搜索

[14780] 2019-11-05_冒充安恒信息对看雪论坛的一次定向钓鱼攻击

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2019-11-05_冒充安恒信息对看雪论坛的一次定向钓鱼攻击 冒 充 安 恒 信 息 对 看 雪 论 坛 的 一 次 定 向 钓 鱼 攻 击 p a n d a z h e n g z h e n g   F r e e B u f   2 0 1 9 - 1 1 - 0 5 钓 鱼 攻 击 是 网 络 犯 罪 团 伙 常 用 的 一 种 手 段 ， 很 多 勒 索 病 毒 都 曾 使 用 邮 件 钓 鱼 的 方 式 欺 骗 受 害 者 打 开 相 应 钓 鱼 攻 击 是 网 络 犯 罪 团 伙 常 用 的 一 种 手 段 ， 很 多 勒 索 病 毒 都 曾 使 用 邮 件 钓 鱼 的 方 式 欺 骗 受 害 者 打 开 相 应 的 附 件 ， 运 行 恶 意 样 本 ， 导 致 受 害 者 被 勒 索 加 密 ， 钓 鱼 邮 件 攻 击 也 是 的 附 件 ， 运 行 恶 意 样 本 ， 导 致 受 害 者 被 勒 索 加 密 ， 钓 鱼 邮 件 攻 击 也 是 A P T 攻 击 的 常 用 手 段 之 一 ， 如 果 收 攻 击 的 常 用 手 段 之 一 ， 如 果 收 到 陌 生 的 邮 件 ， 千 万 不 要 随 便 点 击 附 件 链 接 或 打 开 邮 件 附 件 中 的 文 件 。 到 陌 生 的 邮 件 ， 千 万 不 要 随 便 点 击 附 件 链 接 或 打 开 邮 件 附 件 中 的 文 件 。 中 午 吃 饭 看 到 群 里 有 人 发 贴 子 ， 好 像 是 看 雪 被 钓 鱼 ， 看 雪 论 坛 应 该 是 很 多 安 全 从 业 者 的 启 蒙 论 坛 ， 我 也 是 从 看 雪 论 坛 走 出 来 的 ， 从 上 面 学 到 了 不 少 东 西 ， 认 识 了 不 少 朋 友 ， 非 常 感 谢 看 雪 论 坛 ， 竟 然 被 钓 鱼 攻 击 了 ， 于 是 上 去 看 了 一 下 ， 钢 哥 在 论 坛 也 发 了 贴 子 ， 公 布 了 邮 件 信 息 ， 从 邮 件 信 息 上 看 钓 鱼 攻 击 者 冒 充 了 安 恒 信 息 公 司 的 邮 件 ， 如 下 所 示 ： 两 封 邮 件 附 带 的 恶 意 链 接 都 是 一 样 的 ， 如 下 ： w w w . d b a p p s e c u r t i y . c o m / p e d i y / e r r o r . h t a e r r o r . h t a 是 一 个 v b s 脚 本 ， 内 嵌 p o w e r s h e l l 脚 本 ， 如 下 所 示 ：
运 行 h t a 脚 本 之 后 ， 调 用 执 行 内 嵌 的 p o w e r s h e l l 脚 本 ， 如 下 所 示 ： 解 密 出 p o w e r s h e l l 脚 本 ， 如 下 所 示 ： 此 P o w e r s h e l l 脚 本 与 远 程 服 务 器 进 行 通 讯 ， 获 取 返 回 数 据 ， 捕 获 到 的 流 量 信 息 ， 如 下 所 示 ：
解 密 获 取 的 P o w e r S h e l l 脚 本 获 取 主 机 相 关 信 息 ， 与 远 程 服 务 器 通 信 ， 解 密 出 来 的 P o w e r S h e l l 脚 本 代 码 ， 如 下 所 示 ： 捕 获 到 的 网 络 流 量 数 据 ， 如 下 所 示 ： 再 次 解 密 获 取 到 的 P o w e r S h e l l 脚 本 ， 如 下 所 示 ：
该 脚 本 会 设 置 默 认 的 返 回 数 据 信 息 包 ， 如 下 所 示 ： 解 密 出 来 的 返 回 数 据 包 信 息 ， 如 下 所 示 ： 与 我 们 上 面 捕 获 到 的 数 据 流 量 包 一 致 ， P o w e r S h e l l 脚 本 通 过 远 程 服 务 器 返 回 相 应 的 操 作 指 令 ， 如 下 所 示 ：
C M D 远 程 控 制 指 令 过 程 ， 如 下 所 示 ： 通 过 C M D 指 令 可 以 远 程 获 取 主 机 文 件 ， 进 程 等 信 息 ， 下 载 ， 上 传 文 件 等 操 作 ， 监 控 网 络 流 量 数 据 ， 如 下 所 示 ： 这 次 钓 鱼 定 向 攻 击 ， 钓 鱼 攻 击 者 冒 充 的 发 件 人 邮 件 信 息 ： w u . j i n y a n @ d b a p p s e c u r t i y . c o m
很 明 显 冒 充 了 安 恒 的 邮 箱 ， 安 恒 的 邮 箱 地 址 后 缀 是 d b a p p s e c u r i t y . c o m 这 应 该 是 一 次 有 目 的 性 ， 通 过 钓 鱼 邮 件 定 向 攻 击 目 标 ， 并 进 行 远 程 控 制 的 网 络 攻 击 行 为 ， 此 次 钓 鱼 邮 件 定 向 攻 击 同 样 采 用 ” 无 文 件 ” 攻 击 手 法 ， 无 落 地 P E 文 件 ， 邮 件 附 件 中 只 包 含 一 个 H T A 脚 本 文 件 ， 通 过 执 行 H T A 脚 本 调 用 P o w e r S h e l l 执 行 所 有 的 恶 意 操 作 现 在 的 钓 鱼 邮 件 攻 击 越 来 越 多 ， 各 企 业 或 网 站 的 相 关 管 理 人 员 ， 一 定 要 擦 亮 眼 睛 ， 以 防 被 钓 鱼 攻 击 ， 不 要 轻 易 打 开 陌 生 的 邮 件 以 及 附 件 。 I O C 5 8 4 4 3 7 B C 8 0 6 3 B 6 4 F B 6 5 D 2 8 8 2 A 7 D D B D 8 9 C & C 4 5 . 8 9 . 1 7 5 . 1 9 2 w w w 2 . n e t s t o r e h o s t i n g . c o m U R L h x x p : / / w w w . d b a p p s e c u r t i y [ . ] c o m / p e d i y / e r r o r . h t a w w w 2 . n e t s t o r e h o s t i n g [ . ] c o m / l o g i n / p r o c e s s . p h p w w w 2 . n e t s t o r e h o s t i n g [ . ] c o m / a d m i n / g e t . p h p w w w 2 . n e t s t o r e h o s t i n g [ . ] c o m / n e w s . p h p * 本 文 来 源 ： 本 文 来 源 ： 安 全 分 析 与 研 究 ， 转 载 请 注 明 出 处 安 全 分 析 与 研 究 ， 转 载 请 注 明 出 处 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理