搜索

[16432] 2021-02-12_新型钓鱼攻击竟然开始利用摩斯密码来隐藏URL

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2021-02-12_新型钓鱼攻击竟然开始利用摩斯密码来隐藏URL 新 型 钓 鱼 攻 击 竟 然 开 始 利 用 摩 斯 密 码 来 隐 藏 U R L A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 2 事 件 概 述 事 件 概 述 近 期 ， 网 络 安 全 研 究 人 员 发 现 了 一 种 利 用 摩 斯 密 码 来 执 行 攻 击 的 新 型 网 络 钓 鱼 活 动 。 在 这 种 网 络 钓 鱼 攻 击 活 动 中 ， 攻 击 这 种 使 用 了 一 种 新 型 的 模 糊 处 理 技 术 ， 即 利 用 摩 斯 密 码 来 隐 藏 电 子 邮 件 附 件 中 的 恶 意 U R L 地 址 。 关 于 摩 斯 密 码 关 于 摩 斯 密 码 众 所 周 知 ， 塞 缪 尔 · 莫 尔 斯 （ S a m u e l   M o r s e ） 和 阿 尔 弗 雷 德 · 维 尔 （ S a m u e l   M o r s e ） 与 1 8 3 7 年 发 明 的 ， 是 一 种 早 期 的 数 字 化 通 信 形 式 。 摩 斯 密 码 作 为 一 种 通 过 电 报 线 传 输 信 息 的 方 式 ， 当 使 用 摩 斯 密 码 时 ， 不 同 于 现 代 化 的 数 字 通 讯 ， 摩 尔 斯 电 码 只 使 用 零 和 一 两 种 状 态 的 二 进 制 代 码 ， 它 的 代 码 包 括 五 种 ： 短 促 的 点 信 号 “ ・ ” ， 读 “ 滴 ” （ D i ） 保 持 一 定 时 间 的 长 信 号 “ — ” ， 读 “ 嗒 ” （ D a ） 表 示 点 和 划 之 间 的 停 顿 、 每 个 词 之 间 中 等 的 停 顿 ， 以 及 句 子 之 间 长 的 停 顿 。 新 型 摩 斯 密 码 钓 鱼 攻 击 新 型 摩 斯 密 码 钓 鱼 攻 击 但 是 从 上 个 礼 拜 开 始 ， 有 网 络 犯 罪 分 子 竟 然 开 始 利 用 摩 斯 密 码 在 他 们 的 网 络 钓 鱼 攻 击 活 动 中 隐 藏 恶 意 网 址 ， 以 绕 过 安
全 邮 件 网 关 和 邮 件 过 滤 器 的 检 测 。 据 我 们 目 前 所 知 ， 此 前 貌 似 并 没 有 出 现 过 任 何 应 用 了 摩 斯 密 码 的 网 络 钓 鱼 攻 击 活 动 ， 因 此 这 种 方 式 也 可 以 算 是 一 种 新 型 的 模 糊 处 理 技 术 了 。 此 研 究 人 员 从 R e d d i t 上 的 一 个 帖 子 首 次 了 解 到 这 种 攻 击 之 后 ， 我 们 能 够 找 到 自 2 0 2 1 年 2 月 2 日 以 来 上 传 到 V i r u s T o t a l 的 大 量 目 标 攻 击 样 本 。 这 一 次 的 网 络 钓 鱼 攻 击 活 动 从 一 封 伪 装 成 公 司 票 据 的 电 子 邮 件 开 始 ， 邮 件 主 题 为 R e v e n u e p a y m e n t _ i n v o i c e F e b r u a r y _ W e d n e s d a y   0 2 / 0 3 / 2 0 2 1 . （ 收 入 付 款 _ 票 据   2 月 2 日   2 0 2 1 年 3 月 2 日 星 期 三 ） 。 这 封 钓 鱼 邮 件 中 包 含 了 一 个 H T M L 附 件 ， 其 名 称 看 起 来 像 是 公 司 的 E x c e l 票 据 。 这 些 附 件 以 “ [ c o m p a n y n a m e ] _ i n v o i c e [ n u m b e r ] . x l s x . h T M L . ” （ [ 公 司 名 称 ] 票 据 _ [ 编 号 ] . _ x l s x . h T M L ） 的 方 式 命 名 。 