Pokémon 深受全球民眾歡迎,連帶其相關遊戲亦掀起熱潮。惟最近有黑客利用精心製作的 Pokémon NFT 卡牌遊戲網站,傳播 NetSupport 遠程訪問工具,並藉此控制受害者的設備,各位 Pokémon 粉絲要小心切勿上檔! Pokémon 和 NFT 都是流行關鍵詞,故不難想像不法份子能透通過垃圾郵件、社交媒體帖子等,吸引大眾到訪該網站。Bleeping Computer 報道指,之前仍在運作的網站 pokemon-go[.]io,聲稱是新 NFT 卡牌遊戲的主頁,並已取得 Pokémon 周邊產品特許經營權,向玩家提供遊戲策略及投資 NFT…
Search Results: Hacker (83)
在今年 6 月,Microsoft 宣布不再支援 Internet Explorer,並讓 Microsoft Edge 推出兼容 IE 的版本。但最近竟發現黑客仍在尋找 IE 的漏洞,並將之利用作入侵。方法是透過電子郵件發送的 Office 檔案中,藏了一個 IE 漏洞,即使不是使用 IE 作默認瀏覽器,但仍會在 IE…
今年 7 月,有黑客先後在暗網出售 twitter 用家帳戶資料,其中一個資料組合涉及的用家數量更多達 540 萬個!專家估計黑客是趕在 twitter 的漏洞被堵塞前,大量收集用家資料。事件近日又有新進展,有黑客免費上載一個同樣有 540 萬 twitter 用家的資料組合,如果屬於同一數據,內裡便會有名人明星的電話、電郵等資料。 twitter自從被全球首富 Elon Musk 收購,負面新聞不斷,最新消息是有黑客於著名的資料外洩討論區 Breached 上,免費上載 540…
以色列網絡安全公司KELA發表最新調查報告,指專門出售入侵企業帳戶權限的黑客活動,在 2022 年第三季的數字雖然保持相若,但累計要求的報酬卻大幅上升至 400 萬美元,而且從各種網絡攻擊的數據可見,這些入侵權限最常被利用於勒索軟件攻擊之上,企業管理者應盡快堵塞入侵門路。 無論是勒索軟件或資料盜竊活動,在進行網絡攻擊前,必須先進入企業的內部網絡,例如勒索軟件集團 LockBit,便經常在暗網或地下討論區上刊登廣告,邀請擁有企業帳戶權限的人合作,由對方提供入侵門路,LockBit 則負責入侵、執行勒索軟件、與受害公司商議贖金及收款等工作,事後便會與帳戶權限提供者對分贖金。 出售企業帳戶權限拆家 ( Initial Access Brokers, IAB ),本身也是網絡犯罪世界中其中一門專業,KELA 網絡安全專家指出,他們或許因為缺乏入侵企業內部網絡的技能,又或不願冒上更大被捕風險,因此在取得企業帳戶登入權限,便選擇退居幕後,僅以出售帳戶權限謀利。 而在 KELA 發表的 2022…
俄羅斯防毒軟件公司 Kaspersky 警告,一個擁有 18 萬訂戶的香港 YouTube 頻道,正被利用推廣一個內含惡意功能的 Tor 瀏覽器,一旦用家跟著連結下載及安裝,除了會將輸入的帳戶資料及密碼上傳給黑客,還會進一步引入監控軟件,令使用 Tor 瀏覽器隱藏身份上網的意義全失! Tor 的全寫為 The Orion Router,又稱為洋葱網絡,是美國海軍研究所於上世紀 90 年代開發出來,用於令美國軍方及情報人員可在網絡上匿名通訊,其後在 2006 年交由…
密碼管理服務供應商 LastPass 上月承認公司遭受黑客入侵,不過,事故調查報告要到九月中才發表。官方聲稱黑客並未接觸到客戶資料及加密密碼引擎的詳情,換言之客戶可以放下心頭大石。LastPass 如果對這次事故的調查屬實,就可說是其中一個網絡安全案例正確示範,企業管理者不妨參考一下。 為了保障帳戶的安全性,不少用家都會聽專家之言,起碼會為帳戶採用強密碼,即密碼結合大細楷英文字串、符號、數字,以及密碼至少有 8 個位長度。不過,有調查指現時一般人至少擁有過百過網上服務帳戶,如果密碼要夠長及複雜,而且又要為每個帳戶設立不同密碼組合,相信很少人有能力做到,於是網絡安全專家會建議網民使用密碼管理服務,例如 LastPass、1Password 便是較出名的服務供應商。 