Trang web có thể sử dụng lỗ hổng bảo mật trong trình duyệt hoặc plugin trình duyệt để thoát khỏi các hộp cát này. Các trang web độc hại cũng sẽ thử sử dụng chiến thuật kỹ thuật xã hội để lừa bạn.
Plugin trình duyệt không an toàn
Hầu hết mọi người bị xâm nhập thông qua trình duyệt đều bị xâm nhập thông qua plugin của trình duyệt của họ. Java của Oracle là thủ phạm tồi tệ nhất, nguy hiểm nhất. Gần đây, Apple và Facebook đã có các máy tính nội bộ bị xâm phạm vì họ truy cập các trang web chứa các applet Java độc hại. Các plugin Java của họ có thể đã được cập nhật hoàn toàn - nó sẽ không quan trọng, bởi vì các phiên bản Java mới nhất vẫn chứa các lỗ hổng bảo mật chưa được vá.
Để tự bảo vệ mình, bạn nên gỡ cài đặt Java hoàn toàn. Nếu bạn không thể vì bạn cần Java cho một ứng dụng dành cho máy tính để bàn như Minecraft, bạn ít nhất nên vô hiệu hóa plugin trình duyệt Java để tự bảo vệ mình.
Các plugin trình duyệt khác, đặc biệt là trình phát Flash và trình đọc PDF của Adobe, cũng thường xuyên phải vá lỗ hổng bảo mật. Adobe đã trở nên tốt hơn so với Oracle khi trả lời những vấn đề này và vá các plugin của họ, nhưng vẫn còn phổ biến khi nghe về lỗ hổng Flash mới đang được khai thác.
Plugin là mục tiêu ngon ngọt. Lỗ hổng trong plugin có thể được khai thác trên tất cả các trình duyệt khác nhau với plugin trên tất cả các hệ điều hành khác nhau. Lỗ hổng plugin Flash có thể được sử dụng để khai thác Chrome, Firefox hoặc Internet Explorer chạy trên Windows, Linux hoặc Mac.
Để bảo vệ bạn khỏi lỗ hổng plugin, hãy làm theo các bước sau:
- Sử dụng trang web như kiểm tra plugin của Firefox để xem bạn có bất kỳ plugin lỗi thời nào không. (Trang web này được tạo bởi Mozilla, nhưng nó cũng hoạt động với Chrome và các trình duyệt khác.)
- Cập nhật mọi plugin lỗi thời ngay lập tức. Giữ cho chúng được cập nhật bằng cách đảm bảo cập nhật tự động được bật cho mỗi plugin bạn đã cài đặt.
- Gỡ cài đặt các plugin bạn không sử dụng. Nếu bạn không sử dụng plugin Java, bạn không nên cài đặt nó. Điều này giúp giảm "bề mặt tấn công" của bạn - số lượng phần mềm máy tính của bạn có sẵn để khai thác.
- Cân nhắc sử dụng tính năng plugin nhấp để phát trong Chrome hoặc Firefox, ngăn các plugin bổ sung chạy trừ khi bạn yêu cầu chúng một cách cụ thể.
- Đảm bảo bạn đang sử dụng phần mềm chống vi-rút trên máy tính của mình. Đây là dòng phòng cuối cùng chống lại lỗ hổng "zero-day" (lỗ hổng mới chưa được vá) trong một plugin cho phép kẻ tấn công cài đặt phần mềm độc hại trên máy của bạn.
Lỗ hổng bảo mật trình duyệt
Lỗ hổng bảo mật trong trình duyệt web cũng có thể cho phép các trang web độc hại xâm phạm máy tính của bạn. Các trình duyệt web đã làm sạch phần lớn các lỗ hổng bảo mật và hành động của chúng trong các plugin hiện là nguồn chính của các thỏa hiệp.
Tuy nhiên, bạn nên luôn cập nhật trình duyệt của mình. Nếu bạn đang sử dụng phiên bản Internet Explorer 6 cũ chưa được vá và bạn truy cập trang web ít uy tín hơn, trang web có thể khai thác lỗ hổng bảo mật trong trình duyệt của bạn để cài đặt phần mềm độc hại mà không có sự cho phép của bạn.
Bảo vệ bản thân khỏi lỗ hổng bảo mật trình duyệt rất đơn giản:
- Giữ cho trình duyệt web của bạn được cập nhật. Tất cả các trình duyệt chính hiện kiểm tra cập nhật tự động. Để tính năng tự động cập nhật được bật để luôn được bảo vệ. (Internet Explorer tự cập nhật thông qua Windows Update. Nếu bạn sử dụng Internet Explorer, hãy cập nhật các bản cập nhật cho Windows là điều quan trọng hơn.)
