作為市場營銷工具的垃圾郵件已經成為散布惡意軟件（惡意程式和犯罪軟件）和實施欺詐行為的平臺，發送數量巨大的非應邀電子郵件使犯罪分子接觸到數量龐大的互聯網用戶。垃圾郵件之前主要被認為是一個麻煩事，但現在垃圾信息代表了真正的威脅。它不僅降低了用戶的工作效率，而且影響了用戶和組織機構直接或間接的花費。

更糟糕的是，通過超載的郵件服務器和完整的用戶郵箱，垃圾郵件像電子郵件般進行爆炸性襲擊，這導致了很大的麻煩。

垃圾郵件會導致病毒、木馬、間諜軟件和網絡釣魚的傳播，以及計算機的感染。在某些情況下，這些系統會變成“僵尸計算機”（網絡機器人），其中的一部分會由第三方遠程控制。它們可以被激活，并且能夠發送垃圾郵件浪潮，開始釣魚攻擊或網絡攻擊，例如DOS攻擊和感染其他系統。

網絡釣魚是指利用郵件程序來欺騙和誘導網絡用戶泄露敏感信息，然后可以利用這些信息進行欺詐或貪污犯罪的攻擊（圖8.5）。一般來說，黑客通過使用偽造的電子郵件，讓用戶看起來仿佛他們來自一個真正的機構（如郵局、銀行或在線服務站點），它和用戶之間可能會有往來或者有商業關系。攻擊者還可以使用電話、即時消息(IM)和手機短信，他們甚至可能直接接近受害者。最常見的誘騙是一封電子郵件，說出于安全原因要求用戶更新他的賬戶或更改其密碼。

示例——偽造電子郵件

某銀行的客戶收到一個欺騙性的偽造電子郵件解釋說，該行執行升級，他們必須確認自己的賬戶信息。讓客戶隨后按要求點擊，指示他們到一個偽造的網站鏈接。該方案幾種不同的存在，都是基于一個欺騙性的電子郵件誘使銀行客戶到冒牌網站執行操作。

垃圾郵件是用來吸引潛在網絡釣魚受害者數量最大的主要工具。釣魚者可以使用包含大量電子郵件地址的垃圾郵件發送者的數據庫，給受害者發送大量看起來盡可能合法（用戶非常熟悉的電子郵件標志和顏色）的請求。網絡釣魚者利用“僵尸網絡”，以便同時推出大量的網絡釣魚攻擊。

示例——網絡釣魚

黑客模仿某銀行的網站建立一個釣魚網站，并發送電子郵件給銀行客戶警告他們如果不更新個人信息，他們的銀行賬戶即將關閉，引誘受害者到假冒網站并輸入自己的賬號和密碼。黑客為了確保發送的詐騙郵件的地址看起來合法，所設計的網站鏈接會近似于真實的網站鏈接，以使它們看起來盡可能真實。

使用即時消息作為傳播載體的惡意軟件正在崛起。釣魚攻擊是非常陰險的，因為“誘惑信息”的網絡釣魚者送到受害者時顯示的發送者是受害者的聯系人列表中的某人。比起來自某機構的電子郵件，被害人不太可能懷疑來自一個朋友的即時消息。

以一個真實的案例為例

黑客針對納稅人進行網絡釣魚攻擊。他向用戶發送一個虛假的電子郵件聲稱來自國家稅務機關。該詐騙郵件聲稱，收件人可能提交了一份不完整的納稅申報或者沒有完成申報書，要求其點擊提供的鏈接以糾正錯誤。該假網站隱藏了惡意代碼，只要用戶一打開該網站，木馬便會植入該用戶的計算機上。

網絡犯罪分子知道，組織和互聯網服務提供商會使用反垃圾郵件檢測軟件，并采取預防性安全措施，如阻止某些IP地址。這些犯罪分子不斷調整并創造新的方法躲避檢測工具。由于網絡釣魚和電子郵件欺騙，私立企業和公共部門正在開展一系列宣傳活動，例如反網絡釣魚工作組(APWG)，這是一個專注于消除欺詐和身份盜竊而產生網絡釣魚攻擊的全球性行業執法協會。

魚叉式網絡釣魚攻擊比引誘釣魚更具有針對性：攻擊者收集或竊取內部信息，以增加合法性的感覺。這已經引起了越來越多的被稱為語音網絡釣魚的新趨勢。語音網絡釣魚是一個包括IP語音(VoIP)的網絡釣魚攻擊。“語音網絡釣魚”犯罪分子一封包含通過VoIP技術獲得的電話號碼的電子郵件。該郵件聲稱來自合法的來源，并要求收件人撥打該號碼。總而言之，除了要求受害人通過VoIP號碼，而不是通過點擊一個鏈接來實現詐騙，它與任何其他的網絡釣魚攻擊一樣。受害人撥打號碼后，攻擊者便要求受害人直接通過電話提供個人信息。很多攻擊者喜歡將這種方法用于虛假網站或惡意軟件。

