密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵，不過，事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情，換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實，就可說是其中一個網絡安全案例正確示範，企業管理者不妨參考一下。 為了保障帳戶的安全性，不少用家都會聽專家之言，起碼會為帳戶採用強密碼，即密碼結合大細楷英文字串、符號、數字，以及密碼至少有 8 個位長度。不過，有調查指現時一般人至少擁有過百過網上服務帳戶，如果密碼要夠長及複雜，而且又要為每個帳戶設立不同密碼組合，相信很少人有能力做到，於是網絡安全專家會建議網民使用密碼管理服務，例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱，但如果密碼管理服務供應商遭受入侵，用家儲存的帳戶資料便有機會一次過被盜取，所以當 LastPass 上月爆出遭入侵事故時，不少用家都相當憂慮，因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告，指出這次黑客雖然成功入侵公司的開發環境，假扮成公司其中一個開發人員並為帳戶通過多重因素驗證，不過，公司卻未有太大損失，原因主要有兩點。 首先，官方指 LastPass 有嚴格控制產品推出流程，即使黑客在這次事件中能假扮 Development Team 員工，但由於產品必須經過…

黑客專業服務例如 RaaS、DDoSaaS 等成為大趨勢，要在同業中搶到生意，必須擁有更全面功能及售後服務。網絡安全公司 Resecurity 發現一款新的 Phishing-as-a-Service 服務 EvilProxy，就聲稱可以繞過 2FA 或 MFA 驗證功能，竊取帳戶登入權限，備受暗網中人關注。 以往的 Phishing-as-a-Service 服務，主要是供應商為客戶提供客製化的釣魚電郵內容或針對不同行業的電郵樣本，又可提供乾淨的電郵伺服器以增加進入電郵信箱的機會，再進一步，甚至可提供像真度極高的釣魚網頁令收件者上當，令電腦技術不高的騙徒也可順利竊取所需的帳戶登入資料或信用卡資料。由於提供服務的供應商眾多，因此業界競爭非常激烈。網絡安全公司 Resecurity 研究員就在最近捕捉到 PHaaS 供應商 EvilProxy（又稱…

Trend Micro Mobile Team 分析了部分新的 Dropper 惡意軟件，發現黑客使用了更多新手法將惡意軟件安裝到 Android 用家手機，以此避過較先進的偵測機制，犯罪集團有了成功率高的方法，因此現時愈來愈多集團提供 Dropper-as-a-Service（DaaS）服務，相信手機防禦面對的挑戰會愈來愈嚴竣。 傳統的手機病毒偵測方法，是透過掃描軟件程式碼偵測內裡有否可疑功能，或在執行時檢查網絡傳輸有否連結到有問題的網址。黑客為了避過檢測，陸續使用不同的方法，而 Dropper 便是其中一種，它在一開始時未必存在明顯的惡意編碼，或會以加密手段隱藏惡意編碼，但在安裝執行後，便會釋放加密編碼或從由黑客控制的 C&C 中心下載其餘部分，而為了減少被偵測的可能性，Dropper 還會在執行惡意活動前停用手機的安全功能，因此非常難以攔截。 Trend Micro 專家最新發表的 DawDropper…

McAfee 網絡安全研究員發現，有黑客通過 Facebook 廣告推廣惡意廣告軟件，雖然這些軟件會假扮為系統清理工具，但下載後卻變成隱身能力極高的惡意軟件，加上軟件又成功於 Google Play Store 上架，Android 用家完全沒有招架能力。 黑客利用 Facebook 廣告推廣惡意軟件的手法已非首次，以往就曾試過推廣金版 WhatsApp 或特別版 Instagram，聲稱這些軟件較正版更多功能，例如可暗中獲取對方的訊息讀取狀態、誰人瀏覽過自己的帳戶資料等。不過，由於部分手機應用軟件無法上架，因此只能引誘受害者授權安裝第三方軟件，成功機會未必夠高。而這次 McAfee 研究員捕捉到的攻擊，則結合 Google Play Store…

