網頁安全性聲明不一定安全

近日來,網站上出現越來越多偽造的程式安全性警告,用以誘騙網路使用者下載內含間諜程式的軟體。

防毒公司趨勢科技發出警訊表示,近日來間諜軟體再出新招,透過偽造程式安全性警告(Security Warning)的方式,為內含間諜程式的軟體貼上合法標章,以假亂真的手法卸除網路使用者的防備心,常導致無意中下載了大量間諜程式而不自知。

隨著瀏覽器的安全性升級,病毒、間諜程式以及駭客的入侵手法也屢屢更新。

安全性警告是一種原意在確保網路使用者安全的設計。為防止惡意程式趁使用者瀏覽網頁時偷偷潛入下載,瀏覽器的更新技術便一律規定下載程式前必先彈跳出一程式視窗,其中註明該應用程式發行公司、是否經過第三方公正單位認證合法等細節資料,再由使用者自行決定是否下載該程式。

近期則發現間諜程式衍生出以假造的安全性警告視窗及相關內容,企圖闖過這一道安全封鎖線。

但趨勢科技技術總監王應達警告,使用者在網路上下載檔案時,不應該完全信任安全警告(Security Warning)對話框中所言「XXX單位聲名這個內容是安全的」。因為有些企業會拿某個程式中的某幾個檔案去進行認證,而在使用者選擇安裝那些通過認證的檔案時,一併將其他未通過認證的檔案以夾帶闖關的方式順勢送上。

他進一步強調道,使用者請不要勾選安全性警告對話框下方的「Always trust content from XXX(永遠信任來自XXX的內容)」選項,一旦勾選該選項後,日後該警告視窗都將不會出現,便直接將無限量的廣告軟體、間諜程式等,直接塞入使用者電腦中。

趨勢科技台灣區行銷部協理吳韶卿表示,除了透過假造安全性警告,企圖以卸除使用者警戒心以達成間諜軟體入侵個人電腦的方式外,最近間諜軟體的入侵管道、手法之新,幾已遍布各大小網站。

他說,有些入侵者是以入侵大型企業網站的方式,感染其所提供的驅動程式,在其中植入間諜程式,以夾帶方式進一步入侵使用者的個人電腦;又或者是以部落格的方式,在文章中置入連結到內含間諜軟體的程式下載網址,透過介紹該程式有趣之處,以誘使使用者下載使用,例如推薦有趣的小遊戲、算命程式等。

防毒廠商建議道,相關間諜軟體潛藏方式若要透過使用者自行防護其實相當困難,例如難以辨識安全性警告之內容真偽,因此提醒道,應加裝如防毒軟體、反間諜程式等安全防護,才可做到有效預防。

記者洪夢霜╱台北報導  31/08/2005


關於 Tsung

對新奇的事物都很有興趣, 喜歡簡單的東西, 過簡單的生活.
本篇發表於 News_Security。將永久鏈結加入書籤。

發表迴響

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料