網絡釣魚攻擊可以分為以下幾類：

· 依賴于詐騙短信欺騙攻擊；

· 惡意軟件攻擊；

· 基于DNS的攻擊——依賴于主機名稱查找的改動，將用戶重定向到一個欺詐服務器；

· 內容注入攻擊。

欺騙網絡釣魚是最常見的網絡釣魚攻擊。具有欺騙性的釣魚攻擊者通過欺騙使用SMTP(常見的郵件服務器協議)已知漏洞的源電子郵件來冒充發件人。欺騙性的電子郵件將始終要求用戶以解決某個問題為由而點擊一個鏈接，并且快速又安全。為了增加用戶認為該消息的真實性，攻擊者可以使用以下各種技術：(l)使用IP地址（數字地址）而不是使用假冒網站的域名；(2)輕微的改變URL地址，并注冊類似于DNS域的域來使用；(3)使用基于HTML的電子郵件來掩蓋網站的URL地址。

使用惡意軟件的網絡釣魚變得越來越普遍，這些攻擊依賴于社會工程學：他們誘使用戶打開電子郵件附件或下載含有惡意軟件的有趣軟件。這些攻擊也依賴于技術漏洞，該漏洞使惡意軟件利用安全漏洞來進行自身傳播。

基于DNS的網絡釣魚是另外一種越來越普遍的方法。這些攻擊吸引用戶到包含惡意軟件的網站。該惡意軟件主要包括：

· 特洛伊木馬和鍵盤記錄器（能夠通過擊鍵記錄收集權限憑證）；

· 屏幕記錄器（能夠檢測計算機上的屏幕截圖）。

· 重定向器。

一旦該軟件被安裝在計算機上，重定向器就會引誘受害者到另外一個位置。同時該惡意軟件會安裝一個惡意的瀏覽器輔助對象來控制Web瀏覽器和HTTP流量并重定向到非法網站。

惡意軟件也可用于操作：

· 用于維護DNS地址和IP地址之間的映射的主機文件；

· 目標PC上其他特定的DNS信息。一旦惡意軟件插入一個偽造的DNS服務器，用戶便不會注意web瀏覽器已經被連接到一個假冒不合法的網站。

更先進的基于DNS的攻擊被稱為域欺騙。它借由查找過程中損害域名的完整性入侵DNS(Domain Name Server)的方式，將使用者導引到偽造的網站上，因此又稱為DNS下毒。它通過對關鍵域名插入一段偽造的IP地址實現這一點。域欺騙不會依賴于社會工程引誘受害者訪問假冒網站。對配置錯誤的合法DNS服務器和私人維護的DNS服務器來說，DNS欺騙是一種真正的威脅。

內容注入網絡釣魚是將代碼插入到一個合法的網站。一旦黑客插入了代碼，他既可以使用惡意軟件將受害者重定向到意想不到的網站，又可以在受害者的計算機上安裝惡意軟件。由于網站服務器存在漏洞，黑客往往可以通過跨站點腳本漏洞，注入惡意內容到網站，這樣惡意內容就變成存儲在合法的網站上的一部分數據。

摘自：《網絡的力量:網絡空間中的犯罪、沖突與安全》P142-147頁，北大出版社2018年3月出版。內容簡介：絕大多數關于網絡犯罪的書籍由國內安全專家或政治學專家撰寫，并很少涉及針對網絡犯罪、網絡恐怖主義。網絡戰爭和網絡安全的完整和廣泛的解決方案。本書為一些非政治、無黨派和無政府的核心網絡安全問題提供了解決方案，對相關領域若干網絡危機案例，從平民和軍事角度進行高度總結，并展示解決方案。從交叉學科的角度解釋基本原理，揭示了信息和通信技術在使用中，或者說濫用中，引起的社會、經濟、政治、軍事和技術問題。本書的目的并不是為了煽動讀者進行網絡犯罪。它的作用是為了提醒社會公民們應該做好準備防御網絡攻擊和加強對網絡攻擊威脅的認識。

淘寶鏈接：https://item.taobao.com/item.htm?spm=a1z38n.10677092.0.0.11891debd5E2SD&id=572511391687
微店鏈接：https://weidian.com/item.html?itemID=2556712062