搜索

[16845] 2021-05-30_ASRC2021年第一季电子邮件安全观察

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-05-30_ASRC2021年第一季电子邮件安全观察 A S R C   2 0 2 1   年 第 一 季 电 子 邮 件 安 全 观 察 s o f t n e x t 守 内 安   F r e e B u f   2 0 2 1 - 0 5 - 3 0 2 0 2 1 第 一 季 ， 疫 情 的 影 响 似 乎 稍 微 趋 缓 ， 各 国 开 始 施 打 疫 苗 ， 为 疫 情 的 终 结 带 来 一 线 曙 光 。 一 月 及 二 月 份 ， 垃 圾 邮 件 与 威 胁 邮 件 相 较 于 去 年 第 四 季 的 状 况 都 是 较 为 趋 缓 的 ； 三 月 份 的 垃 圾 邮 件 及 攻 击 则 明 显 增 多 ， 相 较 于 一 、 二 月 份 大 约 增 长 了 3 0 % - 4 0 % 左 右 。 守 内 安 与   A S R C   研 究 中 心 整 理 出 的 特 殊 攻 击 样 本 如 下 ： 网 络 服 务 使 用 依 赖 ， 导 致 钓 鱼 风 险 大 增 网 络 服 务 使 用 依 赖 ， 导 致 钓 鱼 风 险 大 增 钓 鱼 邮 件 在 第 一 季 样 貌 多 元 ， 除 了 传 统 常 见 宣 称 电 子 邮 件 有 问 题 、 验 证 与 重 启 账 户 、 要 求 变 更 密 码 … 等 ， 也 发 现 了 许 多 钓 鱼 邮 件 的 巧 妙 心 思 ， 例 如 ： 利 用 疫 情 期 间 网 络 服 务 使 用 频 繁 的 假 冒 快 递 、 各 种 影 音 串 流 服 务 、 工 作 招 聘 等 的 各 种 钓 鱼 ， 目 标 在 钓 取 电 子 邮 件 账 号 密 码 、 各 种 在 线 服 务 的 登 入 信 息 ； 或 诱 骗 受 害 人 开 启 邮 件 中 的 恶 意 文 件 、 恶 意 链 接 ， 以 便 进 一 步 取 得 受 害 者 计 算 机 的 控 制 权 。 钓 取 电 子 邮 件 账 号 密 码 的 钓 鱼 邮 件 假 冒 快 递 的 钓 鱼 邮
件 ， 意 图 诱 导 收 件 者 点 击 下 载 恶 意 文 件 合 法 的 服 务 持 续 遭 到 滥 用 ， 攻 击 难 以 封 锁 合 法 的 服 务 持 续 遭 到 滥 用 ， 攻 击 难 以 封 锁 封 锁 恶 意 的 去 向 或 是 来 源 ， 是 信 息 安 全 防 护 的 重 要 技 巧 。 但 有 越 来 越 多 攻 击 滥 用 了 合 法 且 知 名 的 服 务 ， 例 如 ： G o o g l e 云 盘 、 网 页 窗 体 ， 或 是 一 些 云 端 主 机 的 邮 件 派 送 服 务 等 。 这 些 遭 到 滥 用 的 合 法 服 务 ， 大 多 为 知 名 网 络 服 务 提 供 商 ， 不 仅 收 件 者 会 降 低 戒 心 ， 多 数 上 网 防 御 机 制 也 会 略 过 检 测 ， 让 这 类 攻 击 更 加 难 以 封 锁 。 黑 客 利 用   G o o g l e 窗 体 进 行 网 络 钓 鱼 恶 意 文 件 诱 骗 伪 装 种 类 繁 多 恶 意 文 件 诱 骗 伪 装 种 类 繁 多 第 一 季 观 察 到 许 多 使 用 社 交 工 程 手 法 ， 试 图 诱 使 目 标 对 象 下 载 并 执 行 恶 意 文 件 的 攻 击 。 其 中 社 交 工 程 所 利 用 的 理 由 相 当 多 元 ， 下 方 案 例 以 薪 资 问 题 为 诱 骗 理 由 ， 要 求 受 害 者 下 载 关 联 附 件 查 看 。 实 际 上 ， 下 载 下 来 的 是 经 过 打 包 的   P E   文 件 ， 主 要 组 成 为 一 个   P E   文 件   W e C h a t A p p U p d a t e s . e x e 、 一 个 d l l 文 件   O u t l o o k U p d a t e . d l l   及 一 个 作 为 饵 的   W o r d   文 件 。 