腾讯安全科恩实验室（以下简称“腾讯科恩”）持续基于多源数据的威胁情报分析以及系统自动化方式，追踪捕获基于钓鱼样本的攻击事件。近日腾讯科恩发现以“简历”和“人事调整”为主题的钓鱼攻击活动，呈现增长趋势。

其中，典型的方式为攻击者编写钓鱼木马文件，并将其伪装成WORD、WPS等文档格式的图标，使用相关具有诱导性的主题进行命名后，再利用社交聊天软件向目标人员进行投递，接收文件者一旦点击运行就有可能被安装Cobalt Strike木马、Metasploit木马或其他类型后门程序，导致电脑被远程控制或重要资料被窃取。 

捕获钓鱼样本样例：

样本ba8cef2042dde3c0f5ddedb64869ae6d，会使得终端加载Cobalt Strike木马，使用域前置手法与C2server进行通信，域前置Host为tianya.baidu[.]com，C2server地址为https://139.159.204[.]247[:]18443/jquery-3.3.2.slim.min.js

样本4094b9cd22436238899814591c554d34，解密出shellcode并通过EnumSystemLocalesA加载回调的方式执行，下载Cobalt Strike木马的c2server地址为https[:]//www.jianjade.com:2096/jquery-3.3.2.slim.min.js

样本0e355aa661e9587f682e6ecdfbdc0ccb，会执行Metasploit木马，连接C2地址为175.178.9[.]139[:]2333，从shellcode中使用的十六进制参数对应的十进制数值可以映射出C2地址，对应关系为：

091D=2333

AF=175

B2=178

09=9

8B=139

样本acce1155cc03a607f73ae70893dfd81e为.NET，会编写的后门木马，首先连接C2地址62.234.53[.]32[:]8088

然后搜集当前IP、用户名、系统版本等信息并发送至C2，最后等待接受远程指令

相关IOC

C2server：

产品体验