一群親克里姆林宮份子利用機器人在Twitter上發動攻擊，它們會張貼主題標籤為「＃триумфальная」（Triumfalnaya，莫斯科勝利廣場的俄文名稱）的訊息。這些機器人張貼了一大堆的國家口號和粗俗語言。以每秒十則速度出現，很成功阻擋了真正和這主題標籤有關的訊息被人接收到。
為什麼要去封鎖跟主題標籤「＃триумфалtная」相關的對話串出現？是因為在莫斯科勝利廣場（Triumfalnaya Square）舉行對俄羅斯最近選舉結果的抗議活動的反對派抗議份子,利用這個主題作為即時文字更新與訊息交流。
下面是可能的機器人名單，其中有許多可能是被入侵的帳戶：
在上周 OpenDNS 發表了他們新工具 – DNSCrypt的預覽版。將它吹捧成是網路私密性和安全性的巨大進步。立意很簡單，就是加密使用者在查詢DNS過程中的全部流量。這是個很好的想法，但我覺得他們並沒有真正解決問題。
根據OpenDNS所說，這是世上第一支真正實作DNSCurve的程式。他們的目標是提供整個DNS查詢過程的私密性（Privacy）和真實性（Authenticity）。不幸的是，你不能只用加密來包裝現有的通訊協定，就期望會變得比以前更安全。你還必須要看看整體的網路運作模式。當然你的DNS查詢會變得私密，讓同一個網路上的其他使用者或攻擊者都無法看到。但問題是出在你得到結果的幾毫秒之後。當瀏覽器對伺服器發出請求時，你透過加密DNS封包所得到的私密性瞬間消失。一個能夠看到你DNS封包的攻擊者，也就可能可以看到其他的網路流量。
如果你對資料的真實性比對私密性還重視，那有更好的方法可以做到。DNSSEC是給你的最佳答案。一個DNSSEC的主要優點是一些頂級網域（TLD）可以做到完整的認證直到根伺服器（該列表會指出有哪些頂級網域是簽證過的）。根據OpenDNS的DNSCrypt常見問答集，DNSSEC和DNSCrypt的功能完全相容：「他們完全不會有任何衝突。」 繼續閱讀
這篇文章是HTML5三部曲的第三篇，也是最後一篇。你可以參考前面兩篇–HTML5 好的一面3-1面 HTML5所帶來不好的一面3-2。
歡迎來到趨勢科技HTML5迷你系列的最後一篇，以及所要探討的安全問題。今天，要談些什麼呢？對我來說，在HTML5的新功能中，以長期來看最可怕的安全擔憂是BITB（瀏覽器殭屍網路/傀儡網路 Botnet – Botnets in The Browser）。
有了HTML5，現在攻擊者可以建立一個在任何作業系統、任何地點、任何設備上都能運作的殭屍網路/傀儡網路 Botnet。而且因為大都是在記憶體內執行，幾乎不會用到硬碟，所以傳統以檔案為基礎的防毒軟體很難偵測到。JavaScript程式碼也很容易模糊化，所以網路入侵偵測系統（Network IDS）的特徵碼也很難去偵測它。最後，因為它使用的是HTTP，所以也可以輕易的通過大多數的防火牆。
下面是從我們新推出的HTML5攻擊報告中，節錄出關於基於瀏覽器的殭屍網路/傀儡網路 Botnet攻擊的部份：
以下是基於瀏覽器的殭屍網路攻擊的各個階段
感染：只要能讓使用者執行JavaScript就可以感染他的電腦。有非常多的方法可以做到這一點，包括XSS攻擊、點擊電子郵件或即時訊息內的連結、Black SEO黑帽搜尋引擎優化、社交工程攻擊、被入侵的網站，還有許多其他的方法。
持久性：一個基於瀏覽器的殭屍網路/傀儡網路 Botnet殭屍網路，本質上無法像傳統的殭屍網路那樣持久。只要受害者關閉瀏覽器，惡意程式碼就會停止執行。攻擊者會需要記住這一點，所以送給瀏覽器殭屍網路的任務設計也必須考慮到這些殭屍網路節點的過渡性質。要能夠很容易的進行再次感染是很重要的，所以使用像是被XSS攻擊所入侵的網站這樣的持續型攻擊媒介是最有可能的。其他的方法是結合點擊劫持（Clickjacking）和標籤綁架（Tabnabbing）。點擊劫持一開始用來讓受駭者去點選另外的網頁，雖然跟原本的網頁長得一模一樣。當受駭者瀏覽網頁時會看到他預期的內容，但在背景有惡意標籤頁在執行著。當攻擊者使用標籤綁架時，甚至可以想辦法延長惡意標籤頁的壽命，例如偽裝成常用的頁面，像是Google或 YouTube。更簡單的延長持久性的方法是將惡意網頁偽裝成一個互動遊戲。最好是那種被設計成讓遊戲玩家保持全天都開啟著，偶爾回來完成一些新任務的遊戲。
