添加到中國防病毒工具的白名單中，並攔截網路流量。這種能力使 Blackwood 能夠有效隱藏自己的CC伺服器，可以長期運作而不被發現。

軟體更新中隱藏的後門

目前Blackwood的確切攻擊手法還不明朗。它不使用任何典型的技巧：網絡釣魚、受感染的網頁等。相反，當某些完全合法的程序嘗試通過未加密的HTTP 從合法的企業服務器下載更新時，Blackwood也會以某種方式植入後門。

 

換句話說，這並不是 SolarWinds 事件的供應鏈攻擊型態。ESET 推測 Blackwood 可能使用網路植入物件。此類植入程式可能儲存在目標網路中易受攻擊的邊緣設備中，這在其他中國 APT 中很常見。

 

用於傳播 NSPX30 的軟體產品包括 WPS Office，一種免費替代Microsoft和Google office軟體套件的程式、QQ 即時通訊服務和搜狗拼音輸入法編輯器。

 

ESET建議，執行端點保護工具阻止 NSPX30，並注意與合法軟體系統相關的惡意軟體偵測。此外，監控和阻止 AitM 攻擊，如 ARP 中毒。現今的交換器多半有緩解此類攻擊的功能。同時禁用 IPv6 有助於阻止 IPv6 SLAAC 攻擊。

 

研究人員補充道，分段良好的網路也會有所幫助，因為 AitM 只會影響執行它的子網。

全台首次駭客竊資料後挾持半導體大廠京鼎網站

 全台首次駭客竊資料後挾持半導體大廠京鼎網站

2024-01-16 14:53 聯合報／ 記者

馬瑞璿

／台北即時報導

 

鴻海集團旗下半導體設備大廠京鼎遭駭客入侵，不只如此，駭客集團更直接在網站上威脅京鼎客戶與員工，如果京鼎置之不理，客戶資料將會被公開，員工也將因此失去工作。駭客集團駭進上市櫃公司竊取資料時有所聞，但是，第一次有駭客集團在竊取資料之後，直接挾持上市櫃公司網站，召告天下該公司內部資料被竊，這是全台灣第一次。

 

京鼎是鴻海集團旗下子公司，主要經營半導體前段製程設備關鍵模組、半導體自動化設備研發，是台灣重要的半導體上市櫃公司。

 

然而，今日竹科園區企業議論紛紛，因為他們今日進入京鼎公司網站時，赫然發現京鼎網站已然被駭客集團挾持，而且駭客還直接在網頁上留下兩大段訊息，第一段訊息是告知客戶，駭客集團已拿下京鼎的客戶資料，如果京鼎不付錢，那麼，客戶的所有個人資料都將被公開在網路上，第二段訊息則是告知員工，如果京鼎管理階層不與駭客集團聯繫，那麼，駭客將會摧毀京鼎所有的資料，而且這些資料將不能恢復，這恐怕會讓員工失去工作。

 

台灣過去已有許多上市櫃企業遭駭客入侵，大部分企業選擇私下解決，並未對外公開，但也有些企業選擇置之不理，任由駭客將客戶資訊免費公開在暗網，造成許多企業或者個人客戶資訊外流。

 

針對已被勒索軟體攻擊成功的企業，竣盟科技創辦人鄭加海表示，企業不應與犯罪者妥協、不應支付贖金，因為即使支付了，仍有相當大比例的受駭者無法復原資料。

 

另外，攻擊者也不會透露攻擊手段與滲透進入點，這表示被駭者仍有弱點把持在犯罪者手中。針對勒索軟體的橫行，鄭加海建議，企業的應對方式為備份、備份、再備份，也就是落實備份的 3-2-1 法則，才能處變不驚，臨危不亂。

