致長期關注奧義智慧的您：

謝謝您長期以來的關注，為了提供更優質的閱讀體驗與網站服務，奧義智慧 Medium 即日起正式停止更新，最新文章與過往精選已同步搬遷至官方網站。未來在官方網站，將持續提供奧義智慧的最新消息與威脅情資技術分享，邀請您至官方網站繼續關注奧義智慧！

👉 點擊前往官方網站：https://www.cycraft.com/blog

【重要公告】奧義智慧 Medium 停止更新 邀請您移步官網 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

Dear Readers,

Thank you for your long-term support. To provide a better reading experience and enhanced services, CyCraft Medium will cease every upgrade from today; latest articles and past highlights have already been migrated to our official website. For future news and threat intelligence, please check our official website. We look forward to inspiring you there!

👉 Visit CyCraft Official Website: https://www.cycraft.com/en/blog

[Notice] CyCraft Medium Relocation: Visit Our Official Website was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

• Data breaches in healthcare and biotech now result in operational, legal, and reputational damage with long-term consequences for business operations, legal standing, and public trust.
• Case studies from 23andMe and CrazyHunter show how missed warning signs can lead to collapse.
• This article provides guidance for CISOs and executives to lead a proactive defense rooted in early detection, regulatory readiness, and strategic resilience.

It only takes one missed signal to trigger a crisis. In healthcare and biotech, that crisis can put patient safety at risk, stall innovation, and erase public trust. These sectors are high-value targets, and attackers know their value better than many defenders.

The challenge is compounded by operational complexity, legacy infrastructure, and a regulatory environment that grows more demanding each year. Cybercriminals are adapting faster than organizations can respond, and the consequences of falling behind are steep.

Consider the case of SingHealth, Singapore’s largest healthcare provider. In 2018, the organization failed to act on early signs of intrusion. According to the Committee of Inquiry, a senior manager delayed reporting the attack due to fear of internal pressure. This hesitation allowed attackers to exfiltrate the personal records of 1.5 million patients, including prominent national figures.

The breach prompted a national investigation and a systemic overhaul, but the damage, both reputational and operational, was already done. The incident underscored the critical importance of early detection and internal accountability in sectors where the stakes are especially high.

This article examines why healthcare and biotech remain top targets for cyberattacks, what recent high-profile breaches reveal about blind spots in leadership and response, and how, in places like Taiwan, these lessons are especially timely as regulatory changes demand stronger accountability and faster action.

Early detection and proactive coordination can make the difference between disruption and disaster.

Why Healthcare and Biotech Are High Value Targets

Healthcare and biotech organizations operate in a uniquely high-risk environment. They manage vast volumes of sensitive patient data and proprietary research while delivering services that require uninterrupted access and reliability.

Their digital ecosystems are often sprawling and built on outdated infrastructure, making visibility patchy and vulnerabilities harder to control. Many systems were never designed with modern cyber threats in mind, leading to inconsistent security coverage and exploitable gaps across both clinical and research operations.

Key risk factors:

• Sensitive data. Patient records, genomic data, and clinical trial results are highly lucrative.
• Service uptime. Downtime is unacceptable, making ransomware an effective pressure tactic.
• Legacy infrastructure. Many systems lack basic protections, making exploitation easier.
• IP exposure. Biotech companies are attractive to corporate and state-backed espionage.
• Regulatory exposure. Global and local privacy laws impose steep penalties for breaches.

The average healthcare breach costs nearly $10 million, more than any other industry. The damage extends beyond immediate recovery costs, threatening long-term viability, investor confidence, and stakeholder trust.

To meet these challenges, healthcare and biotech organizations must prioritize early warning capabilities and reduce entry points before attackers strike. External and Internal Attack Surface Management (EASM and IASM) provide the visibility needed to detect vulnerabilities and respond quickly.

While Endpoint Detection and Response (EDR) still plays a role, it is reactive and often misses credential stuffing or weak-password logins. A layered defense centered on EASM and IASM is now essential to prevent threats from escalating into crises.

Recent high-profile breaches show what happens when that visibility is lacking, offering cautionary lessons in how operational gaps can rapidly spiral into strategic failure. One of the most devastating examples comes from a company that once seemed poised to lead its field.

The 23andMe Breach that Exposed a Bigger Problem

In 2021, 23andMe entered the public market with a wave of optimism, reaching a peak valuation of $6 billion. By 2023, that optimism had unraveled. Attackers gained access to customer accounts using reused passwords, exposing the genetic and personal data of 7 million users. The breach went undetected for five months.

The following year, under mounting legal pressure and public scrutiny, 23andMe agreed to a $30 million settlement. But the damage was done. In March 2025, the company filed for bankruptcy, and its CEO stepped down. What began as a silent breach ended in collapse, a stark reminder of what can happen when detection fails and leadership is unprepared.

The attack siphoned highly personal data including ancestry and relationship information. Customers, regulators, and investors lost confidence. The downfall accelerated quickly, leaving the company with no chance to rebuild.

What executives must learn:

• Dwell time kills. Undetected threats cause exponential damage.
• Trust is fragile. Public confidence is hard to earn and easy to lose.
• Security is survival. A breach is no longer just an incident. It is an existential risk.

This event shows just how quickly a single point of failure, like credential reuse, can spiral when left unaddressed. It is a timely reminder for organizations to evaluate their detection capabilities and ensure they can act before an attacker gains momentum.

While global examples offer important lessons, regional cases provide context that is even more relevant to organizations operating within similar systems, technologies, and regulatory expectations.

CrazyHunter

In early 2025, a ransomware group known as CrazyHunter began targeting organizations in Taiwan, including hospitals, universities, and manufacturers. The group assembled its attack toolkit almost entirely from open-source tools, using platforms like GitHub to access malware builders and evasion techniques.

One of their most damaging tactics involved exploiting legitimate but vulnerable software drivers to bypass endpoint protections. Their ransomware campaigns encrypted critical systems and left notes demanding payment, with multiple Taiwanese victims listed on their leak site.

