邮件攻击案例系列六：攻击队冒充 HR 给发送的加密带毒邮件

小胡子大魔王

于 2024-07-30 08:46:58 发布

阅读量449

点赞数 19

文章标签：邮件安全

本文链接：https://blog.csdn.net/sdexcel/article/details/140787032

版权

1. 案例描述

2023 年 7 月，在一次大规模网络安全实战攻防演习活动中，某大型企业在邮件服务商和网络安全团队的合作下，截获了一封来自攻击队的、主题为“部分技术人员涨薪通知”的带毒邮件。邮件以员工最关心的薪酬通知为话题，引诱用户打开带毒附件。该企业随即启动了内部安全审计，发现已有部分员工下载并打开了该邮件的附件。网络安全部门随即将已经中招的设备做了封禁处理。下图为邮件正文内容截图。

邮件的附件为一个加密压缩包。表面上看，将压缩包加密的目的似乎是所谓的“保密”，但实际上，攻击者这样做的目的，是为了为防止邮件安全网关对邮件附件进行反病毒查杀。尽管目前世面上的绝大多数邮件安全网关都已经具备对常用文档、常见压缩格式文件的病毒查杀能力。但攻击者将压缩包加密，就大大增加了反病毒引擎的识别难度。

安全技术人员在隔离环境下将加密压缩包进行解压测试，得到一个名为“员工工资变动申请表.doc”的快捷方式文件和一个隐藏文件夹，快捷方式的图标为 Word。由于 Windows 系统默认不显示快捷方式文件（lnk 文件）的后缀,所以从普通用户的角度看，解压后的文件似乎是一个常见的 Word 文档。

通过邮件查看快捷方式属性可以发现，这个看似 Word 文档的快捷方式，一旦运行，就会执行以下命令：

C:\Windows\System32\cmd.exe

C:\Windows\System32\cmd.exe /c ".\__M\.DOCX\copy.bat" && exit

命令执行的结果就是运行隐藏文件夹中的 copy.bat 脚本。copy.bat 脚本的功能是把同文件夹下的 DS 文件拷贝到临时文件夹并重命名为 ihost.exe，并且运行。ihost.exe 是最终的恶意载荷，是一个远控木马。木马程序被调起运行后，bat 脚本将删除 DS 和 lnk 文件，以清理痕迹，同时打开一个无害的 doc 文档，以便迷惑用户。

最终用户在完全不知情的情况下被植入了远控木马，攻击队可以利用远控木马持续监听用户口令以及查看用户本地文件。

实事求是的说，演习中攻击队编撰的这封钓鱼邮件，水准远超一般黑产团伙：一方面，邮件内容不仅逻辑严谨、极具吸引力，而且极具迷惑性；另一方面，攻击脚本还使用了多种免杀对抗技术和多重伪装技术。具体特点如下。

1.1 内容吸睛，话术逼真

邮件以涨薪为诱饵，普通员工很难不动心。“注意保密”、“解压密码”等红色提示，看起来更是合情合理，给了员工巨大的心理暗示，可以成功的阻止员工向同事、IT 部门和网络安全部门进行核实或求证。

1.2 加密压缩，免杀设计

加密压缩的方式，可以绕过大部分杀毒引擎的查杀，是一种简单有效的免杀方法。不仅如此，攻击文件之间的相互调用，还有逃逸沙箱检测的效果：病毒实际上是通过多个文件相互调用的方式实现加载的，lnk、bat 文件均不带有恶意载荷，DS 文件运行前也没有后缀。通过这样的组合攻击方式，使得每个单一文件在沙箱中运行时都不会报毒。

1.3 多重伪装，行动隐秘

攻击队对于邮箱域名、文件名称、文件图标等都进行了精心的伪装。首先，发件人邮箱的域名是攻击队新注册的，但与目标单位邮箱域名非常接近，不太容易一眼看出；第二，攻击队将 lnk 文件伪装成 doc 文件、将 ihost.exe 伪装成系统进程；第三，攻击队给快捷方式制作了一个 Word 图标。这些伪装大大增强了攻击的隐蔽性和迷惑性。