Stalkerware 監控軟件的使用量愈來愈高，除了政府用於監控維權人士，在疫情下不少企業老闆也會暗中監控員工有否在家工作。Kaspersky 推出的 TinyCheck 開源計劃，就可幫助懷疑被監控的人，偵測手機流量有否可疑之處，而且毋須安裝任何程式，iOS、Android 用家都可受惠。 提到監控軟件，首先都會聯想到以色列科技公司 NSO 的 Pegasus，因為 NSO 會為不同政權提供服務，例如過往便曾多次發現存在於各地的維權組織或人士的智能手機內，以此獲取對政權有利的消息。Kaspersky 早於 2019 年便推出 TinyCheck，目的便是幫助這些高風險人士分析自己有否被監控。 TinyCheck 的運作原理是 Kaspersky 會在網上設立一個裝置，用家只要用手機連線至…

Google 早前宣布，由今年 5 月至 11 月，將會引入一系列新的對開發者政策，目的自然是希望減少 Google Play Store 上的惡意軟件數量。在新政策下，開發者須持續更新 app 的 API Level，如已推出的 app 仍未追上對上兩年推出的主要 Android 系統要求的 API level，軟件就會自動被下架，以減少舊…

一款於去年夏天出現的銀行木馬 Aberebot，最近被網絡安全專家發現推出升級功能測試版，新惡意軟件亦改名為 Escobar，網絡犯罪集團更於地下討論區刊登廣告，指現正招收新客戶，五個新客戶將可以優惠月費 3,000 美元使用服務，而且更可享用三日免費試用，早買早享受。 Aberebot 是一款專門盜取受害者銀行帳戶的木馬軟件，當網絡罪犯誘使受害者安裝軟件後，便可透過在指定的銀行網上理財 app 上覆蓋一層透明頁面，暗中將受害者輸入的帳戶登入資料上傳至黑客的 C&C 控制中心。而在今年二月，有記者發現該犯罪集團於俄羅斯語系的地下討論區上刊登廣告，指即將推出一款功能更強的 Escobar 銀行木馬，預計在正式推出時會以 5,000 美元月費租借給客戶使用。而集團現正推出測試版本，將會接受最多五個客戶申請，試用月費為 3,000 美元，成功申請的客戶更可享用三日免費試用期，率先體驗新功能的威力。來到今年三月初，MalwareHunterTeam 便首次捕獲到 Escobar 的病毒樣本，研究員指它偽裝成防毒軟件…

不認不認還須認，上週末網絡犯罪集團 Lapsus$ 聲稱已盜取 Samsung 約 190GB 機密數據，當中包括 Samsung 自家用於 Android 裝置上的 Trusted Applet 原始碼、生物特徵解鎖演算法、驗證 Samsung 用家帳戶的原始碼及 API。Samsung 沉默多日，終於承認這次外洩事故，但就強調當中不涉員工及客戶的個人私隱資料，似乎想淡化事故的嚴重性。 Lapsus$ 網絡犯罪集團專門從事數據盜竊，而在宣布成功入侵…

再有惡意軟件成功繞過 Google Play Store 的病毒偵測機制上架，這款名為 SharkBot 的銀行木馬病毒假扮成具備系統清除功能的防毒軟件，誘騙 Android 智能手機用家下載，雖然暫時未有太多人中招，但已證明官方 app store 也不一定安全，Android 用家要自保，應該減少非必要的 app 安裝。 為了防止惡意軟件上架， Google 早年已加入 Google Play…

網絡安全團隊 Project Zero 發表最新統計報告，顯示現時 IT 公司對推出安全更新的速度愈來愈快，在 2021 年經團隊舉報的所有漏洞中，平均只須 52 日便有安全更新推出。而在 90 + 14 日的寬限期政策下，只得 5% 個案未能完成漏洞修補，對企業來說自然是好消息！ Google Project Zero 是…