北韓駭客BlueNoroff利用會議網釣套件從事ClickFix攻擊，散布惡意軟體、竊取加密錢包資產

來源：https://www.ithome.com.tw/news/177761

資安公司Jumpsec指出，他們近期分析北韓駭客組織BlueNoroff（APT38、TA444、Sapphire Sleet）的網釣套件原始碼，還原駭客冒充Zoom與微軟Teams會議的ClickFix攻擊流程，揭露Windows與macOS作業系統的惡意程式感染鏈。這項調查源自於BlueNoroff操作員不慎暴露的基礎設施當中，存放的JavaScript原始映射資料（source maps）。Jumpsec強調，駭客並非使用單純的Zoom假會議當作誘餌，而是先滲透受害者平常信任的業界聯絡人，然後透過社交工程、加密貨幣資產偵察，以及惡意軟體，打造出能夠重複犯案的攻擊流程。

值得留意的是，攻擊的起點並非隨機發送的釣魚信，而是受害者原本就已經認識且信任的產業人脈帳號。在其中兩起事故裡，攻擊者使用遭入侵的加密貨幣圈知名人士的Telegram帳號，主動聯繫大型企業的高階員工，邀請對方加入Zoom或Teams會議討論業務。由於發送帳號本身貨真價實、雙方過去確實有實體會面或長期互動的信任基礎，無法透過檢查寄件者的方式察覺異狀。

再者，假如被植入惡意程式的受害電腦執行網頁版或電腦版Telegram，該加密通訊軟體的連線階段（Session）就可能遭竊，駭客將濫用受害者的人脈發動下一輪攻擊。

'

ChatGPT首度成前十大網釣冒充品牌

來源：https://www.ithome.com.tw/news/177759

一般來說，為了讓使用者降低警覺，攻擊者往往會冒用知名品牌從事網路釣魚活動，其中最常被冒用的大多是科技龍頭，但隨著AI融入你我的生活，有許多駭客也看上這一點，選擇冒充知名AI工具從事網路犯罪。

最近資安公司Check Point公布的2026年第二季網釣冒充品牌研究，就突顯了這樣的態勢。微軟是最常見被冒充的品牌，占所有同類型活動約23%，若是加上其他4個經常被冒充的科技品牌：LinkedIn、Google、蘋果，以及Amazon，相關的網釣活動超過整體的一半。

比較特別的是，Check Point特別提及，OpenAI旗下的ChatGPT首度被列入前十大榜單，這代表攻擊者的注意力出現強烈變化的訊號，由於有不少人已將AI用於工作及日常生活，甚至進一步付費訂閱，使得這些品牌對攻擊者而言，開始如同大型銀行或科技公司，成為具有高度吸引力的目標。Check Point認為，未來幾季將會有更多AI平臺入榜。

'

Perplexity開源Numbat，在端點監控AI代理行為並攔阻高風險操作

來源：https://www.ithome.com.tw/news/177757

Perplexity開源AI代理端點資安工具Numbat，可在macOS、Linux與Windows監控程式開發代理的執行行為，在代理嘗試高風險操作時加以阻擋，並保留紀錄供資安人員調查。Perplexity表示，Numbat已部署於自家數千部端點，支援Claude Code、Codex、OpenCode與Pi。

過去AI代理安全研究多集中於提示注入，但Perplexity指出，具備較高自主性的代理即使未遭惡意輸入，也可能在找不到檔案、API呼叫失敗、憑證過期或權限遭拒時自行尋找替代方法，執行未經使用者預期的系統偵察、權限變更、尋找機密資訊或資料外洩。

Numbat是以Go編寫的靜態執行檔，透過代理框架的Hooks、工作階段紀錄及OpenTelemetry遙測取得事件。動作執行前Hook可在代理動作執行前套用規則並加以阻擋，而工作階段紀錄則能重建代理與模型的對話及操作時間線，也可分析安裝Numbat前已留存在端點上的紀錄。OTLP接收服務預設僅在本機localhost運作，管理者可選擇留在裝置處理，或送往集中式分析系統。

Numbat內建52項規則，涵蓋11類行為及多步驟事件關聯，包括機密存取、資料外洩、權限提升與橫向移動，例如可偵測代理修改sudoers設定、使用visudo或嘗試建立NOPASSWD權限，也能比對代理先從機密管理工具讀取資料，後續再透過curl或wget發出帶有資料的對外請求，將這類事件組合列為需要調查的行為。

Perplexity透過裝置管理系統部署Numbat，並由Perplexity Computer定期檢查偵測結果、重建相關工作階段及提出規則調整建議，再交由人員審查。Numbat目前以開放原始碼形式提供，支援macOS、Linux與Windows。

