搜索

[17067] 2021-07-25_ASRC2021年第二季度电子邮件安全观察

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-07-25_ASRC2021年第二季度电子邮件安全观察 A S R C   2 0 2 1   年 第 二 季 度 电 子 邮 件 安 全 观 察 守 内 安   F r e e B u f   2 0 2 1 - 0 7 - 2 5 由 于 疫 苗 的 开 发 与 大 量 普 及 ， 疫 情 的 阴 霾 ， 终 于 露 出 了 一 线 曙 光 。 许 多 地 区 开 始 解 封 ， 世 界 开 始 流 动 ， 就 在 此 时 ， 变 种 病 毒 对 疫 苗 的 抗 性 产 生 了 变 化 ， 让 原 本 开 始 解 封 的 地 区 又 拉 起 警 报 ， 第 二 季 充 满 了 希 望 与 骤 变 ， 信 息 安 全 也 在 时 刻 角 逐 ， 是 否 也 能 及 时 防 护 与 应 对 呢 ？ 第 二 季 整 体 垃 圾 邮 件 量 相 较 上 一 季 增 加 第 二 季 整 体 垃 圾 邮 件 量 相 较 上 一 季 增 加   5 0 % ， 带 有 ， 带 有   O f f i c e   恶 意 文 件 的 攻 击 邮 件 则 较 上 一 季 增 加 恶 意 文 件 的 攻 击 邮 件 则 较 上 一 季 增 加   3 . 5   倍 ， 脱 机 钓 倍 ， 脱 机 钓 鱼 的 数 量 成 长 了 鱼 的 数 量 成 长 了   2 . 4   倍 ； 针 对 倍 ； 针 对   M i c r o s o f t   O f f i c e   漏 洞 利 用 则 以 漏 洞 利 用 则 以   C V E 2 0 1 7 1 1 8 8 2   及 及   C V E 2 0 1 8 0 8 0 2   为 主 。 为 主 。 守 内 安 与 A S R C 针 对 第 二 季 重 要 的 攻 击 手 法 与 样 本 进 行 以 下 分 析 ： 诈 骗 及 钓 鱼 邮 件 仍 十 分 盛 行 诈 骗 及 钓 鱼 邮 件 仍 十 分 盛 行 第 二 季 全 球 疫 情 因 为 病 毒 变 种 的 关 系 ， 许 多 地 区 仍 实 施 远 程 工 作 或 在 家 上 班 。 钓 鱼 邮 件 看 似 威 胁 性 不 大 ， 可 一 旦 账 号 密 码 被 钓 ， 攻 击 者 即 可 能 透 过 开 放 的 远 程 工 作 对 外 服 务 ， 及 单 一 账 号 认 证 服 务   ( S S O ， S i n g l e   s i g n - o n )   合 法 使 用 企 业 开 放 的 服 务 ， 而 形 成 入 侵 企 业 的 破 口 。 钓 鱼 及 诈 骗 邮 件 在 第 二 季 非 常 盛 行 钓 鱼 及 诈 骗 邮 件 在 第 二 季 非 常 盛 行 连 外 下 载 的 恶 意 连 外 下 载 的 恶 意   O f f i c e   文 件 文 件 第 二 季 ， 我 们 发 现 许 多 恶 意 的   O f f i c e   文 件 样 本 。 这 些   O f f i c e   文 件 样 本 的 攻 击 方 式 不 利 用 漏 洞 ， 也 未 包 含 可 疑 的 宏 或 V B A   等 操 作 ， 而 是 单 纯 的 利 用   X M L 连 接 外 部 开 启 另 一 个 恶 意 文 件 。 这 种 样 本 在 今 年 初 就 开 始 流 窜 ， 到 了 第 二 季 ， 有 明 显 增 多 的 趋 势 。
以 订 单 作 为 社 交 工 程 的 手 段 ， 诱 骗 受 害 者 开 启 恶 意 文 件 以 订 单 作 为 社 交 工 程 的 手 段 ， 诱 骗 受 害 者 开 启 恶 意 文 件 这 种 连 外 开 文 件 的 恶 意   O f f i c e   文 件 样 本 ， 多 半 以   d o c x   的 方 式 夹 在 电 子 邮 件 的 附 件 中 ， 少 数 用   x l s   及 p p a m   的 方 式 做 夹 带 。 