Key takeaways for executives:

• Open-source exploitation. Publicly available tools now power highly targeted attacks.
• Advanced evasion. Attackers exploited vulnerable drivers to silently disable endpoint protections.
• Focused targeting. Taiwanese organizations were prioritized, indicating strategic intent.
• Preemptive defense. Early detection, access control, and timely updates are critical.

CrazyHunter’s campaign shows how attackers using free, open-source tools can still inflict major disruption when organizations lack early detection and layered defenses. These events underscore the pressure Taiwan’s regulators now face to act decisively.

Taiwan’s PDPA and the Regulatory Shift

Taiwan is finalizing amendments to its Personal Data Protection Act, expected to take effect in 2025. A new Personal Data Protection Commission (PDPC) will oversee enforcement and have authority across public and private sectors.

Under the new PDPC amendments, fines can be issued up to NT$15 million (US$500,000) for violations such as unauthorized data collection, unreported breaches, and poor protection of sensitive information. Penalties can take effect immediately and increase with delayed remediation.

Non-governmental organizations are also subject to inspection, with high-risk sectors audited based on data volume and breach patterns.

What leaders need to know:

• Boards are now directly accountable for data protection performance.
• Organizations must implement technical safeguards such as encryption, access controls, and regular security audits.
• Breach response must be fast, well-coordinated, and fully documented.
• The risks of non-compliance now include immediate financial penalties and long-term reputational harm.

These requirements highlight a broader evolution toward proactive cyber risk governance. Addressing regulatory requirements is only one part of a much larger equation. To reduce exposure and stay ahead of today’s advanced threats, organizations must integrate compliance efforts with continuous threat monitoring, early detection, and cohesive security operations.

What comes next requires more than adherence to standards. It calls for executive-driven resilience that anticipates risk and activates response before damage occurs.

From Reactive to Resilient

SingHealth and 23andMe did not fail because they lacked tools. They failed because they lacked visibility and resiliency. These are not isolated failures. They illustrate how slow signals and fragmented oversight can compound into full-blown organizational breakdowns.

Taiwan’s updated privacy law reinforces the urgency of early threat detection and coordinated response. Security leaders must strengthen visibility through EASM and IASM, while treating EDR as a supporting measure, not the foundation.

The CrazyHunter ransomware campaign reinforces this point. By exploiting free, open-source tools and slipping past endpoint protections, attackers struck critical Taiwanese institutions with speed and precision.

These developments point to a larger truth. Security outcomes hinge on leadership that prioritizes visibility, allocates resources according to risk, and builds operational readiness across every layer of the organization.

“At CyCraft, we’ve seen how fast attackers adapt — and believe defense must move even faster. During the CrazyHunter attacks in Taiwan, we proactively helped healthcare organizations uncover hidden exposures. By combining early detection with external and internal attack surface management, we enabled them to act with urgency, close compliance gaps, and build lasting cyber resilience through threat-informed defense.” — Benson Wu, CEO and Co-founder, CyCraft

Integrating these capabilities into core strategy is how institutions earn resilience and preserve trust in the face of escalating threats.

Take the next step. Contact CyCraft to assess your attack surface and explore how early detection and response solutions can protect your patients, your data, and your organization. Schedule a demo today.

Writer: CyCraft Technology

Hospital Data Breach: A Wake-Up Call for Visibility, Compliance, and Resilience was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

本文由奧義智慧 (CyCraft) 與資安卓越中心規劃建置計畫 (CCoE) 共同發布。

危害與影響

當商務組織越來越依賴雲端服務時，AD 聯邦服務 (Active Direcotry Federation Services，下稱AD FS) 伺服器便也成為攻擊目標，因為受害組織多半未察覺 AD FS 伺服器的重要性、讓攻擊者可輕易藉此取得雲端資料。對此疏於防守的弱點，企業應強化相關資安防禦的部署與落實。

分析師觀點

AD FS 伺服器在網域環境架構中是重要的資產之一，然而根據本分析團隊的經驗，多數企業並不將 AD FS 伺服器視為高風險資產。在企業極為重視網域控制器的同時，我們建議企業也應該對 AD FS 伺服器一視同仁。另外，對於那些自動生成、擁有高權限的帳號，企業也應尋找相對應的防禦裝置以降低潛在風險。

描述

今 (2022) 年 8 月，微軟資安研究團隊發表了針對 NOBELIUM（又稱 APT29）使用 MagicWeb 惡意軟體作為後入侵手段的分析，在這次攻擊事件中，NOBELIUM 鎖定了橫跨美國、歐洲和中亞的政府組織、非政府組織 (NGO) 與國際組織 (IGO)。攻擊者將 MagicWeb 部署在目標組織中，以入侵 AD FS 並持續滲透。

多數企業依賴 Azure AD Connect 應用程式來整合組織內部 AD 和 Azure AD，AD FS 是其中一項解決方案。AD FS 是一個基於宣告的身份認證模型 (claim-based identity model)，一旦攻擊者順利入侵了 AD FS 伺服器，他們便能夠對任何與 Azure AD 同步的使用者進行身份驗證。甚且，由於攻擊者能偽造身分驗證的過程與回覆，即便使用者更改了密碼也無濟於事。因此，對企業來說特別重要的是：強化對 AD FS 伺服器的保護，以阻止攻擊者在 AD FS 伺服器上取得更高的管理權限。

技術分析

MagicWeb 是一個在駭侵發生後、讓攻擊者可以持續滲透的惡意軟體，當攻擊者順利入侵 AD FS 伺服器並取得較高權限後，他們會將自己的動態連結程式庫 (Dynamic Link Library，下稱 DLL) 取代原本的 Microsoft.IdentityServer.Diagnostics.dll 檔案。接著，攻擊者修改 C:\Windows\AD FS\Microsoft.IdentityServer.Servicehost.exe.config 以提取另一個不同的 public token。藉此，目標組織的AD FS伺服器就搭載了惡意 DLL 檔，讓攻擊者可以用任何身分宣告登入任一使用者的帳戶。

透過惡意 DLL 檔，原本的函數運算將被鉤連 (hook) 到可受攻擊者操控的內容裡。攻擊者使用了 4 種鉤連方法，以成功注入宣告並傳送惡意憑證：

1. 攻擊者透過鉤連 Microsoft.IdentityModel.X509CertificateChain.Build 函數竄改正常的憑證檢查機制或建構過程。
2. 透過鉤連 Microsoft.IdentityServer.WebHost.WrappedHttpListenerRequest.
   GetClientCertificate 函數使應用程式將無效的用戶憑證視為有效。
3. 透過鉤連 Microsoft.IdentityServer.WebHost.Proxy.ProxyConfigurationData.
   EndpointConfiguration 函數攻擊者將驗證及確認 (CertificationValidation) 值設定為無，讓 Web 應用程式 Proxy (Web Application Proxy，簡稱 WAP) 將特定惡意憑證的需求傳遞給 AD FS，進行下一階段的認證程序。
4. 攻擊者鉤連 Microsoft.IdentityServer.Service.IssuancePipeline.PolicyEngine.
   ProcessClaims 函數以注入偽造的宣告，在 AD FS 接收了被攻擊者寫死、帶有 Ｍagic OID 值 1.3.6.1.4.1.311.21.8.868518.12957973.4869258.12250419.[REDACTED].
   [REDACTED].[REDACTED].[REDACTED] 的宣告後，函數運算將確保此宣告帶有特定的值 ：「http://schemas.microsoft.com/claims/multipleauthn」。

透過上述手法，攻擊者可以偽造使用者的狀況，讓外部服務誤認使用者已經通過 MFA 認證，藉此繞過 MFA 認證機制。

緩解措施

攻擊者在成功入侵後，雖可利用 MagicWeb 一類惡意軟體持續潛伏並擴大危害，然而參考以下措施，企業或政府組織仍可防範於未然：

1. 將 AD FS 伺服器列為高風險資產進行管理。
2. 定期檢查 AD，確保只有 AD 管理員帳號與 AD FS 管理員帳號擁有 AD FS 系統的管理權限。
3. 要求所有雲端管理員帳號啟用多重要素驗證 (MFA) 程序。

參考資料

• “MagicWeb: NOBELIUM’s post-compromise trick to authenticate as anyone.” Microsoft. (Sep 7, 2022).
• “Best practices for securing Active Directory Federation Services.” Microsoft. (Sep 7, 2022).
• “Best Practices for Securing Active Directory.” Microsoft. (Sep 7, 2022).

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

【精選威脅情資】惡意軟體MagicWeb：NOBELIUM 針對 AD FS的後脅迫手段分析 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

本文由奧義智慧 (CyCraft) 與資安卓越中心規劃建置計畫 (CCoE) 共同發布。

危害與影響

與俄羅斯情報機關有密切關聯的 APT29 組織，在世界情勢益發動蕩的當下，也正不斷精進攻擊手段。APT29 組織此次利用 Azure 服務發起的攻擊，不只著重於建立地端後門，更開始利用雲端服務的內建權限來躲避監控，甚至透過購置雲端平台的服務來規避 IP 偵測，可見地端與雲端的安全已密不可分。此組織的高度政治化特性，也反映在它特別強調長期潛伏、並持續竊取資訊上，高科技企業、政府組織等都需要格外注意此駭客組織的攻擊手法。

分析師觀點

本篇分析的 APT29 組織鎖定 Microsoft 365 使用者為主要攻擊目標，除了因為微軟在企業雲端服務上的市佔率較高，也顯示當越來越多企業或組織使用雲端服務，攻擊者的對象與手法也逐漸聚焦於此。雖然本篇以 Azure 服務為例，但各家平台（如：AWS、GCP 等）都可能成為類似攻擊的目標。除此之外，即便 Azure 等雲端服務多有內建多重身份驗證、稽核機制等安全措施，攻擊者仍能利用此類機制的運作邏輯，反向進行入侵、潛伏與控制。因此在配置了相關防禦之後，仍需確切落實，方可獲得實質效果。

描述

自 2008 年成立以來，俄羅斯駭客組織 APT29（又稱 Cozy Bear、UNC2452、NOBELIUM 等）主要都以政府組織為攻擊目標、行動皆帶有政治目的，據信是由俄羅斯聯邦對外情報局 (Foreign Intelligence Service of the Russian Federation，簡稱 SVR) 與該國多個情報機構所把持。今 (2022) 年，許多資安廠商（如：Mandiant、Microsoft 等）都發現 APT29 變得更加活躍，它針對北約組織盟國發起了數次攻擊、企圖取得外交機敏資訊。在攻擊目標遍及各國之外，APT29 的攻擊手法也持續更新，Mandiant 便於近期公佈 APT29 專門攻擊雲端服務的證據，例如：攻擊 AD FS 主機的 MagicWeb 惡意程式，以及本文聚焦分析的利用 Azure 服務攻擊 Microsoft 365 使用者。

技術分析

Microsoft 365 是一套企業普遍使用的雲端生產力工具，提供跨組織協作、資料存取、商務 email 往來、編輯工具等服務；在身份驗證上則採多道授權與認證方式，據此 APT29 對 Microsoft 365 的攻擊也包含了三個步驟：入侵接管、持續潛伏，躲避監控。

1. 接管休眠帳號：

Microsoft 365 多重的身份驗證程序中，使用了多重要素驗證機制 (Multi-Factor Authentication，簡稱 MFA)，此機制在企業內部所有帳號第一次登入時，只要是新帳號、尚未註冊任何 MFA 的裝置，便會進入到引導模式、要求使用者進行 MFA 裝置的註冊。將帳號登入與 MFA 註冊相連動，反而會讓未啟用 MFA 的使用者帳號成為駭客組織獲得起始存取的管道。APT29 就是藉由此運作邏輯，暴力破解目標組織中可登入但尚未註冊 MFA 的帳密，在代替此帳號使用者註冊 MFA 裝置後，攻擊者便能透過此帳號侵入組織內部的軟硬體設施。