3個原因 生成式AI還沒辦法成為大規模賺錢機器

 3個原因　生成式AI還沒辦法成為大規模賺錢機器

許多人稱2023是AI革命的元年，但「AI革命」可能沒這麼快。為什麼生成式AI還沒辦法成為主流應用？

編譯 田孟心   天下Web only

發布時間：2024-01-04

剛過去的2023年，對世界上的許多人來說，是AI改變一切的一年。Open AI的ChatGPT以及隨之而來的其他文字與圖像機器人，讓人激起了當初網路、iPhone問世的強烈希望。

Google執行長皮蔡（Sundar Pichai）甚至宣稱，AI對人類文明來說，將比火或電的出現更加重要。

然而，即使有這些樂觀情緒，AI實際應用卻可能不如狂熱者期待的那樣快。

「殺手級應用」還沒出現

雖然去年有AI熱潮帶動輝達等公司股票大躍升，但其實對AI公司的投資規模，無法與先前的科技熱潮相提並論。

根據PitchBook的數據，270億美元流入Open AI等私人AI公司，資深科技投資人詹韋（Bill Janeway）分析，「生成式AI投資潮是一次短暫的繁榮，但在融資方面不是多大的一回事。」

他並提醒，這樣的投資匱乏，可能會阻礙AI技術的發展，因為資本更多代表「試錯」更多。

在應用方面，一些有望引領新浪潮的科技公司的表現，降低了人們的預期。例如軟體公司Adobe，股價自去年初以來已經上漲近90%，但年底營收預期卻未達華爾街期望

將AI嵌入軟體產品最徹底的微軟，也在降低預期，稱「Copilot」功能的銷量要到下半年才可能回升。

Salesforce策略長史瓦茲（Peter Schwartz）表示，主要原因有二，第一是大型語言模型仍經常犯錯，最終總還是要一個人類來查證；再來是許多公司缺乏成熟的數據力，那麼就無法好好享受AI的好處。談到數據，有些企業則是怕資料外洩，不願意用AI公司的服務。

此外，價格太高，也是一個限制。舉例來說，微軟應用AI的Office生產力軟體每月30美元，這幾乎使某些人的軟體成本增加了一倍。

綜合這些原因，麥肯錫最近一份報告預估，如果AI技術只是穩定改進而非突破，大規模應用的時間是8到27年。

艾倫人工智慧研究所前所長埃齊奧尼（Oren Etzioni）總結，對於消費者來說，目前還沒有一款高度貨幣化的「殺手級應用」，能將生成式AI變成一個巨大的賺錢機器，「這使得AI類似早期的網際網路，當時免費服務占主導地位，數位廣告很少。」

今年，華爾街將密切關注誰只是盲目打AI牌，誰又真正掌握了商業模式。

仍然是強勢科技

不過，即使AI應用短時間尚不成氣候，但專家強調，這項科技只是起步慢，最終它還是會帶來典範轉移。

高盛分析師預估，AI投資目前緩慢，徘徊在GDP的0.5%以下，但在本十年的後半段，支出將暴增，並在2032年達到GDP的2.5%以上。

而且AI對於一些工作者的衝擊已經來襲。

去年9月的一份研究發現，一家大型顧問公司的高技術白領使用ChatGPT後，員工的績效提高約40%。

目前，幾家科技公司都計劃利用生成式AI來提高員工生產力，這可能會終結多年來這些公司員工數高速成長的局面。

另外一項研究發現，ChatGPT發布後的短短幾個月內，就已經對文案撰稿人和圖像設計師等線上自由工作者的就業機會和收入，產生了負面影響。

事實上，在過去這一年，許多員工已經體會到這種可以幫忙撰寫報告、分析數據的技術有多便利。微軟副總裁斯帕塔羅（Jared Spataro）指出，一旦員工在自己的工作中嘗試生成式AI，他們就不想停下來。

