多款聲稱可加強瀏覽器自訂功能的 Chrome 及 Edge 延伸工具，原來藏有惡意廣告軟件，據知這些軟件在最近大量出現，且錄得數以百萬計下載量。除了顯示廣告賺錢，黑客更可騎劫搜尋結果，顯示可獲利的廣告內容，甚至可賺取網民上網購物的佣金。 網絡安全公司Guardio Labs研究員在十月中發表調查報告，指出有 30 多個變種惡意廣告軟件繞過安全偵測，成功在 Chrome 及 Edge 的網上商店上架。研究員解釋，這些被歸類為 Dormant Colors 的瀏覽器延伸工具，均聲稱可為用家提供更多瀏覽器自訂色彩的功能，而且由於軟件內並無惡意編碼存在，所以可以順利通過官方商店的安全審查。 黑客首先會在一些受感染的網站上加入惡意編碼，以免費睇片或下載影片作招徠，並通過廣告提升觸及率，讓更多人發現這些網站。當有網民嘗試播放或下載影片，畫面會跳轉到另一個網站，並要求網民必須先安裝一個瀏覽器延伸工具才能播放。 如網民按照指示安裝，網站內的惡意編碼便會將網民引導至更多網站，而 Dormant Colors…

新冠疫情肆虐期間，市民一窩蜂湧上網上服務平台，非接觸式營運（contactless operation）業務似乎最能受惠。不過，要在芸芸競爭對手中突圍而出，電商必須有其獨特的賣點及超前部署。DICT 數智通訊服務供應商中信國際電訊 CPC（以下簡稱 CPC）及網絡安全服務供應商 Fortinet 便在早前舉辦了一場網絡分享會，聯同網上語言學習平台 Kelly’s Education 創辦人，一同分享如何跑贏逆境。 科技帶動精準配對 學習進程可視化家長更放心 網上語言學習平台 Kelly’s Education 創辦人兼首席執行長 Ken Chau 笑說，公司業務在疫情期間一直錄得高速增長，但能夠在同業中脫穎而出絕非幸運。而是憑著獨特的市場定位和創新科技的配合，將學童的學習進程具體化地呈現在家長面前，增强家長的信心。 「我們專注提供跨地域師生配對服務，以為學童找到最經濟實惠的學習資源。傳統教學以學生的年齡或就讀級別作為配對準則，缺點是就算兩位小朋友的年齡或級別相同，學習水平也會因個人資質、當地教育模式而存在分歧。」Ken…

Microsoft 網絡安全研究員警告，近日被植入新信用卡刷卡器 (card skimmer) 的網站悄悄上升，新攻擊包含三種隱藏手法，有助減低被網絡安全工具發現的機會，而現時病樣本資料庫 Virus Total 收錄的相關樣本可見，偵測率均非常低，網站管理員必須加倍留意。 Card skimmer 專門用於盜竊購物網站用家的信用卡資料，黑客會利用各種方法入侵網站，再於結帳頁面植入惡意編碼竊取輸入的信用卡資料，並將這些資料送交黑客的 C&C 控制中心，由於中招網站在外貌上並無異樣，因此用家可說無法防備，只能靠店商能否阻止惡意功能入侵。 黑客為了減少被發現的機會，多年來一直奇謀盡出，例如改用 Telegram 或 Discord 等合法平台接收盜取的資料，又或將惡意編碼混入主流的開源媒體播放器。 Microsoft 研究員最新發現的入侵方法共有三種： 惡意圖標：黑客將已加密的…

繼勒索軟件之後，專門竊取私人資料的惡意軟件又愈來愈流行。一款名為 BlackGuard 的同類型惡意軟件，最近成為地下討論區的焦點，因為用家只要付出 200 美元月費或 700 美元終生使用權，就可以輕易偷到各式各樣私隱資料，當中包括電子錢包登入資料、各款即時通訊軟件的通話記錄及 VPN 帳戶資料…… 勒索軟件由於要安排收取贖金的途徑，除非光顧「勒索軟件集團即服務 (RaaS)」的一站式服務，否則對於一般罪犯來說，使用勒索軟件的風險極大。相反，專門盜取私隱資料的惡意件就較適合個體戶，因為罪犯可使用它去盜取網民的加密貨幣電子錢包帳戶資料，將加密貨幣存款轉走；賊人亦可以信用卡資料進行網購或買點數卡，再加上這類惡意軟件收費平宜近人，所以亦有不少捧場客。 這次網絡安全公司 Zscaler 研究員發表的 BlackGuard 報告，就指出這款由今年一月開始，在俄羅斯地下討論區出現私隱竊取惡意軟件受到熱烈關注。它具備的功能非常廣泛，可以偷取各類瀏覽器儲存的密碼、屬於瀏覽器電子錢包擴充元件儲存的登入資料、加密貨幣電子錢包儲存的登入憑證、Outlook 電郵軟件及各款即時通訊軟件的通訊記錄、VPN 軟件的登入資料等，這些資料都會被加壓成 ZIP 檔案並上轉至黑客組織的控制中心，客戶只須繳付上述的費用，就可以登入帳戶查閱。…

