曾經盛極一時嘅挖礦劫持攻擊（Cryptojacking），由於賺錢效率極低，喺上年中開始已無乜黑客使用。不過，Symantec 指出喺今年第二季，偵測到嘅 Cryptojacking 竟然比上季勁升163%！唔通有新方法搵錢？ 隨住加密貨幣（Cryptocurrency）嘅興起，唔少人都添置咗強勁電腦喺屋企挖礦賺錢。不過，有黑客就唔想買電腦同俾電費，於是就透過 Cryptojacking，偷偷喺人哋嘅電腦或網站上置入挖礦程式，用人哋嘅資源嚟搵錢，手法可謂極度卑劣。當中一間德國公司 Coinhive 就專門提供門羅幣（Monero）挖礦程式服務，只要喺網站程式碼內嵌入佢哋嘅程式，當有網民瀏覽呢個網站，電腦運算資源就會被利用嚟挖礦，網站所得收入就會同 Coinhive 分成。另一方面，亦有黑客偷偷哋入侵人哋嘅網站，再嵌入 Coinhive 程式碼，借人哋嘅網站賺錢。據調查統計，高峰時期至少有 4200 間英美網站被植入挖礦程式碼。 不過，自從各大瀏覽器開發商開始攔截呢啲植入挖礦程式碼嘅網站，再加上門羅幣價值暴瀉八成，Coinhive 亦再搵唔到錢，結果喺上年 3 月宣布停止服務，順帶令到 Cryptojacking 步向衰落。而最大嘅原因係，利用網站嚟挖礦所得費用，居然仲低過正正經經刊登廣告，所以點解喺今季又突然多咗人用呢？…

踏入六月，各地疫情開始漸見好轉，以為係好開頭？不過對 Cisco（思科）嚟講就唔係咁順喇，除咗因為美國示威持續，令到本來六月頭舉行嘅線上年度大會「Cisco Live」要延期再搞。啱啱上個禮拜佢哋又發出一則安全公告，內容係話佢哋旗下一款產品Nexus switches （一款用嚟建立資料中心架構，為企業提供網絡資料同步、API 自動化同簡化運作等服務嘅產品），喺 NX-OS 軟件發現漏洞（CVE-2020-10136），遠端攻擊者可以利用呢個漏洞，繞過目標系統嘅保安限制，甚至導致服務中斷。 Cisco 發現呢個漏洞係因為部分裝置喺未有隧道設定（tunnel configuration）嘅情況下，會將機器配置嘅 IP 地址收到嘅 IP-in-IP 數據包（Patch），意外地解封同處理，所以未通過認證嘅攻擊者，就可以傳送特製嘅 IP-in-IP 數據包去受影響裝置，導致網絡排程崩潰甚至要重啟，繼而俾佢哋有機會乘虛而入。IP-in-IP 隧道協議存在呢個嚴重漏洞，令到黑客可以繞過 Access Control…

成功制止 WannaCry 勒索軟件嘅傳奇黑客，何以會創造銀行木馬 Kronos？講起真係有段古。 有人用折翼天使嚟形容年僅 27 歲嘅天才黑客 Marcus Hutchins，其「天使」部分可以參考舊文，呢篇主要講返佢點「折翼」。已經喺美國接受一年監管嘅 Hutchins，臨被遣返英國前幾日，接受咗《Wired》雜誌訪問，回帶講述 9 至 27 歲經歷，剖白「反叛」嘅青春期。 Mix 喺亞洲好受歡迎，但係純種至上嘅英國社會，天生牛高馬大、一頭天然鬈髮嘅蘇格蘭牙買加混血兒，似乎就格格不入嘞；再加上佢對足球無感呢個原罪，Marcus Hutchins 過住被孤立嘅童年。以為黑客一定好宅？相反運動細胞超卓嘅佢，其實相當好動，細細個已跟住務農嘅業主起樹屋、劈柴、坐拖拉機；成長期愛上沖浪，開始接觸競技性拯溺運動 Surf Livesaving，贏過一大堆國內賽事獎牌。…

原本由美國海軍研究實驗室喺上世紀 90 年代開發嘅 TOR（The Onion Router）洋蔥路由器，早前公布自家瀏覽器 Tor Browser Bundle 存在重大漏洞，有可能俾有心人追蹤到用家嘅真實 IP 位址，令到 TOR 嘅隱身功能失效！ 用得 TOR 瀏覽器嘅人，應該都係睇中佢嘅隱身能力。TOR 嘅運作原理係當用家由上網裝置發出上網指令，到真正去到目標網站嘅過程中， TOR 會將你嘅…

原本由美國海軍研究實驗室喺上世紀 90 年代開發嘅 TOR（The Onion Router）洋蔥路由器，早前公布自家瀏覽器 Tor Browser Bundle 存在重大漏洞，有可能俾有心人追蹤到用家嘅真實 IP 位址，令到 TOR 嘅隱身功能失效！ 用得 TOR 瀏覽器嘅人，應該都係睇中佢嘅隱身能力。TOR 嘅運作原理係當用家由上網裝置發出上網指令，到真正去到目標網站嘅過程中， TOR 會將你嘅…

物聯網（IoT）產品又出事喇，不過今次無特別講明係邊個品牌嘅產品，而係有黑客喺一個知名嘅黑客討論區上，一次過將呢 51.5 萬個 IoT 裝置，包括伺服器、router 及其他 IoT 產品嘅登入名稱、密碼，連同獨立嘅 IP 位址，全部公開益街坊，點解嘅點解嘅？ 今次唔使估估吓，因為黑客本身都講咗佢點搵到呢啲資料同埋公開原因。原來搵呢啲資料並唔困難，佢只係用軟件去掃描成個互聯網上有公開到 Telnet port 位嘅連線產品，之後再用原出廠設定名稱及密碼，同埋弱密碼組合呢兩個方法，嘗試破解呢啲產品，結果就搵到呢 51.5 萬個有齊全資料嘅裝置，可以用嚟發動大規模嘅 DDoS 攻擊嘅 bot list。…

