<轉載>從 Firefox 近來發現的有害套件談起

轉載自http://irvin.sto.tw/2010/02/firefox.html
本文作者：irvin 部落格


稍早不久前（1/25 及 2/2 日），Mozilla 從 Firefox 附加元件網站中，移除了兩個內含 Windows 木馬的擴充套件「Sothink Web Video Downloader」及「Master Filer」。從此事件中，或許有些人會覺得疑慮，Mozilla Firefox 是不是已經不再安全了？我們以較為安全的理由來推廣 Firefox，是不是已經失去其說服力？更甚之：Firefox 的安全神話是否已經破滅？
 
Firefox 本身的安全性

對我而言，答案是否定的。相較於市面上最普遍的 IE 而言，Firefox 的安全性仍然遠遠超出其之外，也不輸給其餘網路瀏覽器。我的兩點理由如下：

一、較高的漏洞修補率：上個月駭客透過 IE 漏洞入侵 Google 及其餘公司，導致 多國政府呼籲改用它種瀏覽器 的事件至今仍未落幕；而 Firefox 在 Secunia 公司弱點資料庫的修補率，包含 Firefox 3.0、3.5、3.6 皆為 100%（Opera 10 與 Google Chrome 4 亦同 ）在此同時，IE6、IE7、IE8 則為 83%、74%、56%。微軟已承認，此次事件中被使用的 IE 漏洞早在去年九月已發現，修補時程卻排到今年二月，此等疏忽令人無法相信。

二、原始碼受大眾檢視：Firefox 的開放原始碼開發模式，使得程式中每一行指令都能公開在陽光底下讓人檢視，漏洞與弱點更容易被發現，沒有一絲容許作惡指令的空間存在。相較於封閉原始碼的 IE 及 Opera 而言，我更相信其安全性。

詳全文...

<轉載>不肖人士利用Firefox散播廣告程式及木馬

請注意，台灣的Firefox下載請利用MOZTW 台灣，或是到我推薦使用Firefox地方進行下載哦


新聞轉載

除了有業者利用偽造的Firefox來綑綁Hotbar外，Mozilla最近也因安全問題宣布移除 Firefox上的兩款擴充程式。

資安業者eSoft在上周警告，發現一偽造的Firefox下載網站，使用者只要下載該站所提供的Firefox就會順便裝上專門提供廣告及偵測使用者行 為的Hotbar工具列與Hotbar天氣應用程式；另外，Firefox也發現兩個括充程式含有木馬而緊急移除。 偽造的Firefox下載網站外表幾可亂真，但仔細一看內含許多錯誤資訊，例如所提供的最新版Firefox為3.5，但Mozilla所釋出的最新版為 3.6，以及將Anti-phishing（防網釣）功能誤植為anti-Pishing。 eSoft表示，偽造的Firefox下載網頁並非創造Hotbar的Pinball公司所為，而是其他第三方業者提供的，因為Pinball提供了安裝 獎金，如果第三方業者讓使用者安裝了Hotbar，Pinball最高會支付1.45美元的每次安裝費用。因此第三方業者不惜以偽造的Firefox夾帶 Hotbar。 Hotbar為一外掛的工具列軟體，也是惡名昭彰的廣告及間碟軟體，它除了會不斷跳出廣告視窗外，也會偵測用戶瀏覽的網頁，或是在未知會使用者的情況下安 裝其他程式。不過，Hotbar的使用協議中皆有說明上述現象。 愈來愈受歡迎的Firefox成為散布廣告或間碟軟體的途徑。除了有業者利用偽造的Firefox來綑綁Hotbar外，Mozilla最近也因安全問題 宣布移除Firefox上的兩款擴充程式，包括Sothink Web Video Downloader 4.0及Master Filer。 Mozilla表示，這兩款擴充程式夾帶了木馬程式，前者含有Win32.LdPinch.gen，後者則有 Win32.Bifrose.32.Bifrose Trojan。開始執行相關擴充程式就會啟動木馬，就算使用者移除了這些擴充程式，木馬程式依舊會存在，而必須要額外仰賴防毒軟體程式來掃描及移除。（編 譯/陳曉莉）