比 如 说 ， 假 设 攻 击 对 象 是 F r e e b u f 的 话 ， 那 么 钓 鱼 邮 件 中 的 附 件 名 称 就 会 变 成 “ F r e e b u f _ 票 据 _ 1 3 0 8 . _ x l s x . h T M L ” 。 使 用 文 本 编 辑 器 查 看 附 件 内 容 时 ， 我 们 可 以 看 到 附 件 中 包 含 将 字 母 和 数 字 映 射 为 摩 尔 斯 电 码 的 J a v a S c r i p t 代 码 。 比 如 说 ， 将 字 母 “ a ” 映 射 为 “ . - ” ， 字 母 “ b ” 映 射 为 “ - … ” ， H T M L 钓 鱼 附 件 中 的 源 代 码 如 下 所 示 ：
接 下 来 ， 脚 本 会 调 用 d e c o d e M o r s e ( ) 函 数 来 将 摩 斯 密 码 字 符 串 解 码 为 十 六 进 制 字 符 串 。 这 个 十 六 进 制 字 符 串 会 被 进 一 步 解 码 为 J a v a S c r i p t i 标 签 ， 并 被 注 入 至 H T M L 页 面 中 ： 这 些 被 注 入 的 脚 本 将 与 H T M L 附 件 捆 绑 在 一 起 ， 并 使 用 各 种 必 要 的 资 源 来 给 目 标 用 户 呈 现 一 个 伪 造 的 E x c e l 电 子 表 格 ， 并 在 表 格 中 告 知 用 户 登 录 超 时 ， 并 要 求 用 户 再 次 输 入 O f f i c e 的 登 录 密 码 ：
当 用 户 输 入 自 己 的 密 码 之 后 ， 表 单 就 会 将 密 码 提 交 至 攻 击 者 控 制 的 远 程 站 点 ， 并 完 成 登 录 凭 证 的 收 集 。 这 一 次 的 网 络 攻 击 活 动 极 具 针 对 性 ， 攻 击 者 使 用 了 l o g o . c l e a r b i t . c o m s e r v i c e 来 向 登 录 表 单 中 注 入 目 标 用 户 所 在 公 司 的 图 标 ， 使 其 更 具 说 服 力 。 如 果 公 司 图 标 不 可 用 的 话 ， 则 会 改 为 使 用 通 用 的 O f f i c e   3 6 5 图 标 。 研 究 人 员 通 过 分 析 后 发 现 ， 目 前 已 有 1 1 家 公 司 成 为 了 此 次 网 络 钓 鱼 攻 击 的 目 标 ， 包 括 S G S 、 D i m e n s i o n a l 、 M e t r o h m 、 S B I （ M a u r i t i u s ） L t d 、 N U O V O   I m i e 、 普 利 司 通 、 C a r g e a s 、 O D D O   B H F   A s s e t   M a n a g e m e n t 、 D e a   C a p i t a l 、 E q u i n t i 和 C a p i t a l   F o u r 。 后 话 后 话 随 着 技 术 的 进 步 ， 邮 件 网 关 针 对 恶 意 电 子 邮 件 的 检 测 能 力 越 来 越 强 ， 但 网 络 钓 鱼 攻 击 活 动 的 复 杂 程 度 也 越 来 越 高 。 因 此 ， 在 提 交 任 何 信 息 之 前 ， 每 个 用 户 都 必 须 密 切 关 注 跟 邮 件 相 关 的 U R L 地 址 和 附 件 名 称 。 如 果 发 现 任 何 可 疑 的 东 西 ， 收 件 人 应 该 立 刻 联 系 他 们 的 网 络 管 理 员 以 进 行 进 一 步 调 查 。 由 于 在 此 次 网 络 钓 鱼 攻 击 活 动 中 ， 恶 意 电 子 邮 件 使 用 的 是 具 有 双 扩 展 名 （ x l x s 和 H T M L ） 的 附 件 ， 因 此 广 大 用 户 可 以 通 过 启 用 W i n d o w s 文 件 扩 展 名 来 轻 松 发 现 并 识 别 可 疑 附 件 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理