呢隻橫空出現，堪稱空前但未必絕後嘅殭屍網絡叫做 Dark Nexus，普遍認為係由一個以開發殭屍網絡而出名嘅「greek.Helios」出品，佢由 2017 年開始，已經兜售緊分散式阻斷服務(DDos)同殭屍網絡編碼嘅人。 呢隻惡意程式沿用咗另外兩隻都好常見嘅殭屍網絡 Qbot 同 Mirai 部分原始碼， 再加上自家製嘅核心功能，包括可以針對 12 種唔同CPU架構而特製嘅 payloads 。根據名單顯示，Dark Nexus 攻擊到嘅路由器型號相當廣泛，港人常用嘅 Dlink、ASUS，以及Dasan、Zhone都榜上有名，而且由攝影機到熱像探測儀，都係攻擊目標。 Dark Nexus 已經出現咗三個幾月，期間發布過三個版本，根據防毒軟件商…

以為雙重驗證碼（Two Factor Authentication, 2FA）好安全？魔高一丈嘅黑客已經成功破解，所有 Andriod 用戶嘅帳戶都有極大被盜用風險！ TrickBot 自 2016 年被發現至今，一直係最活躍嘅銀行木馬病毒。IBM X-Force 研究團隊最近公布 TrickBot 正利用一款 Andriod 惡意軟件 Trickmo，順利竊取多間銀行發出嘅雙重認證碼，竊取用家交易認證碼。 專攻德國銀行用戶 根據 IBM…

唔少人去餐廳或 cafe 嗰陣，都習慣將手機放喺枱面，方便隨時檢查下有無短訊或接聽來電。而為咗私隱問題，通常都會將屏幕朝下，咁就唔怕其他人（特別係另一半）睇到自己同邊個傳緊短訊，甚至係訊息內容啦！不過，有網絡安全專家指出如果手機啟動咗語音助手功能，放喺枱面呢個行為已足夠俾有心人奪取你部手機嘅控制權，暗中讀取你嘅私隱，最驚係可以用你部電話打俾其他人傾偈，而你係完全唔會發現㗎！ 發現呢個漏洞嘅研究員，係來自華盛頓大學電腦科學及工程嘅 Ning Zhang，佢稱為 Surfing Attack 所利用嘅方法，其實只係人耳聽唔到，但手機收音咪就接收到嘅高頻音效，於是就可以暗中向手機嘅語音助手發出指令，例如讀取剛收到內有雙重因素認證（2FA）碼嘅訊息、甚至係用你部手機打電話同人傾偈添。研究員試用過市面上 17 部智能電話，包括 iOS 陣營嘅 iPhone，以及 Android 陣營嘅 Samsung Galaxy 等等，佢話只要將手機放喺枱面，無論將枱用金屬、玻璃、木作為材料，甚至喺 30呎外，都一樣可以通過枱作為媒介，將高頻音效傳送過去，而且正面或反面咁擺，都完全無問題，不過屏幕朝下就更難察覺手機運作緊咁解。…

唔少人都有用過語音助手，例如 iOS 嘅 Siri，又或唔同品牌嘅智能喇叭，而相信絕大部分人都有相信經歷，就係語音助手會失驚無神跳出嚟，有時仲會自動解答一啲你無問過嘅問題，認真令人費解。有美國大學就做咗一個為期半年嘅測試，了解一下呢啲智能語音助理嘅聽力障礙到底有幾嚴重，同埋會偷錄幾耐用家嘅對話，發現有語音助理一日可以誤啟 19 次，最長仲會偷錄 43 秒音效添！ 今次呢個測試係由美國東北大學學者主導，首先佢哋搵嚟五部智能喇叭，包括 Google Home Mini、Apple HomePod、Harman Kardon Invoke by Microsoft、第二同三代 2 Amazon Echo…

除咗銀行，賭場都稱得上係另一個收埋好多錢嘅地方，如果話你知有黑客成功入侵賭場，第一個反應通常都以為係為咗偷錢。不過，竟然有黑客係為咗偷賭客資料而入侵，唔通嫌錢腥？ 根據網絡安全公司 Talent-Jump 及 Trend Micro 剛啱公布嘅調查報告，指出由上年夏季開始，已發現有一班由中國政府支援嘅黑客組織，開始向一啲網上賭博或投注網站發動攻擊，佢哋嘅目標主要係針對東南亞賭博公司；而入侵目標係瞄準資料庫及程式源碼。專家指出，呢班黑客入侵嘅手法並唔特別，只係透過魚叉式釣魚電郵（spear-phishing），引誘賭場員工開啟電郵內嘅附件，喺網站上植入後門，之後就陸續安裝各種惡意軟件，包括暴力破解工具、掃瞄 NETBIOS 伺服器工具、提升權限工具、盜取密碼或 Clipboard 資料工具等等，令佢哋可以喺內部網絡搵到想要嘅嘢。由於呢班黑客係利用 Dropbox 嚟儲存惡意軟件及 C&C 工具，所以安全專家將佢哋稱之為 DRBControl（DRopBox Control）。 以往國家支援嘅黑客組織，主要係為咗政府服務，例如有專門針對竊取高端技術嘅黑客，亦有以癱瘓目標網絡活動嘅黑客軍團，不過，專家指出今次入侵賭博網站嘅行為似乎同國家無關，好可能只係黑客嘅個人行為。事實上，網絡安全公司 FireEye 喺上年亦指出有中國支援嘅黑客組織喺工餘時間，為興趣或個人利益去發動私人攻擊。至於入侵賭博網站係咪真係同政府無關呢？我個人就有好多聯想嘞，例如係咪搜集緊某啲「賭客」嘅投注記錄，作為洗黑錢或收受利益嘅證據？無論係為國家或個人利益，攞住呢啲痛腳，回報同風險隨時好過直接偷錢多多聲㗎。…

