网络诈骗节日狂欢

那罡

黑客们利用节日经济的风潮,通过各种促销、抽奖等活动制造了极具迷惑性的病毒,企图以假乱真。

2008年12月25日,在浙江杭州网监警民天地论坛中,多名受害者举报某列车时刻查询网站为钓鱼网站,要求网络警察对该网站进行严厉打击。据记者了解,该网站诈骗消费者财产,并且采用网络挂马方式传播病毒,目前已无法浏览。

风险网站节日猛增

记者在浙江杭州网监警民天地论坛中还看到,很多用户都参与了假冒淘宝网或腾讯QQ的所谓“中奖活动”。某腾讯QQ用户上报线索:QQ系统消息小喇叭频频闪动,和正常的QQ官方消息一样:“您被系统抽中为幸运玩家,将获取惊喜奖金5.8万元,三星笔记本电脑一部,请登录活动网站www.QQ58000.cn”。趋势科技产品技术顾问徐学龙介绍,弹出的QQ58000.cn是黑客建立的诈骗网站,因为这个病毒完全模仿QQ软件的弹框信息,用户根本无法分辨。如果用户点击打开该网站,将会导致直接的经济损失。

瑞星安全专家对记者表示,随着元旦、春节等重大节日的来临,互联网上的挂马网站、钓鱼网站数量比平均水平暴增10倍以上,用户访问这些网站后就会被植入木马,丢失自己的网游账号、QQ账号等。

根据瑞星恶意网站监测网提供的数据,光“全国列车时刻表查询”这类假冒网站,近期就侵袭了将近34万网民。而假搜索引擎、假冒彩票网站等每天侵袭的网民数量也数以万计。

记者了解到,每当国庆、元旦、春节、圣诞节这样的大型节日临近,网民们就会增加对网络的使用量,如通过互联网查询列车车次和票价、查找自己感兴趣的网游外挂等。与街道上热闹的气氛一样,网络病毒的黑手也同样在组织“节日狂欢”活动。

黑客正是瞄准了网民的这种心理,建立了大批假冒网站,通过SEO(搜索引擎优化)技术提高自己在搜索引擎上的排名。当用户搜索自己感兴趣的内容时,这些带毒网站就会排在前面,网民们不知不觉就“自投罗网”了。据趋势科技云安全的数据统计,近期已经成为网络病毒发作的高峰期!

因此,趋势科技、瑞星、金山等安全公司相继发布通告,提醒网民在节假日期间,要当心假冒的QQ中奖信息、知名厂商促销邮件以及大量的钓鱼网站。

网络购物要当心

随着网络购物的盛行再加上假日经济的效应,各种各样的网络商城成为网民的焦点。趋势科技云安全监测到,一种名为“西伯利亚渔夫”的病毒正威胁着全球互联网用户的安全。

狡猾而残忍的“渔夫”昼夜不停地在网络的海洋中漫游,只要发现用户启动浏览器,就将用户引导到病毒作者制作的伪银行网站的“钓鱼网站”套取账号密码信息。该网站从地址到界面,所有的信息和网上银行都一样,具有极强的迷惑性,即便是拥有丰富网络安全知识的用户,也可能会上当。

如果有一天,你收到来自可口可乐公司的邮件,告诉你:可以一辈子免费喝可口可乐,享受巴哈马旅行,你心动了吗?

不要动心,这也是黑客们的新花招。

虽然免费的可口可乐还没送到中国,但是国外已经发现有一波垃圾邮件,假借麦当劳和可口可乐的名义推出圣诞节促销活动,让收件者以为里头含有折价优惠券。一旦执行其附件文件,即会感染蠕虫,该蠕虫会搜集被感染系统里的联络人名单,并且会植入一个后门程序,进行窃取在线游戏密码等远程攻击。除此之外,还会连上恶意网站自我更新恶意档案。

Web上的技术对抗

似乎利用节日行凶,已经成了黑客实施网络钓鱼的习惯。曾经,恶意网站(www.1enovo.com)伪装成联想主页(www.lenovo.com),前者将数字1取代英文字母l,并利用多种IE漏洞种植网页木马,同时散布“联想集团和腾讯公司联合赠送QQ币”的虚假消息,结果造成很多用户访问该网站时感染了病毒。

在最新一期《反钓鱼网站联盟工作简报》中可以发现,截至2008年12月10日,反钓鱼网站联盟秘书处累计收到钓鱼网站投诉3100多例,并对其中认定的2720个涉嫌网络钓鱼的网站域名停止了解析。目前所发现的钓鱼网站的形式多为发布虚假中奖信息、假冒网页等。

近两年来,XSS漏洞开始成为Web漏洞中的一个大热门,传统的XSS漏洞攻击可以直接获取客户端和服务端的会话,也可以制作Web蠕虫攻击整个Web服务业务,甚至XSS漏洞还能被用作钓鱼攻击!

除了使用Web攻击技术进行钓鱼,攻击者还可以使用网络协议漏洞进行钓鱼,比如已知的ARP攻击、DNS劫持、DHCP劫持漏洞等。

安全专家鬼仔在其Blog中分析,网络钓鱼攻击从防范的角度来说也可以分为两个方面:

一个方面是对钓鱼攻击利用的资源进行限制。一般钓鱼攻击所利用的资源是可控的,比如Web漏洞是Web服务提供商可以直接修补的,再比如邮件服务商可以使用域名反向解析邮件发送服务器提醒用户是否收到匿名邮件,利用IM软件传播的钓鱼URL链接是IM服务提供商可以封杀的。

另外一个方面是不可控制的行为,比如浏览器漏洞,用户就必须打上补丁防御攻击者直接使用客户端软件漏洞发起钓鱼攻击,各个安全软件厂商也可以提供修补客户端软件漏洞的功能。同时各大网站有义务保护所有用户的隐私,有义务提醒所有的用户防止钓鱼,提高用户的安全意识,从两个方面积极防御钓鱼攻击。

总之,网络攻击技术是层出不穷的,但防御手段也会随着攻击技术不断更新,只有保持积极防御的态度才能做到最大化的防御。