此攻擊手法與美國網路安全暨基礎設施安全局 (Cybersecurity and Infrastructure Security Agency，簡稱 CISA) 之前公布的 Alert (AA22–074A) 報告中利用 PrintNightmare (CVE-2021–34527) 漏洞、繞過 MFA 驗證並在機構中橫向移動的方式相似。另外，在實務上企業帳號多半會使 MFA 機制與內部帳號管理系統（如：Active Directory、LDAP 等）進行同步，因此常常存在休眠中但仍然可以使用的帳號。

2. 持續潛伏獲取 email 內容並提高權限：

在接管休眠帳號、順利入侵企業內部後，APT29 繼續利用 Microsoft Exchange 的角色指派 (Impersonation) 功能提高權限，為下一階段的攻擊做準備。此角色指派功能可讓應用程式或指定帳號模擬組織中的其他使用者、存取 email 內容或代理其他使用者執行工作，無論是地端或是雲端 Exchange 都有此功能。要完成此攻擊，前提是攻擊者需要先取得 Exchange 管理員 (Administrator) 此角色才能擁有執行管理角色指派 (ApplicationImpersonation) 的權限。

Exchange 理員權限還包括組織管理、Enterprise 系統管理員此類預設的高權限，攻擊者通常會把此管理員角色權限與其他攻擊目的所需權限組合後、取個容易混淆的名稱，避免管理人員發現異常；下圖即是透過 PowerShell 建立一個擁有讀取所有人信箱的角色權限。

3. 停用或躲避監控機制：

為了避免攻擊足跡被偵查，APT29 除了可變更使用者 agent 一類的前端資訊來規避監控，也能透過前一階段的入侵與提取權限，停用 Microsoft 365 內建稽核機制，並創建可持續回來竊取資訊的後門。Microsoft 365 的內建稽核機制（如：Purview Audit）會記錄使用者從不同應用程式登入 email 時的各種log，包含：使用者 agent、時間標記 (timestamp)、使用者名稱等資訊。然而當攻擊者獲得足夠權限後，便會透過 Azure AD PowerShell 修改對受害者帳號的設定、停用其 Microsoft 365 進階稽核事件 (Microsoft 365 Advanced Audit)，如此便可停用受害者的 email 內容存取稽核事件，使受害組織無法盤點出何時開始受駭、也就無法第一時間止損。

即使攻擊者無法獲得足夠權限關閉稽核機制，他們也可以透過受害者帳號購買 Azure 虛擬機器 (Virtual Machine) 服務來避免攻擊軌跡被追蹤。由於 Microsoft 365 本身也依靠 Azure 運作，在乘載了許多 Microsoft IP 的狀況下，單純想從 IP 判斷是否為惡意變得困難，也連帶使得稽核機制對異常的偵測更加不易。

緩解措施

如 Azure 的商務雲端服務雖然有其內建的安全機制，但面對駭客組織的有心利用，我們建議組織使用者應落實以下措施，以減緩或杜絕駭侵的機率與損害：

1. 強制所有組織內部帳號必須完成 MFA 裝置的註冊。
2. 審視同步到雲端的帳號，限制同步的範圍，以減少休眠帳號的可能性。
3. 定期稽核是否有非預期的雲端角色權限。
4. 定期檢查稽核功能是否有正常運作與開啟。

參考資料

• Toulas, B. (2022). “ Russian APT29 hackers abuse Azure services to hack Microsoft 365 users.” BleepingComputer. (Sep 5, 2022).
• Bienstock, D. (2022). “You Can’t Audit Me: APT29 Continues Targeting Microsoft 365.” Mandiant. (Sep 5, 2022).

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

【精選威脅情資】俄羅斯駭客組織 APT29 利用 Azure 服務攻擊 Microsoft 365 使用者 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

本文由奧義智慧 (CyCraft) 與資安卓越中心規劃建置計畫 (CCoE) 共同發布。

危害與影響

LockBit 早已是遠負盛名、規模龐大的勒索軟體組織，曾犯下多起金額龐大、危害嚴重的勒索案件。如今隨著 LockBit 3.0 版本的推出，勢必會有越來越多的目擊報告和攻擊案例出現，值得所有研究單位與機構嚴加防備。

分析師觀點

LockBit 是目前十分活躍的勒索軟體服務商，其商業模型十分完整且開發快速。目前新推出的 3.0 版本已經在野外散播，而且該版本實作了許多機制，防止分析師做逆向分析以及動態分析，增加了調查難度，因此成為相當值得注意的研究目標。

描述

LockBit 3.0，或稱作 LockBit Black 是提供勒索軟體服務 (Ransomware-as-a-Service) 的 LockBit 家族的最新版本。自從 2022 年 3 月 LockBit 2.0 被發現漏洞之後，作者就著手開始開發新版本，並在 2022 年 6 月發布他們的 Bug Bounty 計畫，引發大眾的關注。

實際上，在新的 LockBit 3.0 洩漏網站上，已經可以看到許多受害者資料被公諸於世。

技術分析

新版的 LockBit 3.0 在功能上與 2.0 大致相同，最初的投放路徑通常是透過 Cobalt Strike 來達成。LockBit 勒索軟體的執行檔必須用管理員權限開啟，如果沒有管理員權限的話，攻擊者就會嘗試以 UAC Bypass 來取得必要權限。

