安全谈：黑客利用“名人之死”设置SEO陷阱

最近网上出现一些有关好莱坞名人布拉德皮特及高尔夫名将老虎伍滋死讯的垃圾讯息。

此类垃圾讯息共有两种不同版本，一个附有.ZIP格式附件，附件内包含了一个恶意的news.exe档案程序，经检测为TROJ_DLDER.AU。TROJ_DLDER.AU，会与某个特定的URL相连结，而该连结会下载TROJ_BREDOLAB.XY。

另一个版本夹带的则是.HTML文档，经检测为JS_REDIR.BB。该档案重新指向几个URL地址，最终造成恶意文档HTML_REDIR.BA的下载。HTML_REDIR.BA则与另一个URL相链接，可能会去下载另一款恶意软件，不过目前已无法进入该URL。

图1 垃圾讯息样本

标题Brad Ptt died与Tigger Woods died死讯的信件内容一模一样，仅仅更换了一下名字。破绽是内文居然改成Bon Jovie和Justin Timberlake。

图2 执行文件附件

有趣的是，有些所谓名人之死的讯息内容来自真实的死亡消息，即美国商业司长Ronald Brown于1996年的死讯内容。邮件信息的内容皆直接引述造成Brown身亡的细节。利用真实事件内容的目的在于让垃圾讯息的内容能更取信于读者。

多数人的天性倾向于关注与名人相关的大小新闻或绯闻，特别是当新闻与这些人的死亡相关时更是如此。这也让名人的死讯成为社交工程(Social Engineering)用来进行恶意软件攻击的常用手法。利用这类新闻的攻击手法从散发夹带恶意软件附件的垃圾信息，到Black_Hat SEO黑帽搜索引擎优化攻击。以下为几个受此类社交工程(Social Engineering)手法利用的名人新闻案例：

Heath Ledger演员希斯．莱杰

当世人得知Heath Ledger希斯．莱杰过世的消息时，网络犯罪份子们就开始使用这位演员的名字在网上设置社交工程(Social Engineering)陷阱。在新闻报道的数小时内，恶意URL(malicious URLs)立刻出现在网民以“heath(希斯)”或“ledger(莱杰)”为关键词的搜寻结果中。

Farrah Fawcett演员法拉．福西

网络犯罪份子利用Black_Hat SEO黑帽搜索引擎优化链接(blackhat SEO links)塞满互联网，引诱以“霹雳娇娃(Charlie’s Angels)”明星Farrah Fawcett法拉．福西为关键字搜寻新闻的网民， Farrah Fawcett法拉．福西因不敌癌症病魔过世，享年62岁。

Michael Jackson麦克．杰克逊

身为光环不褪的流行音乐艺人，这位流行音乐巨星在过世前数小时仍在医院时，在网络上就已引发了利用MSN实时通(instant-messaging，简称IM)散布恶意连结(proliferation of malicious links)的活动。

饶舌歌星Eminem

近来流传的垃圾讯息宣称饶舌歌星Eminem已因车祸身亡。垃圾讯息企图利用宣称来自合法真实的新闻来源，以诱骗使用者。

过去其它类似的利用死讯的攻击使用对象包括Corey Haim演员柯利．汉姆，Brittany Murphy演员布兰妮．墨菲，及菲律宾前总统阿奎罗(former Philippine President Corazon Aquino. )。