雖然這個方法可解決用家無法記住太多密碼的煩惱,但如果密碼管理服務供應商遭受入侵,用家儲存的帳戶資料便有機會一次過被盜取,所以當 LastPass 上月爆出遭入侵事故時,不少用家都相當憂慮,因為隨時會為所有帳戶重設密碼。還好 LastPass 管理層終於發表調查報告,指出這次黑客雖然成功入侵公司的開發環境,假扮成公司其中一個開發人員並為帳戶通過多重因素驗證,不過,公司卻未有太大損失,原因主要有兩點。 首先,官方指 LastPass 有嚴格控制產品推出流程,即使黑客在這次事件中能假扮 Development Team 員工,但由於產品必須經過…
Zimperium 安全專家發現一個被稱為 ABCsoup 的惡意軟件家族,他們會將軟件假扮為多種瀏覽器的 Google Translate 延伸工具,一旦受害者誤信安裝,它便會暗中收集對方的個人私隱資料,以投放喜愛的廣告賺錢。專家指 ABCsoup 的惡意功能潛力極高,現時主攻俄羅斯地區,但難以保證不會擴散感染範圍。 愈受愈歡迎的軟件,自然愈易成為冒充對象。Google Translate 相信是每個網民都會使用的工具,部分用家更會在瀏覽器上安裝 Google Translate 延伸檔案,令使用上更方便。手機安全公司 Zimperium 早前便發現一個名為 ABCsoup 的惡意軟件家族,向俄羅斯網民大量散播假扮成 Google…
美國國土安全部 (The Department of Homeland Security) 去年啟動 Hack DHS 賞金獵人計劃,以賞金邀請有能之士找到系統的安全盲點。計劃執行近半年,DHS 方面公布已堵塞 122 個安全漏洞,當中有 27 個屬極危險級別,而整體只發放了 12.5 萬美元獎金,可見這類賞金獵人計劃的性價比極高。 針對他國發動網絡攻擊,藉此窒礙敵國的經濟發展或刺探政治軍事機密,有時比起派間諜執行更有效率。作為全球最大影響力的美國政府,單在去年已多次指控俄羅斯政府放任黑客集團攻擊,對美國市民造成能源短缺、大量企業受到勒索軟件攻擊等後果。而為了加強國家網絡安全防禦力,美國聯邦政府曾發出行政指令,要求各政府機關盡快堵塞系統漏洞,並發出指引要求各部門執行。 不過,要找出系統漏洞,單靠部門內的專家未必可行,最有效率的方法是邀請外人調查,過程才能做到不偏不倚,探查能力甚至會更大。有見及此,美國國土安全部便於 2019…
在數碼化年代,無論大公司或中小企,都有機會安裝大量 Applications,很多黑客的攻擊目標,就是當中負責核心業務的關鍵應用程式,因此「零信任架構」Zero Trust Architecture 變得越來越受重視。 雖然零信任保安的概念很簡單直接,但落實執行時反而困難重重。illumio Regional Director Catherine Chui表示,「現時很多企業想 Isolate 一些 Critical Application 時,仍在使用 IP Address 和 Network Diagram…
應用程式在發布時不免有漏洞,因此不少大企業都設有獎金制度,鼓勵一眾「漏洞獵人」回報發現。最近 Zoom 公布,在 2021 年共向一眾研究人員發放漏洞賞金共 180 萬美元;該計劃自啟動以來已獎勵 240 萬美元。 這個漏洞賞金計劃歡迎所有人提交漏洞報告,並為企業組織改善其安全狀況的重要方法,因為該行業人才短缺,難以發現所有出錯。據估計,到 2025 年時,僅在美國已有大約 350 萬個相關職位空缺,在沒有更多專家產生前,企業通常不能單靠內部安全團隊,因為他們的工作量已經很多。所以漏洞賞金就發揮其作用:鼓勵外部研究人員和漏洞獵人對軟件和服務進行測試,並報告所發現的任何嚴重安全問題,再以獎金作為回報。 由於疫情和禁足措施在各國實施,在家工作成為大勢,而Zoom 提供的視像會議軟件服務的用量爆炸式增長。在這情況下,用戶快速增長就突顯了須迅速解決安全問題的重要性。Zoom 的主要項目屬私有性質,但該平台亦積極招募安全研究人員,超過 800 名研究人員參與了由 HackerOne…