2023年5月 第二周
一. 樣本概況
? 類型1：二維碼釣魚(QRPhish)
利用二維碼進行的釣魚、投毒，成為目前常見的郵件攻擊手段之一，該類二維碼主要存在于網絡鏈接圖片、郵件內容圖片、附件圖片中。
近日，安全團隊捕獲到一類基于員工福利、節(jié)日禮品的二維碼釣魚郵件。攻擊者打著“員工福利”之類的名號，降低防備心，將二維碼放在郵件正文中或者附件中，再加上精心準備的釣魚界面，稍有不慎就泄露自己的銀行卡號密碼等，最終被攻擊者利用，造成敏感信息泄露個人經濟損失。部分樣本如下：
相較于薪資補貼、個人所得稅申報等二維碼釣魚郵件，這類郵件在發(fā)件人成功偽造收件人相同郵件域賬戶的情況下，很多收件人認為是公司內部郵件而放松警惕，目前有企業(yè)員工上當受騙。
目前ASEG反欺詐策略能精確識別發(fā)件人是否為偽造的企業(yè)郵件賬戶，啟發(fā)式規(guī)則庫已提取該類郵件特征，能進行攔截，并處于持續(xù)優(yōu)化更新中。
? 類型2：鏈接釣魚(URLPhish)
該類釣魚郵件主要通過偽造IT信息部門的郵件內容提醒用戶郵箱賬號異常登錄、賬戶限制、賬戶停用及安全升級等。常見于攻防演練期間釣魚攻擊，APT釣魚攻擊等。部分樣本如下：
目前啟發(fā)式規(guī)則庫支持對該類郵件全方面攔截，檢測點包括但不限于：用戶名偽造檢測、發(fā)件域信譽、HELO、EHLO、rDNS、RBL、內置釣魚模板匹配度、惡鏈、0day-Phish等等。
? 類型3：木馬附件(Trojan)
近期，安全團隊也捕獲到攜帶 Kryptik 木馬附件的惡意郵件，內容上為訂單、發(fā)票單、詢價等業(yè)務相關信息，并且攜帶壓縮文件，內含惡意PE文件。部分樣本如下：
Product_xxxxx.zip
發(fā)票和賬單.rar
目前啟發(fā)式規(guī)則庫已支持對該類郵件的檢測，配合沙箱聯(lián)動處理能達到預期攔截效果。
二. 防護建議
? 1.企業(yè)單位郵件域配置SPF記錄，預防內部賬號偽造
? 2.警惕包含以下內容的特定郵件
使用“xx部門”、“公司財務”等用戶名的發(fā)件人；
非工作時間發(fā)送的郵件，聯(lián)系發(fā)件人確認真實性；
包含“薪資補貼”、“福利”、“訂單”、“詢價”及“票據(jù)”等關鍵詞的郵件主題；
包含“您好，xx”、“尊敬的xx”等泛化問候詞的郵件內容；
包含“郵箱備案”、“狀態(tài)異?！?、“安全升級”等偽造IT信息部門發(fā)送的郵件內容；
攜帶未知網頁鏈接或附件，在不確定安全性時不要點擊；
? 3.部署郵件網關類安全防護產品
文中所涉及樣本IOC
Domain
https[:][/][/]uczh7ndym6dctphixyf7huvqyqjwjrw53eznak6wrvcu6fihi-ipfs-w3s-link[.]translate[.]googhttp[:][/][/]mailrnail[.]cnhttp[:][/][/]pmail[.]araguanli[.]com
IP
103.24.1.137
MD
588c1e6ebedea07e6f1ce8d2a7ef53d1e69f4cbd03a083c3b0eaa8581df258348
供稿團隊：文章來源：http://www.zghlxwxcb.cn/news/detail-465032.html
天空衛(wèi)士安全響應中心郵件安全小組文章來源地址http://www.zghlxwxcb.cn/news/detail-465032.html
到了這里，關于安全響應中心 — 垃圾郵件事件報告（5.16）的文章就介紹完了。如果您還想了解更多內容，請在右上角搜索TOY模板網以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網！
