近日，360釋出威脅預警，因監測發現多起利用釣魚網站對特定使用者進行攻擊的安全事件，呼籲警惕“高仿”軟體安裝程式暗藏釣魚木馬。“釣魚網站+釣魚軟體”是非常典型的釣魚攻擊組合，而沃通“SSL證書+代碼簽名證書”能夠幫助企業建立安全可信機制，防範釣魚組合攻擊。
“釣魚網站+釣魚軟體”典型組合攻擊
據360介紹，攻擊者通過精心制作的釣魚網站，誘騙目标使用者下載下傳安裝被二次打包的軟體安裝程式。而這些安裝程式在二次打包的過程中，已嵌入用于竊取使用者隐私資料并進行進一步控制的遠控木馬程式。
以虛假的某聊天軟體為例，攻擊者精心制作“高仿”釣魚網站，并通過優化手段将虛假釣魚網站排名至搜尋引擎首頁前幾位。當使用者搜尋特定聊天軟體名稱時，該虛假釣魚網站也展現在首頁前幾位搜尋結果中。因釣魚網站的域名與官方名稱極其相似，具有很強的混淆性，普通使用者很難直覺判斷網站真實身份。
當受騙使用者打開這個虛假釣魚網站後，會被引導下載下傳一個以“PaoPao.rar”命名的壓縮包，而壓縮包内則是名為“PaoPao.msi”的安裝包程式。該程式在被安裝時，除了釋放正常聊天軟體外，還會釋放遠控木馬，進一步迷惑使用者并誘導使用者點選運作。最終木馬程式被執行後，将自動下載下傳惡意載荷并直接在記憶體中加載執行，其功能則是一款典型的遠控木馬——具有關閉裝置、擷取鍵盤記錄、錄音、截屏、下載下傳程式并運作等一系列常用控制功能。
值得注意的是，該釣魚黑客團夥還精心“高仿”了諸多聊天軟體的官網頁面，進行釣魚誘導。
沃通“SSL證書+代碼簽名證書”，防範組合攻擊
“釣魚網站+釣魚軟體”是非常典型的釣魚攻擊組合，以釣魚網站為攻擊入口，以惡意軟體為工具，最終目的是誘導受騙使用者運作木馬程式，達到遠端控制、竊取資料或加密勒索等目的。而沃通“SSL證書+代碼簽名證書”能夠幫助企業建立安全可信機制，讓最終使用者輕松識别政企網站真實身份、判斷軟體來源可信，進而避免遭受上述釣魚組合攻擊。
（1）沃通SSL證書，驗證展示網站真實身份，讓釣魚網站無處遁形
SSL證書是用于部署在伺服器上的數字證書，相當于網站伺服器的“身份證”；同時具備激活SSL/TLS加密協定實作HTTPS傳輸加密的功能，是以也被稱為伺服器證書、TLS證書、HTTPS證書。
政企機關向沃通CA申請購買SSL證書，由全球信任CA機構嚴格驗證機關身份、網站域名所有權後頒發SSL證書，證書内包含已驗證的機關真實身份資訊。政企機關将SSL證書正确部署在網站伺服器上，終端訪客使用https協定通路政企網站時，浏覽器将自動顯示安全鎖辨別，點選安全鎖進入證書資訊欄，可檢視網站SSL證書的使用者（即網站所屬機關）的真實身份資訊，普通使用者也能直覺判斷網站真實身份，輕松甄别虛假釣魚網站，在源頭上規避釣魚攻擊。
值得注意的是，隻有OV級别、EV級别的SSL證書才具備驗證展示機關真實身份的功能，DV級别SSL證書僅驗證域名所有權，無法展示機關身份。為防範以高仿域名混淆使用者的虛假釣魚網站，建議政企機關各類網站系統都采用OV級别以上的SSL證書，充分展示網站可信身份，不給任何釣魚網站可乘之機。
沃通SSL證書全球信任、支援各類浏覽器、作業系統和移動終端，支援JAVA和老裝置；實作HTTPS加密、消除浏覽器“不安全”警告，适于網站、資訊系統、App、H5小程式等各類應用場景。
沃通OV級别SSL證書（沃通超真SSL Pro證書、沃通超真SSL證書）支援保護單域名、通配符域名、多域名及公網IP，應用範圍廣、擴充性強，是政企機關網站系統SSL證書首選。沃通EV級别SSL證書（沃通超安SSL Pro證書、沃通超安SSL證書）支援保護單域名、多域名，支援在部分浏覽器直覺展示綠色位址欄和機關名稱，适用于更高信任級别的政企網站。
（2）沃通代碼簽名證書，保護軟體代碼安全，防止惡意篡改、驗證來源可信
代碼簽名證書是建立軟體安全可信應用的保障機制，提供給軟體開發商對其開發的軟體代碼進行數字簽名，用于驗證開發者身份真實性、保護代碼的完整性，防止軟體被非法篡改或植入病毒木馬。
使用者下載下傳軟體程式後，可通過數字簽名檢視軟體發行商的真實身份，直覺判斷軟體來源是否可信；已簽名的軟體代碼，可獲得作業系統友好對待，消除系統安全警告，提升使用者信任度。如果軟體代碼被惡意篡改，數字簽名将失效，作業系統将發出警告提示，阻止使用者繼續安裝，讓惡意軟體無法繼續執行。
沃通CA提供全球信任的代碼簽名證書，保護軟體代碼安全、驗證來源可信，消除系統安全警告，幫助軟體發行商建立完善的軟體代碼安全可信機制，提升軟體信任度，防止惡意軟體仿冒，保護使用者不受惡意軟體侵害。
沃通标準代碼簽名證書（标準代碼簽名證書Pro、标準代碼簽名證書）支援Windows各類檔案簽名（.exe, .dll,.cab, .ocx,.XML,.msi）、Java Applets、J2ME MIDlet、Office VBA、Adobe AIR等各類代碼檔案簽名。
沃通EV代碼簽名證書（EV代碼簽名證書Pro、EV代碼簽名證書）不僅具備标準代碼簽名證書所有功能，而且額外支援Windows驅動簽名(.sys,.cat)、支援WHQL徽标認證，支援 UEFI認證、LSA認證，支援SmartScreen快速擷取信譽。
沃通CA是依法設立的第三方電子認證服務機構，提供全球信任的SSL證書、代碼簽名證書、PDF文檔簽名證書等相關數字證書産品，已累計服務幾十萬家政企機關。除上述SSL證書、代碼簽名證書之外，沃通CA還可提供全球信任的電子郵件證書産品，防範以“釣魚郵件”為攻擊入口的釣魚攻擊事件，多種證書産品結合，讓政企機關建立更加安全可信的應用環境。