首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 茶余饭后
    3. 发新帖
[推荐]冒充安恒信息对看雪论坛的一次定向钓鱼攻击
发表于: 2019-11-6 22:45 2302

[推荐]冒充安恒信息对看雪论坛的一次定向钓鱼攻击

熊猫正正 活跃值
9
2019-11-6 22:45
2302
钓鱼攻击是网络犯罪团伙常用的一种手段，很多勒索病毒都曾使用邮件钓鱼的方式欺骗受害者打开相应的附件，运行恶意样本，导致受害者被勒索加密，钓鱼邮件攻击也是APT攻击的常用手段之一，如果收到陌生的邮件，千万不要随便点击附件链接或打开邮件附件中的文件

中午吃饭看到群里有人发贴子，好像是看雪被钓鱼，看雪论坛应该是很多安全从业者的启蒙论坛，我也是从看雪论坛走出来的，从上面学到了不少东西，认识了不少朋友，非常感谢看雪论坛，竟然被钓鱼攻击了，于是上去看了一下，钢哥在论坛也发了贴子，公布了邮件信息，从邮件信息上看钓鱼攻击者冒充了安恒信息公司的邮件，如下所示：

一共给发了两封邮件，包含同一个恶意链接，如下所示：

两封邮件附带的恶意链接都是一样的，如下：

 www.dbappsecurtiy.com/pediy/error.hta


error.hta是一个vbs脚本，内嵌powershell脚本，如下所示：


运行hta脚本之后，调用执行内嵌的powershell脚本，如下所示：

解密出powershell脚本，如下所示：

此Powershell脚本与远程服务器进行通讯，获取返回数据，捕获到的流量信息，如下所示：

解密获取的PowerShell脚本获取主机相关信息，与远程服务器通信，解密出来的PowerShell脚本代码，如下所示：

捕获到的网络流量数据，如下所示：

再次解密获取到的PowerShell脚本，如下所示：

该脚本会设置默认的返回数据信息包，如下所示：

解密出来的返回数据包信息，如下所示：

与我们上面捕获到的数据流量包一致，PowerShell脚本通过远程服务器返回相应的操作指令，如下所示： 
  CMD远程控制指令过程，如下所示： 
  通过CMD指令可以远程获取主机文件，进程等信息，下载，上传文件等操作，监控网络流量数据，如下所示： 
 

这次钓鱼定向攻击，钓鱼攻击者冒充的发件人邮件信息：

wu.jinyan@dbappsecurtiy.com

很明显冒充了安恒的邮箱，安恒的邮箱地址后缀是dbappsecurity.com


这应该是一次有目的性，通过钓鱼邮件定向攻击目标，并进行远程控制的网络攻击行为，此次钓鱼邮件定向攻击同样采用"无文件"攻击手法，无落地PE文件，邮件附件中只包含一个HTA脚本文件，通过执行HTA脚本调用PowerShell执行所有的恶意操作


现在的钓鱼邮件攻击越来越多，各企业或网站的相关管理人员，一定要擦亮眼睛，以防被钓鱼攻击，不要轻易打开陌生的邮件以及附件


IOC

584437BC8063B64FB65D2882A7DDBD89

C&C

45.89.175.192

www2.netstorehosting.com

URL

hxxp://www.dbappsecurtiy[.]com/pediy/error.hta

www2.netstorehosting[.]com/login/process.php

www2.netstorehosting[.]com/admin/get.php

www2.netstorehosting[.]com/news.php


最后欢迎大家关注此微信公众号，专注全球恶意样本的分析与研究，深度追踪与解析恶意样本背后的黑色产业链，关注全球最新的安全攻击技术，及时提供全球最新最有价值的威胁情报信息

如果对恶意样本分析技术感兴趣，可以加入知识星球进行学习，加入星球的朋友可以加入《安全分析与研究》专业群，与群里的各位安全研究员一起交流，讨论，研究各种安全技术，让你在学习成长的路上多一个伙伴，共同学习，共同成长 
  
安全的路很长,贵在坚持......



[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・1
支持
分享
最新回复 (1)
supperlitt
雪    币： 1385
活跃值： (5609)
能力值： ( LV3，RANK：25 )
在线值：
发帖
回帖
粉丝
私信
2 楼
厉害了。
2019-11-7 09:12
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//