駭客入侵大型證券交易所高層電子郵件帳號，潛伏5個月竊取商業情報

來源：https://www.ithome.com.tw/news/176375

對駭客來說，比起在企業中橫向移動、大規模擴散，若有辦法控制單一高階主管的郵件帳號，或許能藉此獲取更高的價值。Broadcom旗下Symantec與Carbon Black團隊，近日揭露一起鎖定全球大型證券交易所的網路間諜活動，攻擊者成功入侵高階主管電子郵件帳號，並在長達5個月的期間持續竊取郵件資料。

研究團隊指出，這次攻擊的初始入侵途徑仍然不明，相關跡象最早可追溯至2025年10月，此時攻擊者已取得SYSTEM權限，並部署偽裝成Adobe Acrobat Reader與OneDrive元件的惡意程式，用於展開後續攻擊活動。接著攻擊者利用合法.NET函式庫Aspose，將Outlook OST郵件資料轉換為PST格式後，分割為小型增量檔案，透過Dropbox與OneDrive持續分批外傳，每次僅傳輸少量資料，資安軟體並未因此察覺異狀。而在整個網路間諜活動期間，攻擊者每隔數週就會透過重新建立與執行排程工作，維持惡意程式的運作不間斷。

研究團隊表示，在5個月的時間中，攻擊者始終專注於逐步竊取單一Outlook信箱的內容，但證券交易所高階主管的郵件帳號本身就是極高價值的目標，其中內容足以讓攻擊者建構出組織發展方向等重要商業資訊，而無須進一步橫向移動。

'

惡意NPM套件藉自動化流量灌水下載量，偽裝成活躍維護專案

來源：https://www.ithome.com.tw/news/176373

許多開發者會以開源套件的下載量作為可信度參考，但這類指標也可能遭到攻擊者操弄。資安業者Tenable揭露一種名為download pumping的NPM套件操弄手法，攻擊者會在短時間內大量發布套件新版本，藉此觸發套件庫鏡像站、安全掃描器與分析機器人等自動化系統下載，拉高下載次數與版本歷史，讓惡意套件看起來像是持續維護、具有使用基礎的專案。

研究人員在惡意套件ambar-src案例中發現，攻擊者曾在兩小時內密集發布428個看似正常的版本，3天後才上傳含有惡意程式碼的新版本，該套件後來累積至724個版本，下載量也被推升至約5萬次。

這項研究顯示，下載量、更新頻率與版本數量等指標，並不足以單獨作為判斷開源套件是否可信的依據。Tenable指出，許多開發者與安全工具仍會參考NPM套件的下載統計、版本歷史與維護活躍程度，快速評估套件可信度，但這些看似正常的訊號其實都可能被刻意製造。

研究人員建議，企業除了檢查套件維護者背景、原始碼內容與相依關係，也應建立完整的套件資產清單與環境監控機制，持續留意異常更新行為。企業也可採取版本釘選策略，對新套件或新版套件設定3至4天等待期，再允許導入環境，並採用一次性CI/CD執行環境、限制建置流程對外連線，以降低惡意套件進入軟體供應鏈後，竊取權杖或機密資料的風險。

'

導入Caliptra 2.x安全架構，信驊於Computex 2026積極展現晶片級資安布局，PQC支援亦成焦點

來源：https://www.ithome.com.tw/news/176369

硬體安全持續成焦點，以伺服器管理晶片BMC產品聞名全球的臺股股王信驊科技，在本週舉行的Computex展示以Caliptra安全架構為核心的產品布局。Caliptra是由OCP（Open Compute Project）主導的開源硬體信任根標準，信驊這次展出的多款新一代產品，也使其成為全球首家將Caliptra 2.x版本整合至晶片的廠商，宣示資安防禦已從軟體層全面深化至晶片層，該公司並預期，未來有更多廠商也會跟進，進一步加速硬體安全的演進。

在Caliptra 2.x版本的導入下，信驊新款晶片透過整合的PUF技術，於生產階段賦予每顆IC獨一無二的身分識別碼，之後即可經由HSM硬體安全模組簽署生成憑證，隨後燒錄至晶片組內的OTP（One-Time Programmable）記憶體中，使其成為不可變更且不可置換的唯一身分證明。而且，新版本亦全面支援後量子密碼學（PQC），確保伺服器韌體在未來量子運算時代，仍能防範韌體遭竄改。

信驊科技雲端產品業務處副總經理關超成表示，這次展出有3大焦點，分別是衛星管理控制器晶片（SMC）AST1040、SMC+eFPGA輔助管理晶片AST1840 ，以及平臺信任根晶片（PRoT）AST1080，它們都將內建Caliptra 2.x版本的安全架構，透過硬體層級安全機制提供韌體保護與實體防篡改能力，同時支援PQC演算法。

關超成進一步解釋，先前信驊產品如AST2700系列已採用Caliptra 1.2版，當時同樣是業界最早導入，但1.2版與2.x版最大的差異，在於對PQC演算法的完整支援。具體而言，Caliptra 1.2版僅支援LMS演算法，而升級至2.x版後，則全面支援ML-KEM（FIPS 203）與ML-DSA（FIPS 204）等符合NIST標準的演算法。

至於為何標註為Caliptra 2.x版，是因為Caliptra 2.1版在去年底正式推出，而Caliptra 2.2版預計於明年發布，信驊新款IC將視量產時程而更新版本。

Caliptra 2.x版不僅支援LMS，更是新支援NIST最新PQC演算法標準，包括ML-KEM（FIPS 203）與ML-DSA（FIPS 204）。

根據信驊現場人員說明，這次展出以Caliptra安全架構為核心，包括2024年Computex發表的第八代遠端伺服器管理晶片AST2700，以及這次的重點產品AST1040 SMC、AST1840 SMC+eFPGA輔助管理晶片，以及AST1080平臺信任根晶片，均全面導入Caliptra 2.X版本，以因應資料中心對資安更為嚴苛的要求。

這些新一代晶片還有哪些特色？關超成指出，隨著日益興起的AI高密度運算架構，單一機櫃內的節點數量大幅增加，傳統單節點管理已難以負荷。因此信驊推出多節點管理架構。例如，由BMC協同AST1040與AST1840等SMC管理控制器，實現一對多管理。

以AST1040為例，可透過支援OBMF ICP over USB標準來進行多節點管理。當中的OBMF，是開源啟動與管理框架（Open Boot and Management Framework）的簡稱，信驊表示，這是OCP從2025年開始推廣的重點規格。

另一款是首次公開亮相的AST1840輔助管理晶片。信驊表示，繼去年發表將AST1700與Lattice的FPGA組成ASIC的整合型架構，後續考量資安需求，FPGA雖可獨立啟動，但其過程缺乏額外的驗證，因此與CSP客戶討論出新方案，更進一步將Caliptra的RISC-V核心結合於ASIC中。換言之，在AST1840啟動時，韌體會先驗證FPGA韌體，等到完成通過身分驗證的程序，才執行後續動作。此外，AST1840亦承襲AST1040的管理、監控與安全功能。

至於AST1080，是AST1060的下一代產品，最大特色是支援分散式管理工作小組（DMTF）定義的SPDM與PLDM標準協定。一般而言，SPDM協定負責硬體安全與身分驗證，PLDM協定則用於硬體管理與資料交換。同時，AST1080也延續上一代功能，相容NIST 800-193安全標準，並可運行OCP OpenPRoT開源工作小組所開發的軟體套件，為伺服器平臺提供更嚴密的信任根防護。

'