不少人為了提升瀏覽器的使用經驗，都會為瀏覽器安裝延伸工具，例如即時翻譯、屏幕截圖等。不過，黑客亦會利用這途徑竊取目標人物私隱資料，例如北韓黑客集團便透過魚叉式釣魚電郵攻擊鎖定攻擊目標，誘使對方打開惡意附件化身為延伸工具後，便可利用儲存的登入憑證隨意進入 Gmail 帳戶，神不知鬼不覺。 網絡安全公司 Volexity 為客戶提供威脅情報服務及電腦搜證服務，而在提供鑑證服務時，便經常在受感染電腦內發現這款被稱為 SharpTongue 的惡意軟件，安全專家指它與北韓黑客集團 Kimsuky 有關。SharpTongue 入侵工具的詳細分析早於 2021 年出現，這個黑客集團專門針對美國、歐洲及南韓的企業及機構，特別是該機關與調查北韓事務、核技術、國防武器，更會成為頭號入侵對象。 不過，Volexity 在近來的調查發現，背後的黑客集團正開始使用一款專門用來盜取電郵內容的惡意瀏覽器延伸工具 SHARPEXT，相比起 SharpTongue 以盜取帳戶登入資料為目的，SHARPEXT 在安裝到瀏覽器後，便會利用受害者儲存在瀏覽器內的雲端電郵帳戶登入 sessions，進入受害者的電郵信箱內搜集所需資料及下載有用的電郵附件。由於帳戶已在早前經驗證登入，因此電郵服務供應商難以發現帳戶正被入侵，從而增加偵測的難度。…

疫情下大家都習慣了網上購物，就算以往不熟悉如何網購，現在亦變成格價及集運高手。有大量金錢流轉的地方，黑客又怎會錯過？有網絡安全研究員便發現，黑客正借助網站頁面上的社交平台分享按掣圖標，隱藏惡意軟件的蹤影。只要你在網站上購物，信用卡資料就會同時送到黑客手上！ Credit card skimmer 是一種專門入侵電商網站，再於結帳頁面植入惡意程式盜取客戶信用卡資料的攻擊手法。近年這種攻擊日益猖獗，當中 Magecart 黑客集團更是當中的表表者，不少知名網站如 newegg、Forbes 都曾中招。最近荷蘭網絡安全公司 Sansec 的研究員又發現，credit card skimmer 的入侵方法再度變招，而今次就向網站版面上的社交平台分享按掣圖標落手，同時將惡意軟件的組件拆散，從而繞過電商網站所採用的網絡安全工具的偵測。 研究員指出，黑客今次將部分惡意程式碼植入 SVG 格式的圖標內，而且亦用上 facebook_full、instagram_full 等指令，令整段編碼變得更加可信。只要網頁被瀏覽，惡意程式碼就會執行，並且繼續於網站伺服器的其他位置讀取剩餘的程式碼。研究員認為這種斬件式擺放方法有可能瞞過安全掃描器的偵測，因為即使偵測到其中一部分，也未必會發現其可疑之處。其實之前我們也曾報導黑客利用網站擺放於瀏覽器分頁的小圖標 (favicon) ，將惡意程式碼植入其中，並且將惡意程式碼轉成混浠碼（obfuscated…

Google 近年不斷強化用戶的私隱保護功能，例如招聘特別安全人員去篩選 Google Play Store 上的可疑 Android app ，加強 Android 11 作業系統的安全功能。而在最新推出的 Chrome 瀏覽器版本86上，亦特別加強密碼管理、反下載惡意程式方面的功能，一定要盡快更新。 去年 Google 推出 Chrome 79 時，新增…

網絡安全好重視認證，不過，正如有安裝防毒軟件都唔係百分百安全，有認證其實都只係安全嘅第一步，因為黑客都識得以正常途徑攞認證，以 Apple Developer Certificate 為例，呢個就係黑客慣常使用嘅手段，用嚟瞞過 Mac OS 嘅 Gatekeeper、XProtect 防禦系統，等惡意軟件可以成功安裝。 最近上述嘅攻擊手段，又再次出現喺 Mac OS 之上。發現今次呢個 TARMAC 安全漏洞嘅係數碼媒體安全公司 Confiant，其實佢哋嘅專家早喺今年初，已發現 TARMAC 嘅前奏攻擊 Shlayer。當時專家指出 Shlayer…