'

DoorDash取得FAA認證，成立無人機外送部門

來源：https://www.ithome.com.tw/news/177758

外送平臺DoorDash周三（7/29）宣布，已取得美國聯邦航空總署（FAA）的Part 135航空承運人認證（Part 135 Air Carrier Certification），成為美國第8家取得這項認證的無人機營運商，並正式成立自營無人機外送部門DoorDash Air。該公司預計今年秋季開始商業配送，但尚未公布首波服務地區。

DoorDash成立於2013年，核心業務是透過平臺媒合餐廳、商家、消費者與外送員，目前服務範圍已由餐飲擴及生鮮雜貨、零售商品及藥品等在地商務。在DoorDash之前，美國已有7家無人機營運商取得Part 135航空承運人認證，包括Alphabet旗下Wing Aviation、UPS旗下UPS Flight Forward、Amazon Prime Air、Zipline、Causey Aviation Unmanned、DroneUp及Drone Express。

Part 135認證須經過5階段審查，確認航空器適航性、維修計畫及安全程序等項目，取得此一證書後，DoorDash才能以航空承運人身分在美國經營收費的商業無人機外送服務。不過，若要讓無人機在操作員視線以外自主執行較長距離配送，仍須另行取得FAA的超視距飛行（Beyond Visual Line of Sight，BVLOS）許可。

DoorDash將自行設計及製造無人機，並接入既有的Autonomous Delivery Platform，由系統依據訂單距離、速度及配送條件，即時決定交由外送員、地面配送機器人Dot或無人機執行。該公司過去已採用Wing及Flytrex的無人機提供外送，未來仍會與兩家公司合作。DoorDash預計今年稍晚公布自製無人機的載重、航程及飛行速度等規格。

根據DoorDash的統計，該平臺去年有超過20%的訂單配送距離為3至5英里（約4.8至8公里），平均配送時間比短程訂單長近25%，主要原因是中程訂單較難媒合外送員。公司希望把部分中程訂單交由無人機處理，讓外送員集中承接較短且密集的訂單。此外，外送員目前仍將負責絕大多數訂單，尤其是必須進入公寓或配送大型餐點等自動化載具不易處理的任務。

'

供應鏈攻擊SleeperGem鎖定RubyGems用戶，入侵多年未活動的維護者帳號而得逞

來源：https://www.ithome.com.tw/news/177756

鎖定NPM、PyPI、Visual Studio Code（VS Code）套件的供應鏈攻擊不時傳出，然而有人將相關手法用於RubyGems，引起資安公司的注意。

近日資安公司Aikido Security指出，他們發現名為git_credential_manager的新Gem套件，在短短的數個小時內發布4個版本，這種不尋常的現象引起該公司注意，此套件會從Forgejo執行個體代管的Git儲存庫下載二進位檔，研究人員將檔案傳送至VirusTotal，結果發現防毒引擎將其視為有問題，並循線繼續調查。由於攻擊者入侵了閒置長達6至7年的維護者帳號，將惡意程式碼植入原本受到信任的套件，Aikido Security將這波攻擊命名為SleeperGem。

該公司分析攻擊者上傳的4個版本git_credential_manager，指出這些版本在9個小時內發布，其中最早的2.8.0版是完整的惡意程式下載工具，在關閉TLS憑證驗證機制的情況下，從Forgejo主機取得惡意酬載，並透過PowerShell或其他的Shell執行；接著，他們在半小時內發布2.8.1版，這次只有為Unix受害主機微調，讓惡意行為不會在終端機輸出。

大約間隔8個小時後，攻擊者上傳2.8.2、2.8.3版，將下載器功能直接與載入的路徑連接，使得開發人員只要在Ruby語言以外部套件的方式載入，就能觸發惡意行為。Aikido Security後續檢查受害的維護者帳號，結果發現攻擊者也滲透另外兩個套件Dendreo、fastlane-plugin-run_tests_firebase_testlab，使得這些多年未更新的套件，在SleeperGem活動的時間點突然出現新版。其中的fastlane-plugin-run_tests_firebase_testlab累計下載超過57萬次，且由另一個維護者經營，因此攻擊者很顯然入侵了至少兩個長期閒置的維護者帳號。

'

美國能源部攜手Brookfield、NextEra，打造1000億美元AI資料中心園區

來源：https://www.ithome.com.tw/news/177754

美國能源部周三（7/29）宣布，將與Brookfield、NextEra Energy及當地電力業者合作，在肯塔基州西部的帕迪尤卡（Paducah）場址開發AI資料中心及能源園區，民間投資規模超過1000億美元。園區將分階段興建及投入運作，預計2032年全面建成，並創造約8000個營建工作及600個永久職缺。