除此之外，LockBit 3.0 會把自己安裝成多個服務，持久性地潛入系統。它所使用的服務名稱如下：

除了安裝服務，LockBit 3.0 也會嘗試關閉一些指定的服務，如下：

LockBit 3.0 的加密過程非常快速，通常在一分鐘以內就可以將整台電腦加密。此外值得注意的是，新版的勒索訊息有些改動，並且會更換受害者的桌面背景。

LockBit 3.0 用了許多的反分析手法，包括加殼、混淆、動態解析函式位址、防止除錯等手法。以下針對幾個 LockBit 3.0 使用到的手法進行說明。

首先，LockBit 3.0 執行檔在執行的時候需要加上密碼的參數才能啟動，如果分析人員在調查的時候沒有找到這個參數，就沒辦法進行分析。

執行檔的 .text 區段是被加密過的，而該密碼就是用來解密該區段，裡面包含了程式主要的邏輯，所以沒有密碼，基本上就無法做進一步的分析。下列兩張圖顯示了 .text 區段的程式碼在解密前和解密後的差別。在還沒解密前，整個區段其實是無法正常執行的。

另外，在防除錯的手法上，LockBit 3.0 會透過檢查 Heap Flags 的方式判斷自己是不是正在被除錯。在程式被除錯的時候 HEAP_TAIL_CHECKING_ENABLED 和HEAP_VALIDATE_PARAMETERS_ENABLED 這兩個值會有所不同，而 HEAP_VALIDATE_PARAMETERS_ENABLED 的值可以從 PEB 中的 ForceFlags 取得，而 HEAP_TAIL_CHECKING_ENABLED 可以檢查 0xABABABAB 特徵值是不是存在於 Heap 的最後。

除此之外，LockBit 3.0 還用到了 NtSetInformationThread，並指定參數 ThreadHideFromDebugger (0x11)，這可以阻止例外事件傳給除錯器，導致除錯器無法除錯。

由於除錯器可以附加到程式上進行除錯，LockBit 3.0 也做了一些應對。待 LockBit 執行起來之後，它會去把 DbgUiRemoteBreakin 這個函式的主體改成可以寫入的權限，再直接破壞該記憶區塊。

下列兩張圖可以明顯看出區別，圖一是原本的 DbgUiRemoteBreakin，圖二則是被破壞過的 DbgUiRemoteBreakin。被破壞過後，該函式會無法使用或甚至是 Crash。

緩解措施

面對勒索軟體的來勢洶洶，使用者遇到來路不明的執行檔、壓縮檔、文件等，一定要再三確認，不要隨意執行。平時也需要做好備份，最佳情況是擁有三個以上的異地備份。

參考資料

• CYBLE. “Luca Stealer Source Code Leaked on A Cybercrime Forum.” Accessed August 9, 2022.

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

【精選威脅情資】分析 LockBit 3.0 勒索軟體的最新反分析與逃逸技術 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

本文由奧義智慧 (CyCraft) 與資安卓越中心規劃建置計畫 (CCoE) 共同發布。

危害與影響

現今，許多大型企業的身分驗證有地對雲同步整合的需求，而 Active Directory Federation Services (AD FS) 為其常見的解決方案。然而，絕大多數企業並沒有將 AD FS 做為核心資產善加管理，容易忽視其安全性。因此本篇報告便以 AD FS 的重要性出發，分析攻擊者如何透過 GoldenSAML ，進而能夠攻擊信任 AD FS 簽章的服務。

分析師觀點

Federation Service (FS) 是 Active Directory Federation Services (AD FS) 的一項角色服務，也是一項相當常見的主流服務，在過往，許多網頁要串接單一簽入整合 (Single Sign-On, SSO) 時，往往會選擇使 AD FS，如今許多雲端服務的身分串接也會選擇透過 FS 進行身分驗證，利用現有的服務直接串接所有需求，而這無疑也提升了 AD FS 服務的重要性。更何況有許多 APT 攻擊案例是透過此種方式從地端攻擊到雲端。

遺憾的是，許多場域並沒有將 FS 伺服器列為重要資產進行管理和防護，有些企業甚至無法盤點主機存在與否。因此分析師特別挑選此篇文章分析其相關危害，以提升企業對於這類服務的安全意識。

描述

2022 年六月，國外資安研究員 Nestori Syynimaa 在 TROOPERS22 研討會整理了關於 AD FS 的攻擊知識。一般來說，AD FS 全名為 Active Directory Federation Services，為企業進行外部身分驗證、SSO 讓異質系統串接身分驗證的重要服務。本篇報告以該篇研討會的內容為基礎，整合目前所有攻擊 AD FS 的已知方式，以讓人了解相關的攻擊面向並進行安全評估。

在介紹攻擊AD FS前，需要先了解AD FS驗證的流程，以下為常見角色解釋：

• Service Provider (SP)：Azure AD
• Identity Provider (IdP)：On-Prem AD FS
• Security Token (ST)：簽發敘述檔Security Assertion Markup Language (SAML)；透過ldP簽屬，SP會信任此簽屬者 (ldP)

驗證流程主要分為兩種，以下進行詳細說明：

方式一：透過 SP（例如Azure AD）重新導向至 ldP（例如ADFS），在 ldP 驗證完成後，User 會獲得 Security Token，再提交給 SP。

方式二：直接連線至 ldP，完成身分驗證後獲得 Security Token，使用者會被重新導向至 SP 提交 Security Token。

• GoldenSAML 偽造攻擊介紹

新型攻擊技術 GoldenSAML 首先在 2017 年時被發現，其原理在於，假設 Security Token 是透過 ldP 簽屬的，SP 就會信任此簽屬者 (ldP)。所以只要攻擊 ldP 也就是 AD FS，竊取 ldP 的 Private Key，攻擊者便可以任意偽造身分透過 SP 進行身分驗證。

2017 到 2020 年間陸陸續續有相關攻擊工具釋出，而在 2020 年 Solorigate APT 事件，研究人員便發現駭客有竊取了AD FS 的 Private Key，利用 GoldenSAML 攻擊進而存取受駭單位的雲端資訊，國外多家大型企業、政府單位都深受其害。

• 竊取 Private Key 的方式

換言之，GoldenSAML 攻擊的前提是必須竊取 AD FS 伺服器上的 Private Key。因此國外研究員將目前竊取 Private Key 的攻擊方式整理成了決策樹形式，而我們接下來會逐項針對決策的部分，了解會受到什麼樣類型的攻擊。

