近期，Splunk 威胁研究团队对QakBot的攻击手法的演进进行了分析，在这之中不乏有各种技术的改进利用和创新。其中,QakBot在对钓鱼技术的改进更是细腻，本文将对文中的钓鱼技术改进进行剖析。

1.钓鱼网页中利用HTML smuggling将zip文件释放至目标主机

2.受害者点击恶意zip并输入密码，解压文件

3.解压后的文件中包含ISO文件，打开ISO后在受害者的视角中，只看到了一个伪造成文件夹的lnk文件，诱导受害者点击

4.受害者点击LNK文件后执行恶意脚本，攻击者实现上线，达到攻击目的

亮点1 HTML smuggling的双层嵌套进行防御规避

html smuggling自出现以来，备受钓鱼佬的青睐，各类安全产品也逐渐对此有所检测。而QakBot在攻击中采用了多个html钓鱼网站嵌套的方式，进行有效的防御规避。具体过程如下：

1.对使用了html smuggling技术的html2进行base64和字符反转实现混淆，嵌入在html1(受害者访问的钓鱼网页)中

图一 html1部分代码

2.嵌入方式采用的是html的 "embed" 标签，且setAttribute中参数设为1，即对该段代码的执行进行隐藏

3.执行html1中的reverse函数之后，将html2进行恢复并执行html smuggling实现下发zip恶意压缩包。html2具体代码如下：

图二 html2部分代码

亮点2 lnk执行的改进

攻击者使用的lnk的构造如下：

1.使用cmd.exe 执行.bat脚本，bat脚本执行另一个cmd脚本protracted.cmd，且protracted.cmd使用参数进行执行,bat脚本具体内容如下:

C:\Windows\System32\cmd.exe /c tools\protracted.cmd re gs v

3.脚本执行功能主要有：

• 将系统自带的regsvr32.exe复制为\appdata\local\temp\envelopingConcussion.com

• 使用envelopingConcussion.com执行bucketfuls.dat程序

• bucketfuls.dat是一个具有后门功能的dll，达到攻击目的

1.使用参数构造完整的cmd脚本，将敏感的程序名和路径的字符串，如"regsvr32.exe"，通过脚本进行拼接，减少敏感字符串暴露，达到静态防御规避效果

2.脚本中再执行脚本，而不是直接执行程序，拉长攻击链，同样达到防御规避效果