冒充安恒信息对看雪论坛的一次定向钓鱼攻击
2019-11-05 19:25:01 Author: mp.weixin.qq.com(查看原文) 阅读量:78 收藏

今天我们连续收到两封假冒安恒信息的钓鱼邮件，针对此次事件，看雪会员pandazhengzheng进行了详细分析，借此转载把他的观点分享给大家。

钓鱼攻击是网络犯罪团伙常用的一种手段，很多勒索病毒都曾使用邮件钓鱼的方式欺骗受害者打开相应的附件，运行恶意样本，导致受害者被勒索加密，钓鱼邮件攻击也是APT攻击的常用手段之一，如果收到陌生的邮件，千万不要随便点击附件链接或打开邮件附件中的文件。
中午吃饭看到群里有人发贴子，好像是看雪被钓鱼，看雪论坛应该是很多安全从业者的启蒙论坛，我也是从看雪论坛走出来的，从上面学到了不少东西，认识了不少朋友，非常感谢看雪论坛，竟然被钓鱼攻击了，于是上去看了一下，钢哥在论坛也发了贴子，公布了邮件信息，从邮件信息上看钓鱼攻击者冒充了安恒信息公司的邮件，如下所示：
一共给发了两封邮件，包含同一个恶意链接，如下所示：
两封邮件附带的恶意链接都是一样的，如下：
www.dbappsecurtiy.com/pediy/error.hta
 
error.hta是一个vbs脚本，内嵌PowerShell脚本，如下所示：
运行hta脚本之后，调用执行内嵌的PowerShell脚本，如下所示：
解密出PowerShell脚本，如下所示：
此PowerShell脚本与远程服务器进行通讯，获取返回数据，捕获到的流量信息，如下所示：
解密获取的PowerShell脚本获取主机相关信息，与远程服务器通信，解密出来的PowerShell脚本代码，如下所示：
捕获到的网络流量数据，如下所示：
再次解密获取到的PowerShell脚本，如下所示：
该脚本会设置默认的返回数据信息包，如下所示：
解密出来的返回数据包信息，如下所示：
与我们上面捕获到的数据流量包一致，PowerShell脚本通过远程服务器返回相应的操作指令，如下所示：
CMD远程控制指令过程，如下所示：
通过CMD指令可以远程获取主机文件，进程等信息，下载，上传文件等操作，监控网络流量数据，如下所示：
这次钓鱼定向攻击，钓鱼攻击者冒充的发件人邮件信息：
[email protected]
很明显冒充了安恒的邮箱，安恒的邮箱地址后缀是dbappsecurity.com
这应该是一次有目的性，通过钓鱼邮件定向攻击目标，并进行远程控制的网络攻击行为，此次钓鱼邮件定向攻击同样采用"无文件"攻击手法，无落地PE文件，邮件附件中只包含一个HTA脚本文件，通过执行HTA脚本调用PowerShell执行所有的恶意操作
现在的钓鱼邮件攻击越来越多，各企业或网站的相关管理人员，一定要擦亮眼睛，以防被钓鱼攻击，不要轻易打开陌生的邮件以及附件
IOC
584437BC8063B64FB65D2882A7DDBD89
 
C&C
45.89.175.192
www2.netstorehosting.com
 
URL
hxxp://www.dbappsecurtiy[.]com/pediy/error.hta
www2.netstorehosting[.]com/login/process.php
www2.netstorehosting[.]com/admin/get.php
www2.netstorehosting[.]com/news.php

* 本文经授权转载自微信公众号 安全分析与研究 冒充安恒信息对看雪论坛的一次定向钓鱼攻击

推荐文章++++

* 针对Office 365的新型网络钓鱼诈骗之音频邮件

* Microsoft承认Windows由于永久性内存而导致启动缓慢

* 黑客利用Windows BlueKeep挖矿，RDP攻击再次来袭

* 印度核电站遭网络攻击？一路反转到底

* 当心你的手机暗藏“卧底软件”！已有6万人被监听和跟踪→


﹀
﹀
﹀
公众号ID：ikanxue
官方微博：看雪安全
商务合作：[email protected]
戳“阅读原文”一起来充电吧！

文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458300534&idx=3&sn=f1b8435491ae6a704ea1abdcddffc061&chksm=b18180fc86f609ea155b921855663ee3795dc754da88feb8cfc7ec2d907d248f55a7badcaaa6#rd
如有侵权请联系:admin#unsafe.sh