我的部落格 > 部落格文章
 
<資安>為什麼這麼容易受到網路詐騙
 
分類:生活情報

2009/3/5 上午 10:56:52

 
目前對於電腦網路使用依賴極深,今天有一篇分析相當精闢並且圖文並茂的文章,"惡質網站",進而所衍生出其他的社交工程等的網路詐騙手法問題,非常值得一看
 
轉載自zdnet
 
之前,一封來自微軟(microsoft)的電子郵件引起了我的關注,倒不是我跟微軟有什麼交情,而是它帶來了一個名為kb041304.exe的附件,信件主題是「security update for os microsoft windows」,內文概要為:「這是微軟的一個重大安全更新,請大家儘速安裝。最後的屬名是 steve lipner, director of security assurance, microsoft corp.」

這封信它通過了垃圾郵件系統的過濾,本機端的防毒軟體也沒警告,也可以在google上面找到steve lipner這號人物,一定不少人信以為真,但我的第六感卻告訴我這當中一定有詐,畢竟,微軟怎麼會知道我的 e-mail?而且,郵件內的官樣文章也可偽造。

由於防毒軟體只能掃已知毒,掃不到未知毒(新毒),而垃圾郵件的過濾系統也需要一些已知的垃圾郵件特徵,才有辦法進行過濾,因此,能夠通過郵件過濾系統的檢查也不代表百分之百的安全保障…事實上,過了幾天,等我的防毒軟體更新病毒碼後,再次進行掃瞄後,赫然發現該封郵件是一隻木馬!

這種詐騙手法在資安界有個行話叫做「社交工程(social engineering)」,但我想,對於我們普羅大眾還是直接管他叫做「詐騙」容易懂些…是的,我們不僅要防備真實世界的詐騙,網路世界的詐騙也不容小覷。

舉例來說,那封來自微軟的信,就是希望我能信以為真,並且在我的防毒軟體還沒有警覺能力的時候,執行該信件提供的kb041304.exe(一隻木馬)。

網路上的壞人為了降低你的心防,吸引你執行他們的惡意程式,通常都會做些偽裝,例如把程式的icon弄的像一般的文件檔、把檔名弄得誘人,下圖即為偽文件型的惡意軟體(因為檔名我已經改過了,所以看起來不那麼誘人)。

附帶一提,有時候電子郵件本身沒有夾帶病毒,但信件裡面的連結是指向病毒,下圖就是一封這樣的郵件。乍看之下它是一個ie 7的下載連結,但是事實上它連到的是一個偽裝的惡意程式,使用者如果不察,不小心下載且執行了,後果就不堪設想。
 

關於詐騙的連結,除了連結執行檔,還有一種是連結詐騙(或惡意)網站的,不知道大家有沒有在msn 上收過好朋友或是陌生人送過來的奇怪連結?這些連結指向的網站內容多半是:「只要輸入msn 的帳號密碼就可知道誰把你封鎖了喔 时」,沒錯,這也是詐騙,千萬不要輸入,輸入之後你的msn帳號跟密碼就落入惡意份子的手裡了。底下是一個詐騙站的截圖。

姑且不論這些網站是否真的可以告訴你「誰封鎖你」這件事,單就告知第三方你的帳號密碼,就是一件非常危險的事,惡意份子可以假借你的帳號偽裝成你,再去詐騙你其他的朋友。

萬一,你用來登入郵件系統的帳號密碼與登入msn的是同一個,那壞人也同時取得了你的郵件系統(ex: 拿你 msn 的密碼去試 yahoo 或 gmail),你的通訊錄可能因此落入壞人手中,接著你的朋友也可能會收到來自你的詐騙郵件….因此,我建議大家,不同的帳號,絕對不要用相同的密碼,才不會被騙了一個帳號就全部淪陷。

另外,有些惡意軟體不是自己來找我們的,是我們不小心去抓來的。由於部分網路使用者會透過p2p軟體等方式取得某些軟體,所以,偽裝成通用軟體也變成惡意軟體散佈的一個途徑,以emule來說,當你用某個key word進行搜尋時,你所找到的東西不一定都是好的,下圖就是個極端,幾乎所有搜尋到的檔案都有問題。

惡意軟體會透過電子郵件、惡意連結等多元方式進行散佈,且多數的網友不大可能因為可能會被入侵而放棄使用各種網際網路服務,為避免遭到網路詐騙(社交工程),建議可從「知己知彼」與「無欲則剛」等兩點來預防。

「知己知彼」網路上是有壞人的,壞人要的東西不外乎你的帳號密碼、你的個人資料、你的電腦控制權等。至於取得方式,多半是透過詐騙的方式讓你自己用鍵盤輸入給他、讓你在有意無意中執行了他安排好的惡意程式。為避免上述狀況發生,可以透過以下五種方式防範:

不要在網路上提供帳號、密碼、身份證字號、電話、姓名等個人資料。就算要提供資料也得先確認該網頁是真的(避免被人家用假網頁來欺騙,俗稱的釣魚網頁)。

無論是陌生人或朋友轉寄的電子郵件附件都不應該輕易相信。千萬不要因為一時的好奇,不慎開啟/執行,而造成更大的損失。

下載的東西一定得先用防毒軟體掃過再說。防毒軟體掃不到毒的時候,不表示它就是安全的,有時候是因為沒有病毒碼,必要的時候可以傳到這個連結去檢查,看看其他防毒軟體怎麼說。

來路不明的連結不要點。有些惡意網站會透過瀏覽器的弱點,直接把惡意軟體植入電腦。

時常更新作業系統與病毒碼。任何軟體廠商無法保證他賣給使用者的軟體是沒有弱點的,使用者所能做的是盡可能地不斷更新自己的系統,使自己的系統保持在無懈可擊的狀態。

「無欲則剛」則是說,網路詐騙的陷阱大都是以人性的弱點為餌。例如:自己送上門來的更新程式、偽裝成好看的成人圖片、告知你被誰封鎖的連結等,不勝枚舉,如果大家能一開始就不看不理,我想會省去許多麻煩。就以p2p來說,當你用p2p抓東西時,你很難知道分享這東西的是一個好人或壞人…簡單來說,少碰來路不明的軟體會使你的電腦相對安全。

 
 
目前評價:0
 
您對這一則文章的評價:
 
回應內容:
 

我要回應: