你！出賣朋友嗎？

Web 2.0時代，「你」確實是主角，但你可能會無意間出賣朋友還不自知。當然，某些程度這樣的說法確實有些嚴重，但有些網站的手法我真的很不欣賞。

有一個商業網站：zorpia.com

有繁體中文的網站，在香港：


網站中有下面這個頁面：

可以看一下中文的註冊頁面。
所以「你」可以用 msn、Yahoo、gmail、AOL 的帳號及密碼註冊，但你知道這也意味著甚麼嗎？

我可以花三百，把我自己的個資買斷回來嗎？

這兩天，五千萬筆個資外洩的新聞可熱鬧了，詳細的蘋果文圖並茂、Yahoo!奇摩新聞、yam天空新聞、IThome、刑事警察局還有其他新聞。
還有一些資安網站的消息：大砲開講、資安之眼。

看完只能無言 ................................................................Orz

利用「關鍵字廣告」的詐騙--已經在google出現

先來看看一些消息：
iThome online：小心關鍵字廣告連結惡意網頁
ZDNet Taiwan：關鍵字廣告成網路釣魚工具
資安人：Yahoo！奇摩關鍵字洩個資！
Sunbelt Blog：The continuing problem of malware being advertised in Google Adwords
刑事警察局：兩岸駭客設置變種網路釣魚網站竊取網路銀行等企業大量個人資料
資安之我見：偽裝成防毒軟體網站

去年「關鍵字廣告」的詐騙在我們這就已經相當夯了，鬧得沸沸揚揚，所以google上也是一定會有的事；最近國外開始利用了，畢竟，這類手法得花些成本的，所以沒有計畫就做，很容易賠老本哩...XD。既然人家都花錢做了，我們也應該欣賞一下囉！順便中英手法比較一下有啥不同呢？

夾帶惡意附件檔案的釣魚郵件出現了

郵件主旨：Record in debit of account
夾帶附件的釣魚郵件出現了...我還一直在想啥時會出現哩！釣魚郵件如下圖：

之前老師不是有講，網頁連結跟附加檔案都是餌！你有沒有在聽！丟筆...

模擬實戰釣魚網站

最近釣魚郵件多到不行，可以參考這篇新聞，看來 Mass SQL Injection 之後，再結合釣魚郵件搭配釣魚網站的手法交互運用，可以參考之前 POST 的一篇文，只能說「有心人士」用盡心思，推出的嘔心瀝血之作啊。
所以，我們當然要用欣賞的角度來看囉！面對創意的人，我們當然要投以藝術眼光的啦...

下面有兩個實作釣魚網站經常利用的「概念」與「創意」：(此兩網站並無惡意程式)
1.實戰釣魚網站(A)：主要運用騙術。
2.實戰釣魚網站(B)：除了騙術，還有些玩弄小程式，你能脫身嗎？
解答在後面...

「msnbc.com - BREAKING NEWS」釣魚郵件

繼「CNN.com Daily Top 10」、「CNN Alerts: My Custom Alert」一系列釣魚郵件之後，詐騙份子又一精心策劃之作。

看看郵件長的樣吧！
主旨：msnbc.com - BREAKING NEWS: COP: FAMILY LIVING IN FEAR

主旨：msnbc.com - BREAKING NEWS: Star Trek star dies at age 79


發現有哪不同嗎？手法又進步了喔...有發現嗎？

電子郵件警覺性之觀念

這年頭啥都能詐騙，畢竟騙術才是歷史最悠久的惡意伎倆，因為，只要有人它就存在。唯一破解之道也只有靠個人警覺性及敏感度，但很重要的成分需要靠歷練，知道人家會怎騙你，這是最快的方法。
網際網路上的陷阱更多，無論是上網、線上遊戲、網路交易...都會有「社交工程術」的問題，今天只談電子郵件(E-Mail)的部分，如果沒有養成一套觀念，哪...Dances with malware, always.

