瑞星公司统计了黑客用来挂马的9大漏洞，存在漏洞的软件集中在浏览器和flash插件上。Flash作为一种纯网络化、跨平台的应用，其在移动平台上的安全风险也不可低估，例如在安卓系统上，就有可被利用来进行挂马的Flash漏洞，随着智能手机、平板运算能力的增加，未来可能在移动平台出现大量的挂马攻击。

         “密码门”引爆安全恐慌 或改变黑色产业链生态

         瑞星报告指出，2011年底包括天涯、新浪等一批著名网站数据库连续外泄，形成了影响整个互联网的安全大事件，给本已脆弱的互联网安全造成了巨大冲击。黑客利用这些数据库，可对网民发起多种攻击。“泄密门”事件的发生，证实了长久以来的“传言”：国内多数网站都曾遭到拖库攻击，肆虐互联网的垃圾短信、营销邮件和钓鱼网站，都是利用这些外泄的用户资料来进行的。

         报告显示，泄密门不仅发生在中国互联网上，事实上，针对大型网络服务商的拖库攻击已经席卷全球，即使强大如美、日、韩等国的互联网，进入2011年以来都面临着同类问题，单单在上半年，就有日本索尼公司、美国wordpress等网站遭攻击，损失惨重。

         由于拖库攻击发生在服务器上，普通网民的防护措施仅能相对降低风险，延缓黑客利用的程度，而非彻底防止泄密事件的发生。瑞星报告指出，普通用户可以采用六项措施来降低密码泄漏风险：

         1、不要信任任何网站的安全防护措施，确定正确的安全策略

         2、不要随意注册无关网站账号

         3、要轻易在安全性低的网站购物，提倡货到付款方式

         4、注册网站账号之后，应定时更换密码

         5、利用手机软件来帮助记忆密码

         6、尽量采用更多的验证方式，比如将账号与手机绑定

         社会工程学被广泛利用到钓鱼诈骗中

         瑞星报告认为，黑客广泛的利用社会工程学原理发动攻击，把其应用到钓鱼诈骗的各个环节之中，使得国内网民面临比以往更大的安全风险。据分析，从黑客建立网站开始，共有四个主要环节，建立网站→推广→浏览（建立信任）→支付。在这四个环节当中，黑客尤其对后三个环节不断进行创新，加强推广效果，降低体现难度。

         在推广钓鱼网站的方式上，黑客主要利用了搜索引擎攻击、手机短信、IM软件、电子邮件群发等四种方式。其中搜索引擎攻击SEA（Search Engine Attack）作为一种有效的传播方式，得到了黑客的重点使用。

         常见的搜索引擎攻击方式包括：利用病毒点击提高网站权值，攻击大型网站在其中放入钓鱼网站的链接，热点词优化，甚至通过购买搜索引擎广告的方式来推广钓鱼网站。种种花样翻新的攻击方式，使得网民对于钓鱼网站防不胜防。

（网络图片：搜索引擎广告中的钓鱼网站）

         除了钓鱼网站之外，黑客以窃取到的用户数据库为基础，频繁尝试进行“充值卡诈骗”、“假快递诈骗”等。2011年下半年，通过QQ、MSN等聊天软件推广钓鱼网站、或直接进行诈骗的案例有大幅上升。具体表现形式为，黑客登录窃取的QQ号、MSN账号等，给其好友发送钓鱼网站，或者直接要求好友帮其购买手机充值卡、网游点卡等容易销脏的数字卡产品。中招者无法统计，数量级可能在数万到数十万之间。

         瑞星安全专家介绍说，由于黑客对国内一些大型互联网站进行了“拖库攻击”，直接窃取大批用户密码，或者通过已泄露的密码去猜测其他网站的密码，在这波攻击中，IM软件未曾幸免。