香港生產力促進局轄下的香港電腦保安事故協調中心 (HKCERT) 編制的《香港保安觀察報告》出爐，2021 第四季度報告提到，涉及香港的單一網絡保安事件宗數為 4,753，按季下跌 2.2%。其中網頁塗改按季上升 33%，釣魚網站亦按季上升 7%。 報告提到，釣魚網站事件連續四季上升，與去年同期相比，釣魚網站事件升幅達 265%。大部分釣魚網站都是以偽冒金融機構和網購平台為主，其他亦有科技公司、電子錢包、網上娛樂平台等。HKCERT 提醒，釣魚網站仿真度極高，用戶可仔細檢查網址來分辨真偽，留意英文串法、域名等。 《香港保安觀察報告》季度報告除會提供過去一季被發現曾經遭受或參與各類型網絡攻擊活動的香港聯網系統的數據外，HKCERT 指由今期開始，亦會回顧該季度所發生的重大保安事件及探討熱門保安議題，並提出易於執行的保安建議，以提升公眾的資訊保安認知的水平，増強應對有關風險的能力。 今期報告的重點包括： 2021年第四季度涉及香港的單一網絡保安事件較對上一季微跌2.2%；然而釣魚網站事件卻連續四季上升，大部份都是以偽冒金融機構和網購平台為主；利用QR code作網絡攻擊與日俱增，不法分子會循流動支付、賬戶驗證、網站瀏覽、訊息儲存四種常用的QR code應用進行攻擊；開始進行NFT(非同質化代幣)交易前，大家要考慮如何安全地儲存NFT資產，可選擇以連線錢包(熱錢包)或離線錢包(冷錢包)儲存，也可以混合使用這兩種錢包；以及常用於軟件開發的 log4j 開源軟件爆出保安漏洞，黑客可籍此發送特定的記錄檔訊息至 Log4j…

利用內藏惡意軟件的 USB 手指，入侵目標人物電腦設備的新聞時有發生，美國 FBI 在最近又再一次向美國企業發出警告，指黑客集團 FIN7 近日瞄準美國軍工企業，將內藏惡意軟件的 USB 手指速遞給其員工，只要有員工不小心連接電腦，惡意軟件都有辦法避過防毒工具攔截進行安裝，並進一步引入 BlackMatter 或 REvil 兩款勒索軟件。 外國有不少案例顯示，網絡犯罪集團經常以 BadUSB 手法，試圖入侵目標人物的電腦系統。因為當對方將 USB 連接電腦，內裏的惡意軟件便可靜悄悄執行。以往的犯案手法除了試過將 USB 手指裝扮成遺失物品，更有黑客會假扮成…

Palo Alto Networks 網絡安全團隊 Unit42 最新發現一個供應鏈攻擊 (supply chain attack)，有黑客利用一個雲端影像寄存平台的自定播放器漏洞，將被混淆化 (obfuscated) 的惡意編碼混入其中。不知情的用家如使用了這個播放器，便會將專門用於竊取信用卡資料的 card skimmer 惡意功能帶進網站，令客戶曝露於被盜用信用卡消費的風險之中。現時已有過百個物業網站已中招，可說是一次成功的供應鏈攻擊案例。 Card skimmer 是一種專門入侵網購網站，再於結帳頁面植入惡意編碼以盜取客戶信用卡資料的攻擊手法。多年來網絡犯罪集團一直使用不同手法將這種惡意功能混入各種網站之中，只要該網站的客戶填入個人私隱及信用卡資料，就會同時將這些資料送交黑客的 C&C 控制中心，由於中招網站在外貌上並無異樣，因此用家可說無法防備，只能靠店商能否阻止惡意功能入侵。 而最近…