Brookfield與NextEra在聯合新聞稿中指出，帕迪尤卡場址建於1950年代，過去用於生產濃縮鈾，2013年停止運作。由於當地已有輸電、供水、光纖、道路及大片可用土地，美國能源部去年11月公開徵求開發方案後，選定Brookfield承租土地，負責開發及營運資料中心；NextEra則負責興建並持有配套能源設施。

Brookfield是全球大型另類資產管理公司，管理資產超過1兆美元，業務遍及30多個國家，投資領域涵蓋基礎建設、能源、房地產、私募股權及信貸，近年也積極布局AI資料中心與配套電力設施。NextEra Energy則是北美最大的電力與能源基礎建設公司。

NextEra計畫在園區內或附近興建最高2GW天然氣發電設施、升級既有輸電設備，並部署最高放電功率2.6GW的電池儲能系統，以調節尖峰需求及穩定供電。相關能源設施將配合資料中心逐步啟用及用電需求增加，分階段投入運作。

園區全面建成後，整體用電負載最高可達1.8GW，其中超過1.2GW將供AI伺服器等運算設備使用，其餘用於冷卻、網路及其他設施。天然氣發電設施所發電力若超過園區需求，多餘電力可送入區域電網。

這項計畫將由民間資金支應，但官方尚未公布各參與者的出資金額。Big Rivers Electric Power將提供批發電力，Jackson Purchase Energy Cooperative負責零售供電。計畫仍須完成正式合約，相關供電協議也須取得肯塔基州公共服務委員會批准。

'

Microsoft 365用戶自動續訂較高價Copilot方案，英國啟動消費者調查

來源：https://www.ithome.com.tw/news/177753

英國公平競爭及市場管理局（CMA）宣布調查微軟，釐清Microsoft 365 Personal與Family方案加入Copilot等功能後，是否未在續訂前充分告知既有用戶可選方案及價格差異，讓部分消費者在未充分了解選項的情況下，自動續訂價格較高的方案。

微軟自2025年1月起，讓既有Microsoft 365 Personal與Family訂戶在原訂閱期間免費取得Copilot等新增功能。訂閱期滿後，用戶若未主動選擇其他方案或取消訂閱，便會續訂包含新增功能的較高價方案。微軟同時停止向新用戶提供未包含這些功能的Personal與Family方案。

對既有訂戶，微軟曾限時提供Classic方案，保留變更前的功能及價格。Microsoft 365 Personal Classic年費為59.99英鎊，包含Copilot等功能的Personal方案為84.99英鎊，而Family Classic年費為79.99英鎊，新方案則為104.99英鎊，兩種年繳方案價差均為25英鎊，約新臺幣1,100元。

CMA將檢視微軟在續訂前提供的通知，是否清楚交代各方案內容、價格差異及可選方案，讓用戶能在掌握必要資訊後決定續訂、改用Classic方案或終止訂閱。CMA目前尚未認定微軟違反消費者保護法。

CMA自2025年4月起取得消費者保護法的直接執法權，不必先經法院即可判定企業是否違法。若企業違法，CMA可處的最高罰款為全球營業額10%，要是30萬英鎊高於這項金額，則以30萬英鎊為最高罰款。

澳洲競爭與消費者委員會已就類似爭議向聯邦法院提起訴訟，義大利競爭管理局也在調查微軟是否提供足夠資訊，讓消費者判斷是否續訂，以及相關做法是否構成侵略性商業行為。

'

駭客對SonicWall防火牆發動憑證填充攻擊，2天內逾30家企業組織受害

來源：https://www.ithome.com.tw/news/177752

資安業者Huntress發現一起針對SonicWall VPN和防火牆發動憑證填充（credential stuffing）攻擊以驗證受害用戶憑證，在兩天內入侵了30家企業用戶系統，廠商警告駭客可能正在籌劃下一波更大的行動。

這家資安業者7月25日偵測到對SonicWall系統登入頁的異常登入要求。這起攻擊行動是一宗大範圍隨機攻擊，而非鎖定單一對象。攻擊者大範圍對不相關組織的SonicWall遠端存取入口網站送入憑證，進行系統性驗證。這方法旨在將受害帳號最大化。

Huntress團隊在監測時，發現登入行動集中某個特定的自治系統編號（ASN）。經過分析，這起行動源自5個於DigitalOcean註冊的IP位址。包括157.245.88[.]153、162.243.31[.]111、167.71.150[.]1、209.97.151[.]148、64.227.15[.]20。