攻擊後果：這類攻擊可能會造成以下的可能性：
網路釣魚（Phishing）利用標籤綁架的方法，攻擊者可以讓惡意標籤頁在每次失去焦點時改變內容。因此，每當受害者返回該標籤頁時，都會出現不同的服務登入畫面，讓攻擊者可以竊取身分認證資料。
這代表攻擊者有了新的攻擊武器，而且在不久的將來我們也一定會看到這些攻擊數量的增加，尤其是被用來做目標攻擊。雖然傳統針對惡意軟體的防禦措施並不適合用來攔截這種新的媒介，但是有兩個免費工具可以提供很好的保護：
趨勢科技的報告 – 「HTML5概述：了解HTML5的攻擊方式」已經可以在這下載了。
＠原文出處：HTML5 – The Ugly作者：Robert （資深威脅研究員）
◎ 歡迎加入趨勢科技社群網站
這篇文章是HTML5迷你系列的第二篇。你也可以看看第一篇:探討新的HTML5標準。從那些能夠加強網站互動的新功能開始。
而在今天的文章裡，趨勢科技將帶領讀者看看這些HTML5功能可能被攻擊者如何的濫用。這裡並不打算詳盡的列舉出來，但是你如果有興趣知道更多的資訊，我們會在本系列第三篇發表關於HTML5攻擊的深入報告。
下面並沒有照特別順序的，我們要介紹五種可能會利用HTML5功能的攻擊：
點擊劫持（Clickjacking）更加容易：點擊劫持本身不是種新的攻擊。它的目的是竊取受害者的滑鼠按鈕點擊，然後導到攻擊者所指定的其他頁面。攻擊者的目的是讓使用者在不知情下點擊了隱藏的連結。目前，對於點擊劫持最好的伺服器端防禦措施之一，是被稱為Framekilling的技術。本質上來說，受到影響的網站可以利用JavaScript來看看自己是否在一個iframe中被執行，如果是的話，就拒絕顯示。這種技術已經在用在Facebook、Gmail和其他一些網站中。但是HTML5在iframe增加了一個新的沙箱屬性，這會讓網站停止執行JavaScript。在大多數情況下，這其實是比較安全的設定，但它也有缺點，就是會抵消目前對點擊劫持最好的防禦。
利用桌面通知做社交工程攻擊：我們在HTML5 好的一面的文章內有提到HTML 5的新功能 – 桌面通知。這些出現在瀏覽器之外的彈出視窗，其實是可以用HTML程式碼來客製化的。雖然這帶來了很不錯的互動可能性，但它也是社交工程攻擊，像是網路釣魚（Phishing）或是假防毒軟體等手法的寶庫。看看下面的圖片就可以想像攻擊者可以如何的利用這一個新功能了。
利用地理定位追蹤受害者：地理定位是HTML5新功能中最受注目的之一。因為安全和隱私考量，網站必須先得到使用者的允許才能夠獲得位置訊息。然而，就跟之前出現過的其他功能一樣，像是Vista的使用者帳戶控制，Android的應用程式權限，還有無效的HTTPS憑證等，這些需要使用者作決定的安全措施很少是有用的。而一旦有了授權後，網站不僅可以知道受害者的位置，而且還可以在使用者移動時也能即時的追踪他們。
這裡只列了五項 HTML5可能導致的新攻擊，趨勢科技只是概略的描述。請繼續收看這迷你系列的最後一篇 –HTML5所帶來醜惡的一面 3-3。
＠原文出處：HTML5 – The Bad作者：Robert（資深威脅研究員）
◎ 歡迎加入趨勢科技社群網站
這篇文章是HTML5迷你系列中的第一篇
HTML5是讓網站運作所使用的語言的第五次改版，我們會利用三篇文章好好的看看HTML5對於網路世界跟網路犯罪份子來說，會有哪些好的一面，不好的一面，還有醜惡的一面。
首先，HTML5（以及它的相關APIs）並不像我們一般所認知的軟體升級。它其實是帶來許多的新功能，每一種都需要瀏覽器去支援它。有一篇詳細的維基百科顯示目前有哪些功能已經被實作了。對我來說，HTML5帶來許多很棒的功能，而其中有五樣是特別讚的，我認為真正能夠改變我們與網站之間的互動。
這些只是神奇的HTML5各種可能性的一小部分，在這網站上還有許多其他的展示值得一看。然而，就像超級英雄電影裡的強大能力一樣，這些功能也可能會是把雙刃劍。
在這系列的第二篇文章裡，我們將看看HTML5所帶來不好的一面 3-2。
＠原文出處：HTML5 – The Good 作者：Robert McArdle （資深威脅研究員）
◎ 歡迎加入趨勢科技社群網站