出于安全性的考慮，SHA1已經(jīng)遭到了各大瀏覽器廠商的拋棄，但是惡意軟件制作者們也在緊跟著證書(shū)授權(quán)機(jī)構(gòu)的步伐，很快就推出了自帶SHA1和SHA2數(shù)字簽名的惡意軟件。在近期的一份報(bào)告中，網(wǎng)絡(luò)安全廠商賽門(mén)鐵克披露了其發(fā)現(xiàn)的一個(gè)新的惡意軟件家族。除了SHA1簽名之外，它竟然還自帶一個(gè)備用的SHA2證書(shū)簽名。

該惡意軟件名叫Carberp，作為一款金融木馬，它近期被探測(cè)到向丹麥、瑞典、以色列、埃塞俄比亞、美國(guó)等地區(qū)的用戶發(fā)起了攻勢(shì)。

賽門(mén)鐵克解釋到，該木馬是他們首次見(jiàn)到的向SHA2遷移的雙證書(shū)惡意軟件（SHA1在去年秋季被宣布不再安全）。

大多數(shù)軟件廠商（尤其是作為多數(shù)惡意軟件目標(biāo)的冤大頭微軟）已經(jīng)宣布從2016年1月1日起停止對(duì)SHA1簽名證書(shū)的支持，之后還會(huì)徹底移除對(duì)SHA1的支持。

不過(guò)在短時(shí)間內(nèi)，SHA1還不會(huì)被徹底清除（不支持SHA2的時(shí)候，還是會(huì)降級(jí)到SHA1），因而惡意軟件的這種策略也是相當(dāng)狡猾的。