- Đảm bảo bạn đang chạy phần mềm chống vi-rút trên máy tính của mình. Như với các plugin, đây là dòng phòng cuối cùng chống lại lỗ hổng trong 0 ngày trong trình duyệt cho phép phần mềm độc hại xâm nhập vào máy tính của bạn.
Kỹ thuật xã hội Tricks
Các trang web độc hại cố lừa bạn tải xuống và chạy phần mềm độc hại. Họ thường làm điều này bằng cách sử dụng "kỹ thuật xã hội" - nói cách khác, họ cố gắng thỏa hiệp hệ thống của bạn bằng cách thuyết phục bạn để cho họ dưới sự giả vờ sai lầm, không phải bằng cách tự làm tổn hại đến trình duyệt hoặc plugin của bạn.
Loại thỏa hiệp này không chỉ giới hạn ở trình duyệt web của bạn - các thư email độc hại cũng có thể tìm cách lừa bạn mở các tệp đính kèm không an toàn hoặc tải xuống các tệp không an toàn. Tuy nhiên, nhiều người bị nhiễm mọi thứ từ phần mềm quảng cáo và thanh công cụ trình duyệt đáng ghét đến vi-rút và Trojan thông qua các thủ thuật kỹ thuật xã hội diễn ra trong trình duyệt của họ.
Điều khiển ActiveX: Internet Explorer sử dụng các điều khiển ActiveX cho các plugin trình duyệt của nó. Bất kỳ trang web nào cũng có thể nhắc bạn tải xuống điều khiển ActiveX. Điều này có thể hợp pháp - ví dụ, bạn có thể cần phải tải xuống trình điều khiển ActiveX của trình phát Flash lần đầu tiên bạn phát trực tuyến video Flash. Tuy nhiên, các điều khiển ActiveX giống như bất kỳ phần mềm nào khác trên hệ thống của bạn và có quyền rời khỏi trình duyệt web và truy cập phần còn lại của hệ thống của bạn. Một trang web độc hại đẩy một điều khiển ActiveX nguy hiểm có thể nói rằng điều khiển là cần thiết để truy cập một số nội dung, nhưng nó thực sự có thể tồn tại để lây nhiễm cho máy tính của bạn. Khi nghi ngờ, không đồng ý chạy điều khiển ActiveX.
- Tự động tải xuống tệp: Trang web độc hại có thể tìm cách tự động tải xuống tệp EXE hoặc một loại tệp nguy hiểm khác trên máy tính của bạn với hy vọng bạn sẽ chạy nó. Nếu bạn không yêu cầu tải xuống cụ thể và không biết nó là gì, đừng tải xuống tệp tự động bật lên và hỏi bạn nơi lưu tệp đó.
- Liên kết tải xuống giả mạo: Trên các trang web có mạng quảng cáo xấu - hoặc trang web tìm thấy nội dung vi phạm bản quyền - bạn thường thấy quảng cáo bắt chước các nút tải xuống. Những quảng cáo này cố lừa mọi người tải xuống nội dung nào đó mà họ không tìm kiếm bằng cách giả mạo dưới dạng liên kết tải xuống thực sự. Có một liên kết cơ hội tốt như liên kết này chứa phần mềm độc hại.
“Bạn cần một Plugin để xem video này”: Nếu bạn tình cờ gặp một trang web cho biết bạn cần phải cài đặt một trình cắm thêm trình duyệt hoặc codec mới để phát video, hãy cẩn thận. Bạn có thể cần một plugin trình duyệt mới cho một số thứ - ví dụ, bạn cần plugin Silverlight của Microsoft để phát video trên Netflix - nhưng nếu bạn đang ở trên một trang web ít có uy tín muốn bạn tải xuống và chạy tệp EXE để bạn có thể chơi video của họ, có nhiều khả năng họ đang cố gắng lây nhiễm máy tính của bạn bằng phần mềm độc hại.
“Máy tính của bạn bị nhiễm”: Bạn có thể thấy quảng cáo nói rằng máy tính của bạn bị nhiễm và nhấn mạnh rằng bạn cần phải tải xuống tệp EXE để làm sạch mọi thứ. Nếu bạn tải xuống tệp EXE này và chạy nó, máy tính của bạn có thể sẽ bị nhiễm.
Đây không phải là danh sách đầy đủ. Những người độc hại liên tục tìm kiếm những cách mới để lừa người khác.
Như thường lệ, việc chạy chương trình diệt vi-rút có thể giúp bảo vệ bạn nếu bạn vô tình tải xuống chương trình độc hại.
Đây là những cách mà người dùng máy tính trung bình (và thậm chí cả nhân viên tại Facebook và Apple) có máy tính của họ “bị tấn công” thông qua trình duyệt của họ. Kiến thức là sức mạnh và thông tin này sẽ giúp bạn tự bảo vệ mình trực tuyến.