连 外 下 载 超 链 接 会 透 过 短 网 址 ， 如 ： x y 2 . e u 、 b i t . l y 、 l i n k z i p . m e 、 b i t . d o 、 u . n u 、 i s . g d   或 其 他 经 过 编 码 的 网 址 藏 身 ； 下 载 的 恶 意 文 件 则 多 为   . w b k   ( M i c r o s o f t   W o r d   备 份 ) 、 . w i z   ( M i c r o s o f t   W i z a r d   F i l e ) 、 . d o t   ( M i c r o s o f t   W o r d   范 本 ) 、 . d o c ， 虽 然 有 些 类 型 的 文 档 不 常 见 ， 但 只 要 计 算 机 安 装   M i c r o s o f t   O f f i c e   相 关 的 软 件 ， 就 能 开 启 这 些 恶 意 文 件 并 执 行 。 恶 意 文 件 被 执 行 后 ， 会 向 中 继 主 机 抓 取   v b c . e x e   或   r e g . e x e   并 执 行 ， 接 着 成 为 常 驻 的 后 门 程 序 。 双 扩 展 名 的 恶 意 文 档 双 扩 展 名 的 恶 意 文 档 第 二 季 出 现 不 少 双 重 扩 展 名 的 攻 击 性 电 子 邮 件 。 由 于 部 分 自 动 程 序 或 操 作 习 惯 的 缘 故 ， 会 出 现 一 个 档 案 看 似 有 两 个 扩 展 名 ， 而 计 算 机 对 于 这 种 档 案 的 判 读 是 以 最 后 一 个 扩 展 名 为 主 。 以 下 整 理 出 需 要 特 别 留 意 的 双 重 扩 展 名 ： 其 中 比 较 特 别 的 是   . p d f . p p a m   的 攻 击 ， 这 种 攻 击 利 用 链 接 至 一 个 短 网 址 ， 再 转 向   G o o g l e   的 b l o g s p o t   服 务 ， 透 过 解 碼 b l o g s p o t   服 务 暗 藏 的 信 息 ， 再 连 往 俗 称 「 网 站 时 光 机 」 a r c h i v e . o r g   的 服 务 下 载 攻 击 程 序 。 这 种 种 的 行 为 ， 都 是 为 了 躲 开 一 层 层 的 信 息 安 全 防 护 关 卡 。
. p d f . p p a m   的 攻 击 附 件 被 执 行 后 ， 会 透 过 暗 藏 的 的 攻 击 附 件 被 执 行 后 ， 会 透 过 暗 藏 的   v b a   向 外 下 载 恶 意 文 件 向 外 下 载 恶 意 文 件 暗 藏 的 暗 藏 的   v b a   连 往 连 往   b i t l y . c o m   的 短 网 址 位 置 的 短 网 址 位 置
短 网 址 指 向 空 白 内 容 的 短 网 址 指 向 空 白 内 容 的   G o o g l e   b l o g s p o t   页 面 页 面 玄 机 藏 在 网 页 的 原 始 码 中 ， 恶 意 程 式 的 编 码 文 件 ， 被 放 在 俗 称 「 网 站 时 光 机 」 玄 机 藏 在 网 页 的 原 始 码 中 ， 恶 意 程 式 的 编 码 文 件 ， 被 放 在 俗 称 「 网 站 时 光 机 」 a r c h i v e . o r g   的 合 法 服 务 内 的 合 法 服 务 内 编 码 文 件 进 行 译 码 ， 可 看 到 完 整 的 攻 击 程 序 编 码 文 件 进 行 译 码 ， 可 看 到 完 整 的 攻 击 程 序 总 结 总 结 综 合 上 述 样 本 的 攻 击 来 看 ， 使 用 不 易 侦 测 的 手 法 来 躲 避 触 发 安 全 警 报 是 攻 击 者 的 趋 势 ， 但 我 们 从 这 些 样 本 也 发 现 ， 由 于 过 度 的 迂 回 ， 及 使 用 模 糊 的 合 法 服 务 ， 这 些 都 会 与 企 业 一 般 的 沟 通 互 动 行 为 相 违 背 。 因 此 ， 防 护 的 安 全 策 略 ， 就 可 以 从 这 些 差 异 中 被 制 定 出 来 ！ 除 了 上 述 介 绍 的 攻 击 样 本 外 ， 我 们 也 看 见 了 加 入 更 多 混 淆 的   C V E 2 0 1 7 1 1 8 8 2   攻 击 ， 因 此 安 全 设 备 的 特 征 更 新 不 可 或 缺 ； 而 在 某 些 攻 击 邮 件 的 标 头 ， 有 时 也 能 发 现 被 隐 藏 的 重 要 信 息 ， 比 方   R e f e r e n c e s   的 标 头 有 时 会 透 露 出 同 样 遭 受 此 波 攻 击 的 受 害 者 或 企 业 ， 在 调 查 事 件 时 便 可 对 攻 击 者 的 目 的 进 行 推 演 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理