安全專家警告：Windows 7 仍無法有效防禦惡意軟體

Windows 7 安全性提升但非萬能盾牌

英國安全公司 Sophos 高級顧問 Chester Wisniewski 指出，儘管 Windows 7 安全效能大幅改進，但仍無法有效抵禦所有惡意軟體攻擊。

兩大攻擊途徑：漏洞利用與社交工程

網路犯罪分子主要透過兩種手段植入惡意軟體：

• 漏洞攻擊： 利用 Windows 或第三方應用程式的安全漏洞，在用戶瀏覽含攻擊代碼的網頁時駭入。
• 社交工程： 誘騙用戶下載並安裝惡意程式，例如附帶 PDF 惡意代碼的釣魚郵件。

Windows 7 的防禦機制

Windows 7 強化了 ASLR（位址空間配置隨機化）與 DEP（資料執行保護），增加駭客發現記憶體漏洞的難度，IE 8 的保護模式可抵禦 ActiveX 攻擊。但 Wisniewski 強調，ASLR 和 DEP 並未涵蓋所有應用程式。

Vista 比 XP 安全？

微軟報告顯示 Vista 感染率較 XP 低 62%，但 Vista 用戶多為技術人員，可能影響統計。Wisniewski 認為 Vista 的 ASLR 和 DEP 確有貢獻，Win7 改進這兩項功能理應繼續發揮作用。但 BreakingPoint Systems 的 H.D. Moore 警告：惡意軟體威脅不會消失，攻擊者將持續威脅新系統。

UAC 並非防毒軟體

Sophos 測試 10 款惡意程式，發現 8 款可在 Win7 UAC 預設下執行，僅 1 款需關閉 UAC，2 款完全無法運行。這證明 UAC 設計初衷非攔截惡意軟體，用戶不應過度期待。若用戶被誘騙執行木馬，ASLR 和 DEP 完全無效。IE 8 SmartScreen 雖可攔截不明檔案下載，但惡意軟體仍可繞過。駭客甚至可入侵社交帳號發送惡意連結，Win7 用戶絕不可掉以輕心。