因此，雖然生成式AI還沒有廣泛融入所有企業，投資也不溫不火，但2024年依舊會是更多人改變工作方式的一年。

（資料來源：FT, NYT, Fortune, McKinsey & Company）

製造業不只缺人，圈內人未來還缺 2 技能 調查揭未來工作 3 大洞察

製造業不只缺人，圈內人未來還缺 2 技能 調查揭未來工作 3 大洞察

TO 編輯精選快訊

2024-01-09

能源管理及自動化大廠施耐德電機（Schneider Electric）發布《製造業未來工作型態報告》，提出 3 大關鍵洞察。這份報告為委託全球科技產業調研機構 Omdia，針對來自西歐（英國、德國、法國、義大利、西班牙、丹麥、瑞典）、美國、中國、印度、南亞（越南、泰國、菲律賓）的中小型至大型企業進行調查，共計 407 家。

洞察 1：數位化將創造更多 OT 新工作，同時緩解人才荒

施耐德電機表示，報告顯示，近半數製造業者認為未來三年將出現大量營運技術（OT）全新工作職位，而數位化則是主要推動因素。另外，數位化不僅有利於生產力和整體效率的提升，更重要的是能解決製造業面臨的一些以人為中心的課題。

施耐德電機觀察，全球製造業正面臨著技能危機及人才短缺困境，台灣也不例外，例如如低生育率與少子化，讓製造業者憂心找不到員工的情況將加速。報告中，有超過半數受訪者（52%），認為人才招募與留任已成為一項關鍵挑戰。

不過，報告顯示人才短缺的問題仍然可以克服，而解決方式就是數位化。報告顯示製造業者在克服人力挑戰方面抱持著樂觀的態度── 7 成受訪者認為數位化除了能夠產生出更多全新工作職位之外，也能夠協助緩解人才短缺困境，而有效運用數位工具也將為企業帶來生產力與工作效率的提升。業者可藉此縮減花在管理事務上的時間，讓營運技術人才能更好地發揮潛力。

洞察 2：工作模式轉變關鍵字──永續、OT、品質控制

製造業者除了要面對技能危機之外，隨著企業永續發展目標及先進技術（如人工智慧、數位分身）的逐步推進，日常工作場域也正在快速變革。研究發現，分別有 45%、47% 的受訪者認為製造業者為因應環境與社會永續目標的規範，勢必需要大幅擴展工廠現有的工作角色。

6 成受訪者相信營運技術工作角色，在未來 3 年將出現適度（41%）或顯著（19%）的變化。此外，超過 7 成受訪者也認為數位化將在未來 3 年顯著改變工作的性質。約 3 成受訪者表示，品質控制工作角色將大幅受益於數位化的推進。

報告指出，這是因為數位化改變了營運⼯作⾓⾊的性質和範圍，例如，新技術採⽤將推動了技能提升和再培訓⼯作，⼀些常規任務和流程可能會從⼯作流程中刪除。而數位化也將為某些職務提供遠端和更靈活的⼯作機會，並提⾼⼯作場所的安全性。

洞察 3：製造業者缺 2 大關鍵技能──機器人控制、資料處理

此次調查亦發現，在未來 3 年製造業者將需要更多元化的關鍵技能，其中包括「機器人控制程式編寫與整合」以及「資料處理、視覺化、分析」，而分別有約 5 成與 3 成受訪者表示自己沒有或缺少這方面的技能，也指出會優先在資料處理、視覺化、分析等領域上進行投資。

資料處理技能，被受訪者認為是 OT 勞動力最重要的投資領域，該技能可協助有效處理⼤量數據以⽀援營運策略和決策。資料分析方面，隨著工業物聯網和智慧工廠每天產生大量資料，越來越多產業轉向 AI 智慧解決方案來更好地分析資料，並做出決策。機器人控制程式編寫與整合，可將單調和手動任務自動化，人類的工作，則可以提升至扮演控制機器人的角色。

施耐德電機建議，製造業者應透過工業生態系與合作夥伴關係，充分運用產業間解決方案、教育訓練等，提前讓人才做好準備，以應對未來企業挑戰。

Omdia 表示，為了紓解人才短缺困境與增進企業創新能力，製造業者迫切需要在組織內進行數位化投資，藉以培育現有員工提升技能，並提高企業生產力與效率。

＊本文由 施耐德電機 提供，內文與標題經 TechOrange 修訂後刊登。新聞稿 / 產品訊息提供，可寄至：pr@fusionmedium.com，經編輯檯審核並評估合宜性後再行刊登。圖片來源：施耐德電機提供。