無檔案惡意程式日益嚴重，多少因為現今的防毒工具偵測能力越來越強，相對而言無檔案惡意程式較難被偵測，而且可長期匿藏兼無限復活，非常難纏。根據報導，針對企業的攻擊得逞案例當中，有 77% 是無檔案惡意程式攻擊，大家要認識這種攻擊方法，加倍提防。 甚麼是無檔案惡意程式 無檔案惡意程式（Fileless Malware）是一種利用既有軟件、被認可的應用程式如 Microsoft Word、Flash、Adobe PDF Reader、JavaScript 甚或系統工具如 Microsoft Windows Management Instrumentation (WMI) 、PowerShell 之類去執行惡意行動的網絡攻擊。它不似傳統的惡意程式那樣帶有明顯特徵，亦不以電腦硬盤為目標，尤其針對記憶體進行攻擊，其隱蔽性極高、匿藏期長，一般 whitelisting、signature detection、hardware…

唔知有無 Android 手機用家發現，最近啲 Data 數據用量好快乾塘，兼夾手機成日好似暖蛋咁熱？有嘅話就要小心喇，可能你部手機已裝咗藏有 DrainerBot 惡意廣告代碼嘅軟件，暗掗地幫你不斷睇廣告，每個月可以消耗 10GB 數據用量及不停為手機放電之餘，仲連品牌投放喺廣告上嘅預算都搾乾埋，好陰毒呀！ 講緊嘅係全球企業軟件供應商 Oracle 早前發現，一款名為 「DrainerBot」嘅惡意廣告代碼，開始喺 Google Play 上嘅應用程式內出現，佢嘅作用，係會自動向廣告供應商要求下載廣告影片，但只會隱形播放，絕對唔會喺應用程式內嘅廣告位上出現，所以大部分受害者好難發現已經中咗招，只會懷疑自己係睇片或玩 Facebook 時洗大咗。 除咗手機用家受害，就連品牌一樣被牽連，因為呢啲已被「機械人」點擊播放嘅廣告，當然需要品牌找數，廣告費用猶如直接倒錢入海。而更無辜嘅係，因為好多開發者只係將下載廣告嘅程式代碼直接放入應用程式內，經過今次事件，連商譽都損失埋，呢鋪真係全世界都輸，唯獨廣告供應商有錢落袋。 根據…

一般來講，.exe 檔案是在 Windows 系統執行，而如果於 macOS 執行.exe 檔案，應該就會出現 error。但 Trend Micro 研究員最近發現有 .exe 惡意程式偽裝成 macOS installer，能夠繞過蘋果 macOS 嘅保安而感染系統，認真奇妙。 研究員發現數個惡意應用程式偽裝成為 .dmg 安裝程式，內含以…

黑客利用技術手段在不同的攻擊事件中賺取豐厚回報。然而，若擁有技術而又想要合法且正當地獲取收入，其實可以通過正規途經，例如參加漏洞獎勵計畫（Bug Bounty Programs）。利用自己的專長幫助企業強化其網絡安全防護，不僅為網絡安全做出貢獻，還能夠獲得不錯的回報。 漏洞獎勵計畫，是由漏洞回報平台邀請廠商提交自己的產品作測試，並邀請安全研究人員找出並報告參與計劃公司的軟件、網站或應用程式中的安全漏洞。安全研究人員可以選擇如 HackerOne、Bugcrowd 或香港本土的初創公司 Cyberbay 等漏洞回報平台與廠商提交漏洞並進行溝通。一般而言，參與者將獲得金錢獎勵、公開表揚或廠商提供的紀念品。 想睇更多專家見解？立即免費訂閱！ 在 HackerOne 的新聞稿中，提到六名安全研究人員憑藉發現並報告安全漏洞，成功在平台上賺取超過百萬美元的獎金。而像 Google、Mircosoft 和 Apple 的科技巨頭，對嚴重漏洞的單個賞金獎勵高達 150 萬美元，其中 Google 就透過其漏洞獎勵計畫（VRP），向全球安全研究人員支付了近…

2023 年網絡安全事故第一位，相信都要數 MOVEit Transfer 檔案共享服務遭入侵事件，安全專家指勒索軟件集團 Clop 於服務中發現零日漏洞，可以使用 SQL injection 技術遙距執行惡意編碼，提升帳戶特權任意讀取使用該服務的客戶資料。雖然開發商 Ipswitch 很快已推出修補檔，但不少客戶如英國航空、BBC 及 Boots 均表示已遭受入侵，有專家更估計已有 2706 個機構遭受牽連，至少有 9300 萬個人資料外洩。 想知最新科技新聞？立即免費訂閱…

網絡安全公司 McAfee 研究員發現一個之前未被偵測到的 Android 木馬程式，這款被稱為 Xamalicious 的木馬程式最遠可追溯至 2020 年，由於它被隱藏在一些看似合法的手機應用程式內，而且又成功於 Google Play Store 上架，因此感染數量達 33 萬，雖然這些程式已被下架，但已安裝的用家仍須手動刪除，以免被繼續盜用手機內的私隱資料。 想知最新科技新聞？立即免費訂閱 ！ 14 款應用程式受感染 早前…