點擊劫持（clickjacking）是一種將惡意程式隱藏在看似正常的網頁中,並誘使使用者點擊的手段。比如受害人收到一封包含一段影片的電子郵件，但按下「播放」按鈕並不會真正播放影片，反而是被誘騙到另一個購物網站。
相關案例:
以”你的照片”為餌的點擊劫持（clickjack）最常出現在Facebook、Twitter、Google+
《點擊劫持（clickjacking）》攻擊想更換Facebook情人節專屬布景嗎?小心上網被監視
《物聯網 IoT浪潮》住家智慧化，第二部
趨勢科技在這篇文章的前一部裡解釋了什麼是住家「智慧化」，為什麼人們要加以採用，並介紹了一些會影響人們將住家自動化加入日常生活的因素。
還有哪些因素會影響到智慧型設備,是否被一般住家接受？
更換現有設備
當家中現有的設備和家電需要更換時，屋主可以選用智慧型設備來更換。當然，使用者可能實際上並沒有用到設備的「智慧」功能，至少一開始沒有。
消費者不喜歡麻煩,為了「保持事情簡單化」他們希望最好不用在家裡還要不停管理和維護安全基礎設施，為了不增加住家的被攻擊面，消費者甚至最終可能會不去使用智慧型設備所提供的功能。這一切意味著生命週期較短的設備和那些較耐用持久的設備比起來更容易被「智慧化」。
寬頻供應商綁約
在許多情況下，寬頻廠商不僅提供網路連線，還包括了電話和電視服務。隨著消費者的續約，有越來越多人被吸引在合約中加入智慧型居家服務。美國的例子包括時代華納的IntelligentHome，AT＆T的Digital Life和Verizon的Home Control。所有這些提供給智慧型住家的產品都涵蓋了自動化，安全和節能。
這表示過去沒有想到要購買智慧型設備的使用者可能會發現自己買了這些產品：畢竟，現在這只是他們所購買整包東西內的一小部分。 繼續閱讀
《物聯網（IoT）安全趨勢》船長，你的船在哪？全球船舶追踪系統的漏洞
近年來，超過300頓的商業用船隻（非漁船）和載客用船隻（無論大小和噸位）都強制性安裝船舶自動辨識系統（AIS）,用來強化船舶追蹤，對海上交通提供除了傳統頂部雷達外更多的安全性。估計約有40萬艘船隻已經安裝AIS, 它的運作方式就是取得GPS座標，和附近的船舶、海上設施（如港口、交通管制站）以及網路上的追蹤和視覺化服務交換船隻位置、航向和資訊。是目前避免碰撞，海上安全，幫助導航和事故調查最好的系統。
趨勢科技的研究人員發現AIS船舶追蹤系統內有漏洞會讓攻擊者劫持船隻通訊，製造虛假船隻，引發假求救訊號或碰撞警報，甚至永久禁止任何船隻的AIS追蹤系統。
圖一、300噸的船隻不該在城市的主幹道上航行
隨著世界逐漸地連接到物聯網（IoT ,Internet of Things）上，趨勢科技的前瞻性威脅研究人員持續地研究在不久的將來可能被攻擊者濫用的技術。在去年吉隆坡舉行的HITB安全會議上，兩位來自該團隊的研究人員（Kyle Wilhoit和Marco Balduzzi博士）和獨立研究員Alessandro Pasta一起展示了系列試驗，顯示AIS具有漏洞而可能遭受多種能夠被海盜、恐怖份子或其他攻擊者輕易執行的攻擊。
攻擊可以分為兩部分。首先，我們發現收集AIS資料並將其公布的主要AIS網路供應商有漏洞，讓攻擊者可以篡改有效AIS資料，並加入無效的AIS資料，如：
- 修改所有的船隻詳細資料，如位置、路線、貨物、國籍、速度、名稱、MMSI（水上行動業務識別碼）狀態等。
- 建立擁有相同細節的虛假船隻，例如運送核子貨物的伊朗船隻出現在美國海岸
- 建立和修改助航（AToN）項目，如浮標和燈塔。這會導致封鎖到港入口，造成船隻破壞等狀況。