• Certificate Type

分為 Managed 與 Custom 兩種形式。Managed 為預設模式，會將 Private Key儲存在配置管理資料庫 (Configuration management database, CMDB)，使用 DKM Key（儲存在 AD 結構上）進行加密，因此攻擊者必須獲得 Config 和 DKM Key 才能獲得完整的 Private Key。至於 Custom，即為我們常見的 Windows 儲存金鑰的方式，會將 Private Key 儲存在 certificate store 中。

• Certificate Type — Custom: Priv Key Exportable

以 Certificate 類型為 Custom 的模式來看，由於金鑰會儲存在 certificate store 內，因此當原本的 AD FS 設定成不可輸出 Private Key 時，攻擊者必須透過工具，例如 Mimikatz 進行竊取。反之，如果原先設定為可以輸出，攻擊者透過內建工具即可完成金鑰竊取。

• Certificate Type — Managed: Access Key

如果攻擊者沒有成功獲得 AD FS 的主機控制權，但獲得了適當的 LDAP 權限，攻擊者就可以透過 LDAP 進行遠端竊取。

另一方面，如果攻擊者已獲得 AD FS 的主機控制權，就可以透過 .NET Reflection 竊取金鑰。此手法就如同 NOBELIUM 的 FoggyWeb 惡意程式。該惡意程式也有被研究人員關聯到 Solorigate APT 事件，顯見該攻擊手法的濫用程度。

• Certificate Type — Managed: Access Config

如果攻擊者對 AD FS 有存取權限，便可用 SQL Client 進行存取或是透過 WMI 對 AD FS 存取設定資訊，或是用 .NET Reflection 讀取設定。

攻擊者若是採用遠端存取的方式，就需要知道 AD FS 將設定存放在預設的 WID 或是 SQL Server。而獲得 SQL 存取權限、AD FS 服務帳號或本地管理員帳號，都能進行遠端存取。

最後，將 Key 與 Config 結合在一起就可以解出 Private Key，並用於 GoldenSAML 攻擊中，詳細組合流程可以參考 Douglas Bienstock (@doughsec) 和 Austin Baker (@BakedSec) 在 TROOPERS19 研討會的分享。

緩解措施

以下幾種方式可以緩解相關攻擊帶來的威脅：

1. 將 AD FS 伺服器與其 SQL 伺服器當作核心資產保護。
2. 在 Azure AD 或是其他 SP 上強制執行多重要素驗證 (Multi-Factor Authentication) 機制。如此一來，即使被 ldP 驗證過，也能夠防止 GoldenSAML 攻擊繞過 MFA 的驗證機制。
3. 針對 Managed Certificate，對防火牆進行合適的設定，例如只允許 AD FS 與其 Proxy 存取。
4. 針對 Custom Certificate，對防火牆進行合適的設定，例如只允許 AD FS Proxy，憑證則建議存放於硬體加密器 (Hardware Security Module, HSM)。

參考資料

• DrAzureAD. “Eight ways to compromise AD FS certificates” Accessed August 9, 2022.
• TROOPERS. “I am AD FS and so can you: Attacking Active Directory Federated Services” Accessed August 9, 2022.

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

【精選威脅情資】入侵 AD FS Certificates 的幾種有效方式 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

危害與影響

本報告所分析之 IceApple 為一個成熟的模組化 Internet Information Server (IIS) 後脅迫 (Post-Exploitation) 框架。該框架以 C# 語言編寫而成，並濫用了許多 .NET 框架的特徵，具有相當豐富的功能，包括從登錄檔中獲取憑證、在微軟的 Outlook Web Access (OWA) 伺服器上登入憑證、偵查系統、竊取資料等。且大多數 IceApple 的活動都發生在記憶體內，難以進行靜態分析，因此追緝難度相當高。

有鑑於 Microsoft Exchange Server 為全球知名度高、使用者眾多的電子信箱伺服器，本報告特挑選 IceApple 作為報告主題分析其危害影響與技術細節，凸顯 .NET 框架被攻擊者濫用的趨勢，並深入剖析 Exchange Server 的安全問題。

分析師觀點

自從 2021 年年初，知名重大漏洞 ProxyLogon 爆發後，Microsoft Exchange Server 已嚴重暴露在漏洞威脅下。然而 Exchange Server 的威脅不僅如此，從本篇報告分析的駭客行動可以看出，攻擊者們非常熟悉 Exchange Server 和 IIS，所有惡意的 DLL 檔案都會被偽裝成 IIS 大量產出的檔案，因此相當難以辨別。但幸運的是，研究人員已找出方式，透過 Windows 事件追蹤 (ETW) 掌握 .NET Assembly.Load 和 interop event，以找到被駭客執行的惡意 Assembly 和函式。這點也顯示了ETW之於偵測 .NET 惡意軟體的重要性。

技術分析

研究人員發現 IceApple 的經過，從 IceApple 觸發告警開始。在此一階段，有一些 .NET Assembly 會被反射性地載入在兩個 Microsoft Exchange servers 上的 MSExchangeOWAAppPool 應用程式集區。這些 Assembly 似乎本應成為 IIS 暫存檔，產生自將Active Server Page Extended (ASPX) 原始檔轉換成 .NET Assembly 以讓 IIS 載入的過程中。然而，這些檔案有以下幾點可疑之處。第一，IIS 和 Exchange Server 並不會反射載入 (reflectively load) 它產出的暫時性 .NET Assembly。其次，這些暫時性 .NET Assembly 的檔名是隨機產生的。不同的伺服器很少會產生相同的檔案名稱。

接下來，也許是透過 web shell 載入的 IceApple 加載程式會接受攻擊者的請求。而這些請求會經過一連串的處理，包含 base64 編碼、AES 加密法、gzip 壓縮以及特製的序列化。