Google 嘅 Android 智能手機應用軟件商店 Play Store， 一直俾人垢病把關不力，成日有內藏惡意軟件嘅 app 上架。當中原因，係 Android app 嘅取用權限政策過於寬鬆，開發者可以較容易攞到一啲同自己隻 app 功能無關嘅手機功能權限，例如影相 app 會問用家拎埋聯絡人使用權限等等，其實可能未必同隻 app 本身嘅功能有關係，但 Google 方面又會批准上架喎，首先咁做已可以增加到開發者竊取私隱嘅風險，另一方面，如果搞唔清楚攞到呢啲權限原來會出現系統漏洞，同樣會造成私隱危機，好似上年網絡安全研究團隊…

又到新年購物意欲旺盛的時候，在報復性消費前，不少消費者都習慣利用搜尋引擎，查找一下有否更便宜的選擇。CyberNews 最近便在 Google 做了一個調查，看看搜尋結果中有沒有「伏」；眾所周知，Google 搜尋前列數項結果都是廣告效果，店家只要付費給 Google 便能在特定搜尋字句中，便能讓自己的網頁得到好位置。不過付費下廣告的，並不一定是合法的賣家，受害人一旦誤入這些網頁，或會被導向至惡意網絡釣魚網站，誘使他們購買假冒或不安全的產品，甚至被欺騙個人資料。 CyberNews 的調查小組為了測試 Google Ads 所展示的網頁是否安全，進入了 692 個有「Black Friday」或「Cyber Monday」宣傳優惠的網站，分析它們的 Domain，並以網域年齡（Domain age）、黑名單狀態（Blacklist Status）及網頁信任分數（Website Trust…

美國加州警方表示，最近汽車爆竊案嘅數字明顯大增，因為匪徒手上擁有一件「殺手級」武器——藍牙掃瞄器，只要喺你車旁邊掃一掃，就知你架車入面收埋咗啲乜嘢貴重電子產品，令匪徒能夠「快、狠、準」達成爆格任務，你話幾咁好用呢！ 根據加州三藩市警方表示，汽車爆竊案件喺 2017 年明顯增加咗 24%，而嚟到 2019 年更係破盡過往紀錄。而加州警方口中所講嘅藍牙掃瞄器，其實只係一隻手機應用軟件，有免費同收費兩種選擇。不過小編摷過 App Store，就算免費版本，其實已經提供到足夠資訊，俾匪徒決定係咪出手。到底有乜嘢資訊會俾隻 app 掃到，首先就係藍牙訊號嘅強度，等匪徒大約估到件嘢到底放喺車廂邊個位置，其次就係通過對比藍牙產品資料庫內嘅「電子指紋」，隻 app 仲可以顯示埋車入面嘅電子產品型號，甚至有埋相你睇。有咗呢張咁齊全嘅 catalogue，匪徒就可以慢慢揀，避免敲爆車窗後只偷到一啲廉價嘅平板電腦、手機、notebook，大大提升每次爆格嘅效率同價值啦。 由於呢啲藍牙掃瞄 app 可以隨便喺 iOS App Store…

iPhone 11 登場，宣傳一浪接一浪，同以往一樣，Apple 拍咗一系列廣告，去宣傳 iPhone 11 有幾好用，當中一條真係好 catching，用「Privacy. That’s iPhone.」做tagline，話俾你知 iPhone 11 有幾咁關心你嘅私隱……結果，當然係唔好太認真啦，廣告嚟嘅啫！ 點解我咁講？事緣資安網站 KrebsOnSecurity 喺今年 11 月中發現咗件怪事，就係佢哋用部新買嘅 iPhone 11…

Facebook 早兩星期先向以色列公司 NSO Group 提出起訴，指佢哋非法利用 WhatsApp 漏洞去竊取用家私隱。話口未完，早幾日 Facebook 公布叫用家更新 WhatsApp，用嚟修復另一個漏洞，只要用家開啟咗一個惡意 MP4 檔案，就有可能俾黑客入侵，發動阻斷式服務或遙距執行程式碼等攻擊。唔知你呢排有無收同開過可疑嘅 MP4 檔案呢？ 今次 WhatsApp 被利用嘅漏洞，屬於堆疊緩衝區溢位（stack-based buffer overflow），當 WhatsApp…