（責任編輯：廖紹伶）

遠傳退出「開放銀行」

 

遠傳退出「開放銀行」，兩大難處忍痛斷捨離！開放銀行是什麼？進度到哪了？

「開放銀行」已發展到第三階段，如今卻有業者直接宣布不玩了，並通知金融機構將從今年4月中旬起，終止開放銀行相關服務，該消息一出，震撼金融界。

楊絡懸 Roshan

 

「開放銀行」（Open Banking）今年已經發展到第三階段，預期將有App一鍵整合使用者的金融帳戶資訊及交易軌跡，如今卻有了新的轉折。

 

身為第三方服務提供者（TSP）之一的遠傳電信，原先希望藉由「friDay理財+」App提供串接銀行帳戶、金融資料整合的理財服務，讓民眾方便查閱個人資料及設立儲蓄的目標。不過最新消息指出， 因金融資安門檻高、維護成本較大，遠傳電信將無法繼續參與「開放銀行」的發展 ，因此直接向合作的金融業者喊暫停。

 

消息一出，震撼金融界並掀起「開放銀行」的發展顧慮，連帶影響其他金融業者、TSP業者的參與意願。究竟「開放銀行」是什麼？為什麼遠傳這時決定放棄發展？

 

為什麼遠傳電信要退出「開放銀行」？遇到哪些難題？

遠傳電信推出「friDay理財+」金融服務App，作為開放銀行第二階段「消費者資訊查詢」的TSP業者。在這個階段中， 遠傳這款App可以提供民眾查詢活期帳戶餘額、交易明細、信用卡帳單、額度資訊等，還提供生活繳費、電子發票等功能，等於是一個App網羅生活上的金融生態圈 。

 

在銀行帳戶整合服務中，目前與遠傳合作的金融機構有11家，包括合作金庫銀行、第一銀行、兆豐商銀、中華郵政、遠東商銀、元大銀行、台新銀行、中國信託銀行、凱基銀行、上海商銀、京城銀行等，將複雜的存款與信用卡帳單，整合在單一App中。

 

不過，遠傳相關「開放銀行」金融服務，將在2024年4月中旬正式退出，根據金融界的說法，主要有2個原因：

 

難處一：金融資安門檻非常高

數位金融創新應用最大的門檻，就是「金融資安必須最高等級」。

 

近年來，金融機構陸續增設資安長、設置資安監控機制（SOC）即時偵測網路異常，但開放銀行的核心概念是「客戶資料共享」，對於提供金融服務的TSP業者而言，最大的挑戰是資安維護及相關運行的成本。

 

難處二：開放銀行短期內沒有成果

另一方面是，目前開放銀行應用下的用戶規模並不多，TSP業者卻要面臨較大的系統維護成本，與其耗費資源，在兩者難處的考量之下，不如先行退出。

 

接下來，遠傳「friDay理財+」是否就此停擺，或者會將金融相關業務全部轉移到「遠傳心生活」App，要等後續官方宣布。

 

遠傳電信向《數位時代》表示，近日提前通知合作夥伴及相關單位，並獲得合作夥伴理解，但遠傳在金融創新的合作未停下腳步，也將研擬推出投資理財、創新網路保險、支付等相關多元的服務及產品。

 

推動開放銀行的金管會則表示，尊重業者的商業考量。但也提醒業者，若TSP業者與銀行終止合作，銀行必須在網站專區公告；另外，TSP業者在結束合作錢，必須在3個月內將資料刪除或銷毀。

 

延伸閱讀：開放銀行第三階段，最快明年上路！什麼是開放銀行？

 

多數民眾的手機上有一堆金融App，每個銀行帳戶都有各自的產品及資訊。

 