有人會說不是有Anti-Spam(反垃圾郵件)系統來做郵件過濾了嗎？怎還會收到惡意郵件或釣魚郵件。也許大多數的人都沒有管理過Anti-Spam的經驗，當然也無法體會管理Anti-Spam的痛苦；Anti-Spam管得緊(嚴密)，也許真的收不到奇怪郵件，但也可能造成收不到正常郵件，管的鬆，也許不會誤擋郵件，但是卻會漏擋奇怪郵件；更痛苦的是，它的那一把尺是需要浮動的，如果哪把尺不動，有時會收不到正常郵件，有時又會收到奇怪郵件，怎做都是被使用者罵到臭頭。所以...一定會收到垃圾郵件，甚至惡意郵件，只是多少而已。
如果遭受的是「魚叉式郵件攻擊」，使用者真的得要有兩下真功夫才行，不然能靠防護設備"剛好"發現來阻擋。

使用電子郵件應有的警覺性觀念：
1.我為何會收到這封郵件？
2.我是不是應該收到這封郵件？
3.我是不是有必要開啟附件或點選連結？

CNN釣魚郵件內容改版啦

寄件者：CNN Alerts [tid-sucila@rakcorrosioncontrol.com]
主旨：CNN Alerts: My Custom Alert
內容：
Alert Name: My Custom Alert

Ledger's joker withdrawn from Oscar race
Fri, 8 Aug 2008 11:19:24 +0300

FULL STORY
==================================

"CNN.com Daily Top 10"釣魚郵件-釣魚網站進化版

繼"結合多種手法的釣魚郵件"一文
原本的釣魚郵件內容已經相當精美了，你會分辨嗎？但之前的釣魚網站卻太遜了，只有CNN的一個小Logo。

這次"CNN.com Daily Top 10"的釣魚網站內容進化了，已經到近乎完美！
URL：hxxp://www.bellomeparrucchieri?.it/cnnnews.html

結合多種手法的釣魚郵件

主旨：CNN.com Daily Top 10
哇！CNN服務真好，主動寄日報給我耶！要有國際觀先從這開始吧...
有沒有想過為啥CNN會主動寄郵件給你呢？你是不是應該收到呢？你應不應該開啟呢？
沒錯！這是釣魚郵件。它結合三大攻擊手法呢?
1.維俏維妙的釣魚郵件內容，可不像一般簡單的幾個字加上一個超連結(URL)，以後釣魚郵件的餌會越來越精美。
2.釣魚郵件內的連結(URL)連往詐騙網站(Phishing Website)，詐騙網站會給你看似正常的下載，如執行檔(.exe)...等。未來詐騙網站會越來越符合常理判斷，一不小心就...
3.詐騙網站(Phishing Website)還夾帶惡意攻擊碼，會攻擊瀏覽器漏洞，而且還會設法規避偵測。若是0-Day漏洞出現，只能願上帝保佑...

Mass SQL Injection + Phishing WebSite

因為雲端的威脅，駭客集團註冊的網域(Domain)可以發揮的空間受到壓縮，所以得善盡利用網域，於是結合Phishing WebSite來進行詐騙。駭客集團可能還有秘技來因應雲端的威脅。

先來看看下面幾張圖：

Dances With Malware

有些人已經習慣與惡意程式共存
很多人說，我的電腦沒有重要資料也不做重要的事，所以，不做網路金融交易、沒有個人機密資料、不放特別的圖片，只不過上上網、聊聊天、聽聽音樂、看看電子郵件、偶而打打怪...如此而已；電腦裡面有惡意程式，又有什麼關係。乍聽之下，也是沒錯的！
有的人努力對抗惡意程式的侵入，也"設法"安裝了許多防護程式，但，電腦中沒有惡意程式嗎？「我的電腦好像怪怪的」...這感覺猶如餘音繞樑，久久揮之不去啊！這也應該是不少人的心聲。
有的，心態上就已經大概完全妥協了。Overall Compromise...

駭客的心態
無論哪種攻擊手法或入侵方式，大多最終都會植入惡意程式，或讓更多人被植入惡意程式，這是一種模式。