freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

攻击技术研判|钓鱼网站反分析手法升级
2023-01-11 17:34:09
所属地 北京

情报背景

随着安全产品对钓鱼网站的检测能力日益提高,邮件安全网关已经检测和阻止大部分携带传播钓鱼网站的钓鱼邮件。然而道高一尺魔高一丈,防御策略的改进也迫使专门从事网络钓鱼的威胁行为者不断改进他们的技战术。

近期,安全研究员捕获了多封逃避网关拦截的钓鱼邮件,攻击者利用合法的邮件服务器发送恶意邮件,引导受害者打开html附件,最终捕获受害者输入的凭据信息。本文将就事件中的钓鱼html附件进行分析与探究。

组织名称

未知

组织编号

未知

关联组织

未知

相关工具

战术标签

初始访问

技术标签

钓鱼网站 反分析

情报来源

https://isc.sans.edu/diary/HTML+phishi

ng+attachments+now+with+antianalysis

+features/28702

01 攻击技术分析

亮点:利用html附件传播钓鱼网站

对比钓鱼链接传播钓鱼网站,html附件可以有效避免邮件网关基于恶意域名规则的拦截,并且由于html格式被大多数邮件服务视为无害附件格式,配合可信度高的邮件服务器很容易躲避邮件网关的封堵,最终进入受害者邮箱。

1673429557_63be82350dd997ebfa775.png!small?1673429559287

亮点:通过JavaScript代码混淆、释放

如下图,真正的钓鱼表单通过混淆嵌入在JavaScript代码中,当邮件网关扫描附件代码时,无法检测到恶意的提交行为,但是受害者打开html附件后,浏览器会解析html中的JavaScript代码,释放出逼真的钓鱼页面。并且钓鱼页面通过动态字符替换的形式,动态显示受害者的邮箱地址,直接诱导受害者输入对应密码,提高中招概率。

1673429574_63be824618f920c0172bc.png!small?16734295764101673429583_63be824fbc1bd8a2ccde5.png!small?1673429585910

亮点:使用“debugger;”反分析技术

寻找HTML页面对应的钓鱼服务器最直接的方式,就是打开“开发人员工具”面板并查看网络选项卡。但是当研究员在该HTML页面上打开开发人员工具时,会看到一条“debugger paused”异常信息,这是由于在混淆的JavaScript中使用了“debugger;”的反分析/反调试技术,具体见开源项目地址:https://github.com/weizman/awesome-javascript-anti-debugging

借助开源项目,类似的机制很容易实现。当这种反分析技术被钓鱼网站广泛应用,可能会有效阻碍恶意钓鱼服务器的分析溯源和应急效率,从而增加恶意钓鱼活动的存活时间周期。

1673429610_63be826a710770b68d1ee.png!small?1673429612330

02 总结

利用html附件传播钓鱼网站早已屡见不鲜,该事件中的html钓鱼附件显得更为复杂,充分利用了JavaScript代码进行反识别、反分析、反追踪,极易逃避邮件网关的封堵的同时,由于类似的机制很容易实现,如果分析师不知道它们的工作原理,可能会有效地阻碍分析溯源,从而酿成更严重的后果。

# 网络安全技术
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录