首 先 会 执 行   W e C h a t A p p U p d a t e s . e x e ， W e C h a t A p p U p d a t e s . e x e 会 先 关 闭 宿 主 计 算 机 上 的 W i n d o w s   E r r o r   R e p o r t i n g S e r v i c e 等 服 务 ， 再 启 动 常 驻 后 门 试 图 诱 使 目 标 对 象 下 载 并 执 行 恶 意 文 件 的 攻 击 值 得 注 意 的 是 ， 这 个 下 载 的 恶 意 执 行 文 件 伪 装 为   W O R D   图 标 ， 并 且 以 一 长 串 文 字 做 为 文 件 名 ， 如 不 仔 细 观 察 很 难 发 现 这 并 非   W O R D   文 件 。 且 在 不 慎 被 执 行 之 后 ， 也 会 开 启 一 个   W O R D   文 件 做 为 烟 雾 弹 。 因 此 ， 受 害 者 遭 到 后 门 植 入
后 也 很 难 在 第 一 时 间 察 觉 异 状 。 图 标 伪 装 为   W O R D   文 件 ， 并 以 长 串 文 字 命 名 ， 让 人 不 易 察 觉 扩 展 名 为 . e x e 大 量 恶 意 的 大 量 恶 意 的 O f f i c e   文 件 ， 通 过 远 程 加 载 恶 意 样 本 躲 避 扫 描 文 件 ， 通 过 远 程 加 载 恶 意 样 本 躲 避 扫 描 在 第 一 季 我 们 发 现 大 量 的 恶 意   O f f i c e   文 件 被 散 播 。 这 些 邮 件 以 英 文 或 多 国 语 言 撰 写 ， 使 用 冒 名 的 社 交 工 程 手 法 。 这 些 恶 意 文 件 多 半 是   O f f i c e   文 件 以   Z I P   压 缩 的   X M L   包 裹 格 式 ， 如 ： . d o c x 、 x l s x … 等 。 将 打 包 恶 意 文 件 拆 解 开 ， 我 们 发 现 共 通 的 手 法 ： 在 恶 意 文 件 文 件 格 式 _ r e l s w e b S e t t i n g s . x m l . r e l s 文 件 内 ， 加 载 一 个 远 程 的 恶 意 样 本 文 件 。 恶 意 文 件 中 ， 远 程 加 载 的 恶 意 样 本 这 个 恶 意 样 本 被 放 置 于   C o l o C r o s s i n g   虚 拟 主 机 上 ， 最 终 会 下 载 一 个   v b c . e x e   并 在 宿 主 端 运 行 ， 伺 机 窃 取 宿 主 主 机 的 机 密 文 件 。 这 类 型 的 恶 意 邮 件 在   2 0 2 1   年 第 一 季 大 量 被 观 察 到 ， 若 就 这 类 恶 意 文 件 来 做 检 查 ， 本 身 并 没 有 明 显 的 V B A 或 恶 意 代 码 包 含 在 其 内 ， 因 此 有 机 会 躲 过 某 些 扫 描 机 制 。 恶 意 文 件 伪 装 为 O f f i c e 文 件
总 结 总 结 务 必 要 特 别 留 意 远 程 下 载 恶 意 文 件 或 程 序 的 攻 击 。 这 类 攻 击 ， 除 了 远 程 服 务 器 可 掌 控 下 载 者 的 I P 、 时 间 、 地 点 、 浏 览 器 版 本 外 ， 也 可 任 意 更 改 下 载 的 样 本 ， 让 信 息 安 全 研 究 单 位 不 易 取 得 样 本 ； 这 类 社 交 工 程 手 法 融 合 下 载 恶 意 文 件 的 攻 击 有 复 杂 化 的 趋 势 ， 即 便 受 害 者 已 经 十 分 提 防 ， 也 不 见 得 能 察 觉 自 己 下 载 并 执 行 了 恶 意 文 件 。 除 了 提 高 警 觉 、 不 打 开 、 不 下 载 来 路 不 明 的 邮 件 与 文 件 之 外 ， 万 一 在 不 慎 打 开 不 明 文 件 后 ， 发 现 不 是 自 己 所 预 期 的 资 料 ， 一 定 要 特 别 留 意 。 建 议 企 业 单 位 应 定 时 对 内 部 进 行 信 息 安 全 检 测 或 扫 描 ， 确 保 企 业 内 部 未 被 植 入 可 长 期 窃 取 信 息 的 后 门 ， 并 留 意 各 项 不 寻 常 的 异 状 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理