Cụ thể, một quảng cáo thông thường cho phần mềm chống virus giả mạo, khi được click vào, sẽ cài đặt một cổng hậu (back door) lên máy tính ngay cả khi trình duyệt được đóng lại. Như vậy, khi nhấn chuột vào file HTML thì đã là quá muộn.

Những cách phòng thủ duy nhất chống lại loại tấn công kiểu này là lọc thư rác (spam) tại cổng ra vào (gateway) để nó không bao giờ đến được người sử dụng, hoặc đối với người sử dụng thì vô hiệu hóa JavaScript trong trình duyệt. Phần mềm bảo mật trên PC có thể tóm được mã khai thác.

Spam được xây dựng xung quanh HTML không có gì mới, nhưng dường như đã trở thành một kỹ thuật nóng trong năm vừa qua. Gần đây, các spammer bắt đầu nhúng JavaScript bên trong file HTML (chứ không chỉ là file một đính kèm đơn giản), để truyền bá Trojan Zeus chuyên lấy cắp tài khoản ngân hàng .

"Vì vậy, một file HTML đính kèm e-mail có vẻ như vô hại có thể gây ra rất nhiều thiệt hại, và mặc dù chúng hoàn toàn tàng hình, nhưng dứt khoát không phải vô hại", nhà nghiên cứu Dave Michmerhuizen của Barracuda Labs kết luận.

Nguồn: Techworld