IceApple 的行為包含：獲取 OWA 憑證、以寫死的使用者代理程式發出 HTTP 請求、針對 Active Directory 執行查詢、搜索已安裝網路卡的配置、傾倒儲存在登錄檔金鑰中的憑證、透過一個另外的 HTTP 監聽程式竊取檔案

每一個模組都會覆寫基礎類別物件的 Equals 函數。而該函數的參數類型為 Object。因此，這個函數會允許 Object 的任何子類別傳入。藉此，加載程式不需要知道任何模組結構、函數和參數，就可以載入 .NET Assembly。

接下來進一步解析 IceApple 的兩個重要模組。一個重要的模組是 IIS module lister，而另一個叫 OWA Credential Logger。IIS module lister 可以存取 System.web Assembly 以提取所有已登錄的 IIS 模組資訊，IIS 請求中的事件。最終，它會輸出結果並將結果傳遞給 OWA Credential Logger。

OWA Credential Logger 一開始會先獲取 HttpApplication 物件以及 System.Web.HttpApplicationFactory 的參照，藉此取得管理所有在 IIS worker instance 處理請求所需的 HttpApplication 物件。此後，它會重演一群 HttpApplication 物件以為每個物件插入一個新的事件處理程式。一旦被登錄的事件處理程式被觸發，它會企圖傾倒使用者名稱和密碼到 C:\\Windows\\Temp\\TS_MSOL1.tmp 中。

緩解措施

以下幾種方式可以緩解 IceApple 的威脅：

1. 弱點掃描可以找出潛在、可能被利用的軟體漏洞，好讓人修復、緩解。
2. 網站應用程式防火牆 (WAF) 可以用來限制應用程式的流量，防止駭客的流量接觸應用程式。
3. 定期更新軟體，對暴露在外的應用程式採用修補程式管理方案 (Patch Management)。

參考資料

• CrowdStrike. “IceApple: A Novel Internet Information Services Post Exploitation Framework” Accessed July 8, 2022.

入侵指標 (Indicator of Compromise, IOCs)

String

• KAJdPY30h1e7jSKpcDUivBkZiGUAH3zL
• 3hu5njdushydf7^ATSD&y3gbhyrbgyusag%^A&Dt
• User Agent value of Microsoft Office/16.0 (Windows NT 10.0; Microsoft Outlook 16.0.4551; Pro)

Registry

• HKLM\SYSTEM\CurrentControlSet\Control\Lsa\JD
• HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Skew1
• HKLM\SYSTEM\CurrentControlSet\Control\Lsa\GBG
• HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Data
• HKLM\SAM\SAM\Domains\Account\F
• HKLM\SAM\SAM\Domains\Account\Users*\V
• HKLM\SECURITY\Cache*
• HKLM\SECURITY\Policy\PolEKList\default
• HKLM\SECURITY\Policy\Secrets*\CurrVal
• HKLM\SECURITY\Policy\Secrets*\OldVal

Filepath

• \ClientAccess\Owa\auth\addrbook.cs
• \ClientAccess\Owa\auth\addrbook.js
• \FrontEnd\HttpProxy\owa\auth\Current\scripts\premium
• addrbook.cs
• \FrontEnd\HttpProxy\owa\auth\Current\scripts\premium
• addrbook.js

SHA1

• 3514c8f0b6992a4b3746d874013789b8bd3e9ff4a44f00f5d076320e6a403136
• b6379b98f0993c652fd0c5907395123cfb14fa30818d3153b7655def8329c4c1
• 517d08ffdb2889e11a86b7a011de385dc43623f80f6fdf43e55b683c08206228
• 3e72696d5618f013cd8fd686c11f9778ac55ce1ca61f5dd6c5b86b917495bde2
• cf9b151e116ee1429d2fcd3553c90d98a73a4d769f976759e60d8113a7d8229c
• 648592597b561c775feb8909148b91bd2e8452ab3b2c1e98ead2c4f9caf2e3ff
• 131c7d2ec3c7dba738466a586aca4bd80af540832b1243ace184918db65ee7e5
• 075a8456f3d74da6f830bcae39990f43e4aef63c0a69ea2f5a5e1eb8ba51b51e
• e199faf72661b7e822da2d02aec59227a2d413d02bd288a3b26e5465d59fda5b
• c5ff6b1b201d6289ab718575d0175b322653b3fe92c4ba046fc6e785f83404ed
• 29fe8f7cdeb8b2a4c0d9e7410cd4cbe1873a22eada4a592b9df6f2ee6c335ff9
• 189dfd287b0ff6b5161a89343fcde57f509dfa99f44277ad6cfb9ccbdfbf436a
• 9c36f62e2f347e709223f38450f8fcd075b273f164219e6fc6db112fdb26db4d
• 2e45ad3689e9b13d40880b142925a4922e77c769c9f2809e702d6a4f5485384a
• 91505feb5369978eecba4c92a07f0aaddbddda238eda207dd08e81a6839750e6
• 16cc7ab162aacb38cd0dbf3ad9a9ba836649e3fb7afdb189c6d529dd0d9a2bc6
• 1629c7a876fb7c63a49a9d182d0c4b993cc3e91d4e6c9a2d207a94c2ac810cdd
• 818e045ad6d365a2560cae35f6cf04e0713586bdfff6f341c2ac19539e58c665

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

【精選威脅情資】IceApple ：一種新興的 IIS 後脅迫框架 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

東京都廳自 2022 年起，為支援都內中小企業對網路威脅的防禦，新增中小企業資安對策強化緊急支援（中小企業サイバーセキュリティ対策強化緊急サポート事業）標案，尋求資訊安全業者響應，為都內一百家自願導入 EDR 端點防護系統的中小型企業，提供相應的安全解決方案。2022 年度此案由專注於 IT 與網路服務整體解決方案的上市公司 ITFOR Inc.，以及兩家日本旗艦型電信公司同台競爭，並最終由 ITFOR Inc. 脫穎而出獲得青睞，將以奧義智慧 CyCraft AIR 守護都內中小型企業端點安全。