研究人員未偵測到人為操作的跡象。他們推測，這代表攻擊者目前還處於自動化批次驗證、收集有效憑證的階段，可能是在為下一波更大規模的攻擊進行前置準備。

研究人員比較了這次攻擊和今年稍早、去年對SonicWall VPN產品的攻擊行動，發現有些受害帳號是相同的。例如有4個帳號也在今年5月22日那次事件遭駭。這意味著這些組織沒有在第一時間進行徹底的密碼重設與MFA（多因素驗證）強制實施，導致外洩憑證在駭客交易或流通後被反覆利用。

在防禦措施方面，研究人員建議企業強制啟用多因素驗證（MFA）、立即重設所有金鑰與密碼以及LDAP/RADIUS等整合認證金鑰、關閉或限制從外網直接存取防火牆的HTTP/HTTPS/SSH介面，並封鎖DigitalOcean的惡意IP，同時檢查歷史登入日誌。

'

資安業者盤點全球暴露於IPMI漏洞風險的伺服器，臺灣也有319臺入列

來源：https://www.ithome.com.tw/news/177751

資安業者Lava近日盤點全球暴露於網際網路的伺服器BMC管理介面，發現超過2.4萬臺伺服器存在IPMI 2.0認證弱點CVE-2013-4786，其中臺灣也有319臺。

Lava的掃描顯示，全球有36,872臺伺服器的IPMI管理介面暴露於網際網路，其中24,650臺伺服器的BMC控制器會在登入前回傳驗證資訊，因此存在CVE-2013-4786涉及的離線密碼破解風險。從受影響的國家來看，美國的比重最大，有超過1.4萬臺伺服器的BMC暴露，其次是德國與中國，各有3,281臺與3,052臺，臺灣也有319臺，在亞洲地區僅次於中國、南韓與印度。

就受影響伺服器的應用面向來看，裸機託管服務（Bare-Metal Hosting）占比最高，其次為企業基礎架構，電信與ISP，大學與研究機構，金融，以及政府機構。

而從受影響的伺服器BMC管理平臺來看，以Supermicro為最大宗，占總數的50.4%，其次是Dell iDRAC與HPE iLO，各占15.3%與8.0%，然後是永擎（ASRock Rack），占3.0%，其他包括Lenovo XClarity、Fujitsu iRMC 、OpenBMC與AMI MegaRAC SP-X在內則合計占23.3%。

Lava也以當前GPU運算能力為基準，檢驗不同BMC密碼強度面對離線暴力破解的抵禦能力，共享的出廠預設密碼（Shared factory default）幾乎可立即破解，毫無抵禦能力，HPE iLO的預設8字元密碼也只需35秒就能破解，即便是SuperMicro預設的10字元密碼也支撐30分鐘，只有長度更長、更隨機且定期輪換的密碼，才能提供較佳的防護。

'

俄羅斯駭客Laundry Bear攻擊Exchange用戶，藉由半點擊漏洞散布惡意程式OWAReaper

來源：https://www.ithome.com.tw/news/177749

上週五眼聯盟與歐洲多國對俄羅斯駭客Laundry Bear（Void Blizzard、CL-STA-1114、TA488）的網路間諜活動提出警告，駭客鎖定郵件協作平臺Zimbra Collaboration Suite（ZCS）已知漏洞從事攻擊，參與這波活動調查的威脅情報公司Proofpoint指出，這些駭客在聯合公告發出前夕，已改用另一個資安漏洞從事攻擊。

7月29日Proofpoint指出，Laundry Bear從7月22日開始濫用Exchange重大漏洞CVE-2026-42897，攻擊美國與歐洲的政府機關，以及電信、金融、旅遊、航空與航太產業。此漏洞微軟最初於今年5月中旬公布，並在6月例行更新（Patch Tuesday）修補，它是跨站指令碼（XSS）漏洞，出現在網頁信箱介面Outlook Web Access（OWA），Proofpoint指出這也和該組織先前利用的弱點類似，都是半點擊型態漏洞，只要收信人開啟信件，埋在信件的惡意程式碼就會自動執行，最終於受害電腦植入惡意程式OWAReaper，以此建立長期存取的管道。值得留意的是，駭客使用的基礎設施於今年3月建置，這代表他們掌握CVE-2026-42897的時間點，應該早於微軟公布及修補的時間。

針對惡意程式OWAReaper，由於它運作於OWA的瀏覽器介面，因此不會在受害電腦留下足跡，此惡意程式的C2通訊頻道與資料外洩管道各有兩種，能夠在瀏覽器重新啟動、憑證輪換，甚至是受害電腦重新部署映像檔的情況下留存。

'