為了更方便， 開放銀行的概念就是開放應用程式介面（Open API），讓TSP業者可以串接銀行用戶的金融產品或服務資訊 。簡單來說，民眾未來不必再一個個翻查各銀行的服務內容，而是自由選擇將個人資料、金融交易資料串接在哪一個TSP業者或任一家銀行上，透過該業者推出相關的金融服務App來整合資料，並進行金融交易。

 

台灣已在2019年進入開放銀行第一階段：「公開資料查詢」 ，民眾可以透過第三方平台，了解各家銀行的定存利息、房貸利率、貨幣匯率等資訊。

 

第二階段是「消費者資訊查詢」 ，作為金融帳戶、往來資訊的應用，包括帳戶開戶與附屬業務申請、信用卡及附屬業務申請、消費者個人資料查詢等，像是如果民眾在A銀行填寫過的個人金融資料，可以直接拿去申請B銀行的戶頭，不必再重複填寫。目前有集中保管結算所、遠傳電信2家TSP業者提供服務。

 

今年，開放銀行將進入第三階段「交易資訊」 ，也是最重要的發展階段。

 

未來的場景是，只要經用戶同意，TSP業者就可以將金融帳戶整合，讓用戶透過App連結各銀行帳戶進行轉帳、支付或扣款等資金調度的應用；屆時也將進行開放包括存款、貸款、信用卡、支付及手機門號轉帳等5大類交易資訊，可望在2025年1月前打造出更便利的金融生態圈。

 

如今，遠傳電信退出開放銀行TSP業者，僅剩下集中保管結算所一家，屆時相關金融機構要轉往集中保管結算所簽約，才能繼續參與「開放銀行」第二階段的服務內容。至於「開放銀行」後續將如何發展，其他業者評估後會不會更持保留態度、民眾未必有意享受「一鍵串接」的服務，恐怕將成為停滯不前的徵兆。

原文網址：https://www.bnext.com.tw/article/77996/fet-open-banking-new-challenge?bx_heid=6709912390&utm_source=%e6%95%b8%e4%bd%8d%e6%99%82%e4%bb%a3&utm_campaign=SF_RSS_CAMPAIGN&utm_medium=email

公務機關機密文件將禁用生成式AI

《各報要聞》公務機關機密文件將禁用生成式AI

 

時報資訊

2023年7月20日

【時報-台北電】生成式人工智慧（AI）快速發展，例如ChatGPT，已對全球發生巨大影響，雖然可以提升工作效率，但也有侵權疑慮。國科會發布「行政院及所屬機關（構）使用生成式AI參考指引（草案）」，明訂公務機關製作機密文書禁用生成式AI，若作為執行業務或提供服務輔助工具時，應適當揭露。學者認為，民間單位也應該參考國科會的指引，慎防企業機密、個資外流。

 

生成式AI熱潮襲捲全球，帶來一體兩面的衝擊，有人主張政府應對AI的應用有所規範，產業界則希望政府不要管太多。國科會主委吳政忠18日受訪時說，生成式AI變化速度很快，太趕著提出相關法規，反而可能綁住產業發展機會，因此在人工智慧基本法出爐前，先釋出對公部門的指引，並觀察國際立法趨勢。

 

國科會公布指引 使用應揭露

 

這份公部門使用生成式AI參考指引包含3重點，第1，如果使用生成式AI做為執行業務或提供服務輔助工具時，應適當揭露；第2，製作機密文書資料應由業務承辦人員親自撰寫，禁止使用生成式AI；第3，各機關不可完全信任生成式AI產出的資訊，也不得以未經確認的產出內容，直接作成行政行為或作為公務決策的唯一依據。

 

國科會科技辦公室執行祕書沈弘俊表示，生成式AI蒐集資訊能力強大，如果公務員去問問題，一不小心就會洩露政府機密。例如，國防部若有人去問軍事相關問題，丟出一些資料後，就會被AI蒐集，萬一「對岸」再上去問類似問題時，就會取得我方資訊，那就很麻煩。