ITFOR Inc. 為知名的日本資訊服務商，於金融等業界具有極高的市占率，並自 2021 年起與奧義智慧展開合作，代理奧義旗下 CyCraft AIR 系列資安防禦產品，強強聯手為日本企業提供 AI 全自動的端點偵測與回應 (Managed Detection and Response, MDR)、企業資安健診等服務。CyCraft AIR 運用奧義專利的 AI 分析技術，從端點、網路、情資等多方面切入，全天候守護企業系統安全，並能第一時間察覺駭侵威脅、立即進行應變，已獲多國市場實證，並受到 Gartner、IDC 等國際權威機構的青睞，被選為代表性案例收錄於 AI 資安市場分析報告內。

奧義智慧科技共同創辦人吳明蔚博士表示： 「近年來奧義邁向國際的腳步持續加速，自去年與 ITFOR Inc. 合作以來，也陸續在日本完成許多成功案例。本次很開心雙方的合作成功拿下東京都的案子，很期待 CyCraft 的自動化威脅獵捕與快速鑑識應變，為廣大的東京都中小企業大幅提升資安防禦實力，並大幅降低資安人力不足與反應不及的痛點。 」

ITFOR Inc. 代表取締役社長佐藤恒徳表示：「本次我們挑戰東京都為中小企業設立的 EDR 標案，並順利脫穎而出獲得採用。從 2021 年開始，ITFOR Inc. 除了以無現金平台與數位平台協助當地社會的進步外，亦致力於資訊安全平台的建構；而這次的得標，對 CyCraft AIR 產品品質及敝社專業知識而言，更是一大肯定與良好的評價。藉此機會，我們將會持續與奧義智慧合作，活用兩家公司彼此的優勢，為東京的中小企業、以至於日本國內的資安防禦對策提供強力支援。」

關於 ITFOR Inc.

自 1972 年創立以來，ITFOR Inc. 持續代理海外的先進資訊設備，並在 1983 年開發出日本第一個用於債權回收的自動系統；該系統於金融機關的債權回收相關資訊系統中，佔有壓倒性的市佔率，且為 ITFOR Inc. 贏得了客戶的高度信任。目前，ITFOR Inc. 致力於為區域金融產業、公家機關、零售業，以及企業的客服中心等提供包含通訊基礎系統的整體解決方案，改善企業的業務運營並支援區域的振興。此外，ITFOR Inc. 近來專注於實現非面對面與無接觸的無現金支付，並繼續擴展業務範圍。

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

臺日合作獲東京都政府肯定，補助 100 家中小企業採用奧義智慧 AI 資安監控防護 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.

本次高峰會堪稱臺日交流史上最大規模的新創活動，透過活動主軸「TOGETHER, GO BIG!」概念，廣邀臺灣新創、日本企業共襄盛舉，在數位轉型浪潮之下，在資訊安全、元宇宙、永續投資、智慧生活與數位轉型等新興應用科技領域，邁向「Big Market、Big Economy、Big Success」的三大願景。

為期兩天的會議中，奧義智慧科技共同創辦人吳明蔚博士，在工業局協助促成的數位轉型與資安論壇，以「Golden Age of Cybersecurity : opportunities and challenges for service providers（資安的黃金年代：新經濟服務的機會與挑戰）」為題，分享在數位轉型與區域政治白熱化的今天，資訊安全市場與技術面臨的破壞式創新，以及威脅排序與資源優化等難題；此外，吳創辦人也以臺灣資安協會副理事長的身份，見證臺灣資安協會與日商銀行即將展開的策略合作，協助我國的新創資安廠商進軍日本。

奧義智慧科技自 2019 年設立日本子公司株式会社 CyCraft Japan 後，陸續與多家日本夥伴簽訂策略合作、逐步開拓日本市場，包含在日立系統與其子公司 SecureBrain、金融業具有領先地位的上市巨擘 ITFOR、資通訊大廠 Net One Systems、三菱綜合研究所 (Mitsubishi Research Institute) 及其旗下系統整合商 INES 等，藉由奧義智慧的 CyCraft AIR 自動化資安偵測解決方案與 AI 資安事件鑑識調查服務等，協助日本企業強化資安防護、打造堅韌的資安體質，奧義智慧亦於 2021 年加入日本 CSIRT 協會，積極投入國際資安事件應變與聯防。

對此，吳明蔚博士表示：「我們很榮幸能與國內新創夥伴們並肩前行，帶著臺灣優質的技術軟實力與創新力量，與日本市場的重要企業與投資者們，一同整合彼此的技術、人才與資本，深化臺日間的交流合作、前進國際市場並開創商機。奧義智慧近來正在全速前進、擴張海外事業版圖，也非常開心能透過本次日本臺灣新創高峰會的平台，結識更多志同道合的合作夥伴，攜手共創價值、達成雙贏。」

關於奧義智慧科技

奧義智慧 (CyCraft) 是世界領先的 AI 資安科技公司，企業總部設立於臺灣，並在日本、新加坡與美國設有海外子公司。奧義智慧以創新 AI 技術自動化資安防護，內建端點 EDR、情資 CTI、網路 TIG 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家高科技與關鍵領域龍頭企業的信賴，市佔率國內第一。

2021 年奧義智慧為權威機構 Gartner 所發表的《大中華區 AI 新創公司指南》中，唯一入選代表性企業的資安科技公司，此外，亦獲 IDC Perspective 收錄在其《Intelligence-led Cybersecurity》AI 驅動資安特別案例研究報告中。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

追蹤奧義智慧，掌握最新資訊安全情報：https://www.facebook.com/cycrafttechnology

想了解奧義智慧科技獲國際頂尖肯定的 AI 資安防護產品與方案，保護您的單位端點不受惡意程式侵襲嗎？歡迎透過 engage@cycarrier.com 直接與我們聯繫！

奧義智慧響應國發會赴日拓展，三十家臺灣新創對接日本創投與市場 was originally published in CyCraft on Medium, where people are continuing the conversation by highlighting and responding to this story.