為咗吸引客戶上台，流動網絡商都會提供各種手機優惠上台計劃，只要客戶簽訂一年或以上合約，就可以超平價錢買手機。回想 iPhone 好炒得嘅年代，就有唔少人會上台後賣走 iPhone，賺取嘅差價就夠俾一年或以上嘅月費，可以大慳網絡費。不過，喺美國就唔係好 work，因為上台客戶除咗要簽約，就連手機都有 SIM lock，客戶必須插住網絡商嘅 SIM 卡先用得，變相限制咗 iPhone 嘅易手價值。不過，要解鎖都唔係無辦法，其實網絡商可以喺系統做嘢，只要取消系統上 iPhone 嘅 IMEI 登記，呢部手機就可以用到其他網絡商嘅 SIM 卡。 100萬美元解鎖賄款 財路就係咁出現喇，一個巴基斯坦黑客 Muhammad…

惡意木馬軟件 Mirai（未來）又有新變種，雖然都係針對 IoT 產品嚟攻擊，但就識得透過 Tor 洋蔥網絡嚟隱身，令網絡安全專家難以追蹤 C2（Command and Control）嘅位置，一旦黑客控制呢啲受感染 IoT 嚟發動攻擊，想阻止或壓制佢嘅感染力，就會變得好困難喇。 Mirai 專搵 IoT 缺口 Mirai 呢隻木馬軟件，喺 2016 年曾引發過多宗 DDoS…

當上網已成習慣，網民最講求上網要快要方便，最緊要唔使成日入密碼或做機械人認證，如果 Load 個網站要等多過三秒鐘？隨時已經無興趣再等。但你有無諗過，方便快捷嘅背後，你犧牲咗啲乜？就係付出太多個人私隱訊息，唔想咁可以點？ TOR 幫到你。 瀏覽器洩密真危機 成日講上網會洩露好多個人訊息，究意有幾多？講多無論，試下入呢個網站 （webkay.robinlinus.com）先。試完係咪好驚驚？抑或睇完都無乜感覺？不妨抽幾樣嚟睇睇。首先係地圖位置，如果罪犯掌握到你實時位置，即係知道你行蹤，唔單只女士會好危險，如對方有你屋企地址，更可以肆無忌憚等待良機爆格。 跟住就係用緊嘅上網裝置作業系統同瀏覽器版本，作業系統及軟件供應商成日叫大家更新系統版本，就係為咗堵塞一啲已知嘅漏洞，如果黑客知道你未更新，要攻擊你就容易好多啦。再嚟就係 Auto-Fill Phishing，如果你貪方便啟用咗，黑客有機會通過唔同方法例如 Cross-Site Scripting （XSS）嚟盜取你嘅登入資料，所以話如果你嘅瀏覽器透露咗咁多訊息，係咪好危險？ TOR網絡 遊花園消痕跡 如果你唔想乜都俾人𥄫實，可以點做？你可以試用 TOR（The Onion Router）洋蔥路由器。…

從事資訊安全工作多年，曾在不同場合的講座中，被不少中學生和老師問我如何入行？要成為資安顧問，有何學歷要求？ 資安顧問是否「黑客」？ 應該考取哪些資安課程證書會較實際？甚至打爛沙盆問到篤，追問資安顧問的收入及發展前途。當然除了學生之外，還有其他行業人士有興趣「中途轉機」，可見普羅大眾對資安行業的資訊還是比較陌生，更遑論要成為資安 新人王 。 著重實戰經驗 其實資訊安全行業絕不神秘，跟其他行業一樣，也有很多相關證書可以考取，晉升階梯亦算清晰。接下來筆者將會撰寫一系列資安入行秘笈，分享在業內快人一步上位的正確途徑。 毋容置疑，擁有資安證書會較容易入行，但如果你有使用和安裝網絡安全產品 （如防火墻）的經驗，又或有 PKI 密碼學和電子證書使用和配置的經驗，甚至乎你已考取了相關的國際資安證書，很多公司都會願意聘請成為資安顧問。不過，最穩打穩紮的途徑，還是修讀香港各大教育機構開辦的課程。 VTC 資安 新人王 速成班 香港專業教育學院（VTC）開辦的資訊及網絡安全兩年制高級文憑 （Diploma）全日制課程，可算是本地課程的表表者。課程旨在訓練學生學習及應用資安知識，去分析、設計及實現安全的網絡及電腦系統。課程的內容緊貼市場，還著重通識教育、語文訓練、全人發展，亦為學生提供實習機會，有助加强學生的解難能力和熟習職場運作，往往一畢業就能快速受聘並跟職場環境磨合，屬於實戰型課程。本港不少公營機構及私營企業，包括跨國公司等，都樂意提供實習機會給這課程的學生。 入學門檻並不算高，只要於香港中學文憑考試 (Hong Kong Diploma of Secondary Education Examination, DSE)其中五科成績考獲第二級或以上（包括英國語文及中國語文）；或擁有 VTC 基礎（級別三）／基礎課程文憑、中專教育文憑／職專文憑、毅進文憑或同等學歷，即可申請。不過，這課程屬 VTC 的熱門學科，每年招收約 90 個學生，但入學申請卻多達數百，競爭頗為激烈。…