- 建立和修改海上搜救航空器，像直升機和輕型飛機，例如讓海岸警衛隊搜救直升機「起飛」和以設定路線航行。
其次，我們也發現所有必須裝在船隻上的硬體收發器在AIS協定的實際規格缺陷。除了上述威脅，我們還證明了更多可能狀況： 繼續閱讀
假冒銀行轉帳通知耍詐!!新的銀行惡意軟體會利用網路監聽來竊取資料
隨著越來越多使用者使用網路銀行，有越來越多銀行惡意軟體出現也就並不令人驚訝了。事實上，趨勢科技在2013年看到有將近一百萬的新銀行惡意軟體變種出現，是前一年的兩倍。銀行惡意軟體趨勢一直持續到今年，加入了新的惡意軟體，甚至是新的技術。
就在趨勢科技發現會利用Windows安全功能的銀行惡意軟體後幾個星期，我們注意到另一個銀行惡意軟體。讓這個被偵測為EMOTET的惡意軟體特別值得注意的是，它會「監聽」網路流量以竊取資料。
垃圾郵件連結
EMOTET變種會透過垃圾郵件到達。這些郵件通常和銀行轉帳和快遞收據有關。收到這些電子郵件的使用者可能會被說服點入連結，因為該郵件跟金融交易有關。
圖一、垃圾郵件樣本
圖二、垃圾郵件樣本
裡面出現的連結會導致下載EMOTET變種到系統內。
通過網路監聽竊取
一旦進入系統，惡意軟體會下載它的組件檔案，包括內含惡意軟體目標銀行資訊的設定檔案。工程師所分析的變種顯示某些德國的銀行被列入監控網站列表。但是請注意，可能會有不同的設定檔案。因此，不同的設定檔案可能也會包含不同銀行的監控資訊。
另一個下載的檔案是會注入到所有程序的DLL檔案，負責攔截和記錄對外的網路流量。當注入到瀏覽器，這惡意DLL會用先前下載的設定檔案內的字串來比對所訪問的網站。
如果字串符合，該惡意軟體會取得存取的網址和送出的資料來重組出資訊。該惡意軟體會將網站內容全都儲存下來，代表可以竊取和儲存任何資料。
EMOTET甚至可以「監聽」透過安全連線送出的資料，因為它可以掛到下列網路API來監控網路流量：
- PR_OpenTcpSocket
- PR_Write
- PR_Close
- PR_GetNameForIndentity
- Closesocket
- Connect
- Send
- WsaSend
趨勢科技的研究人員嘗試登錄會被惡意軟體給擷取，儘管該網站使用HTTPS。
圖三和圖四、嘗試登錄會被該惡意軟體所擷取
手機病毒滿 10 年,高風險行動 app 已突破二百萬大關
行動裝置威脅因失竊資料在地下市場需求增加突破二百萬大關!!
行動裝置惡意程式與高風險的 App 程式數量在第一季突破二百萬大關，從第一個行動裝置概念驗證 (PoC) 惡意程式至今正好滿十周年。
2014 Q1出現大量的資料竊取程式，這很可能是因為地下市場對行動裝置失竊資料的需求增加所致。更糟的是，現在犯罪集團在地下市場上提供了更容易重新包裝 App 程式的方法，這或許說明了為何光本季就發現了大約 647,000 個新的行動裝置惡意程式與高風險的 App 程式。
今年前三個月除了行動裝置惡意程式數量成長之外，我們也發現了各種全新的手法。它們使用 Tor 洋蔥網路來確保幕後操縱 (C&C) 伺服器通訊的隱匿性，此外，也出現了專門從事數位貨幣採礦的行動裝置威脅。另外還出現一個名為 DENDROID 的全新遠端存取工具，它會擷取裝置的螢幕畫面、錄下影像及聲音，並將這些資料拿到地下市場賣給最高出價者。
這一切證明了什麼？那就是，隨著越來越多使用者「邁向行動化」，行動威脅也將越來越多。
「然而，隨著行動裝置數量近年來倍數成長，行動裝置惡意程式成長速度超越電腦威脅也就不令人訝異。原本用在電腦使用者身上的技術，如 Tor 和數位貨幣採礦，如今也都成為對付行動裝置使用者的手法。」
—Kenny Ye (行動裝置威脅研究員) 繼續閱讀