 

沈弘俊指出，包括歐盟、加拿大及中國大陸等都在研擬人工智慧相關草案，尚未有國家訂出法律。國科會先訂出使用生成式AI的指引，供公務機關執行業務時參考。

 

學者建議 民間單位也應訂定

 

元智大學資管系主任禹良治說，民間單位也應參考國科會所訂的指引，因為生成式AI的雲端資料庫，會蒐集使用者輸入的資料，如果提問內容具機密性，相當於是將自己的機密送給這家生成式AI公司，風險很大。

 

陽明交大應數系教授李育杰說，曾有韓國三星員工使用ChatGPT，卻造成該公司資料外洩。同樣的，我國官員出訪，若政府部門人員去GhatGPT詢問到訪國家資訊，可能會洩漏官員行蹤，引發難以預料的事。

 

李育杰指出，生成式AI具有翻譯功能，假設台積電有人將2奈米製程資料放上ChatGPT，要求將中文翻成英文，這就可造成重要商業機密外洩，因此台積電對員工使用ChatGPT就有規範。

 

李育杰表示，人工智慧進步得太快，「我們都很驚訝」，人們覺得使用生成式AI很便利的同時，也要知道它的副作用，否則很容易造成機密、個資外洩。他認為，國科會訂的參考指引，可以喚起公民意識，民間單位也會察覺到使用生成式AI的可能風險，並進一步防範。

 

花蓮縣府 已用AI草擬新聞稿

 

目前在地方政府中，僅花蓮縣府用AI擬新聞稿、講稿，另有高雄市議員郭建盟6月總質詢時，破天荒以ChatGPT質詢，要求高雄市長陳其邁重視少子化危機，但涉及範圍均非機密文件。各縣市政府都表示，將遵照國科會指引使用新興科技工具，桃園市府則已制定相關管理規範草案，方向與國科會相同。

 

國科會表示，在研擬的《人工智慧基本法》草案中，包括AI法律名詞定義、隱私保護、資料治理、AI風險管控、AI倫理原則規範、產業推動，以及AI應用遵法與合法性等7面向。(新聞來源：中國時報─記者林志成、柯宗緯、王志偉／連線報導)

幣圈首家！鴻翰創意違反洗錢防制法 金管會祭出50萬元罰單

 幣圈首家！鴻翰創意違反洗錢防制法　金管會祭出50萬元罰單

 

記者陳瑩欣／台北報導

 

首宗虛擬通貨平台裁罰案出現！金管會證期局今（3）日公告，從事虛擬通貨平台業務的鴻翰創意有限公司從事相關業務，卻沒有做好洗錢防制申報工作，在衡酌調查局與台南市政府警察局第二分局移送資料後，決定對該公司祭出50萬元罰鍰。

 

金管會指出，針對相關爭議案件，鴻翰創意坦承不諱，因此將裁罰定在50萬元。金管會同時要求鴻翰公司要在1～2個月內完成洗錢防制法令遵循聲明，不排除可以重複罰。

 

官員指出，2023年10月11日發函要求鴻翰創意於同年11月10日前完成申報洗錢防制法令遵循聲明，不過公司未補行申報，因此挨罰。

 

證期局表示，鴻翰創意有限公司是在經濟部註冊的公司，登記的從業項目中有包括虛擬通貨平台業務，依照虛擬通貨平台及交易業務事業防制洗錢及打擊資恐辦法規定，只要有從事到虛擬通貨平台業務就要向金管會完成洗錢防制聲明申報，但這家公司沒有依照規定申報，因此開罰50萬元。

 

 

 

原文網址: 幣圈首家！鴻翰創意違反洗錢防制法　金管會祭出50萬元罰單 | ETtoday3C家電新聞 | ETtoday新聞雲 https://www.ettoday.net/news/20240103/2656768.htm#ixzz8Nl5jhl9Z