近年企業加快數碼轉型（Digital Transformation）步伐，以享受轉型為企業帶來的靈活性、高效率及成本效益。要在旅程中穩步邁進，企業管理者首先要贏在起跑線，為新生的在地、多雲混合架構打好樁腳，嚴控網絡連線及安全問題，日後才有條件開拓無限商機。早前 ICT 服務供應商中信國際電訊 CPC（以下簡稱 CPC）舉辦了「Solutions Day 2021」座談會，以「Looking Beyond the Possibilities」為主題，分享如何借助各種解決方案及新科技，讓企業有力迎接不同挑戰，開拓商機。 當日座談會亦舉辦專題討論，請來中信國際電訊 CPC 戰略總裁 Taylor Lam 、LVMH Perfumes & Cosmetics 亞太地區技術總監…

Black Friday 將至，相信不少網民已磨拳擦掌，準備大舉掃平貨。黑客同樣準備好過肥年，英國網絡安全中心 NCSC 正加緊巡查國內的電子商貿平台，特別是由中小企所成立的網購網站，由於缺乏安全意識，以至 NCSC 已先後向 4,151 個零售網站發出安全警告，指網站已被黑客入侵，客戶私隱正處於高風險。 不少購平台都會採用電子商務系統 Magento，因為它的功能豐富，但亦同時成為黑客攻擊的頭號目標。例如在今年初，網絡安全專家已指出有犯罪集團正利用 Magento 的已知漏洞，向仍未安裝安全更新的客戶發動攻擊。事隔半年有多，情況似乎未有改善，因此 NCSC 便趕在傳統購物旺季前，加緊於網上巡邏，搜尋國內仍存在漏洞的網購網站，以趕在旺季來臨前堵塞漏露，保護網站及潛在顧客。 一般來說，針對電子商貿平台的攻擊都是以盜取信用卡資料為主，犯罪集團會利用各種方法達成目標，例如於目標網站留言區注入惡意編碼的跨平台腳本 (Cross-Site Scripting) 攻擊，或暗中入侵網站的付款頁面，記錄客戶每一筆消費資料，而盜取的信用卡資料便可讓黑客冒名使用。雖然現時不少 Web…

新冠疫情不單只加速企業數據轉型，亦同時加速尋常百姓使用網上服務比例，例如網購、線上學習、收睇網上節目、視像聚會等等，網絡攻擊的機會大增，大部分黑客並非採用石破天驚的新手法入侵，而只是稍稍改動現有攻擊方式，又或作出掩護攻擊，例如以 DDoS 攻擊分散安全團隊的注意力，乘機潛入內部網絡安裝各種惡意軟件等。而在疫情爆發的 18 個月期間，大家應該汲取教訓，改變網絡安全防禦的心態。 不少企業被迫使用遙距工作模式，讓員工在家工作，因此針對雲端服務攻擊的頻率愈來愈高。最常見的方法是通過釣魚電郵竊取帳戶登入資料，從而盜取數據及執行勒索程式，這些攻擊都有可能影響業務流程和商譽。員工需要持續的安全意識培訓和更新設備系統，令遙距工作也能得到一定的安全保障。引入機器學習和分析數據傳輸，是維持網絡最佳狀態的必要元素，同時收集到的資料亦有助安全團隊快速因應變化作出反應。 既然企業必須採用雲端應用服務，因此必須為安全遷移做足準備，最基本要保持所使用的應用服務在最新系統版本，以及採用有信譽的服務供應商。而在轉移雲端之前，亦有一些安全建議可以參考。 慎選供應商：確保雲服務供應商將安全放在首位，最好能將現有數據中心安全性擴展到雲端服務。這樣做可以縮短安全團隊的學習時間，減少錯誤發生，並可以在物理和雲基礎架構採用相同的開發和部署策略。 釐清服務協議：就停機時間、修補漏洞和安全更新達成嚴格的安全服務級別協議 （SLA），確保供應商如何處理 DDoS 攻擊或數據外洩，以掌握清晰的處理流程。 加密至上：確保服務供應商支援最高級別的加密及身份驗證技術，有助減少入侵及，而在即使資料外洩，黑客也無法輕易破解。 雖然要阻止網絡入侵，很多時都要依賴網絡安全工具及人工智能技術，不過最有效的安全策略卻是創建網絡安全文化，讓員工領略強密碼和多重身份驗證的好處，才可真正改變他們日常使用密碼的習慣。而在家庭方面，物聯網（IoT）設備極可能是一大弱點，因為一般家庭用家偏用使用出廠密碼，這種習慣將讓黑客可以輕易入侵，造成財物或私隱外洩等損失。 對於投放了各種先進安全工具的企業來說，仍然必須定期審查和更新安全政策以阻止攻擊者找到新的突破口入侵。正因為雲端應用服務是不可抗逆的發展趨勢，要善用雲的靈活性，便必須同時重視雲的安全性。 資料來源：https://bit.ly/3mdlwDm