2023年6月 第二周
樣本概況
? 類型1：
攜帶釣魚鏈接的偽造傳票郵(URLPhish)
近期，安全團(tuán)隊(duì)捕獲到一類新的偽造51某票的釣魚郵件，內(nèi)容上為偽造的律師事務(wù)所傳票信息，并誘導(dǎo)收件人點(diǎn)擊釣魚鏈接。代表樣本如下：
結(jié)合情報(bào)分析，該域名下存在過惡意壓縮文件，木馬家族為FlyStudio，猜測該攻擊團(tuán)隊(duì)也是通過攜帶惡意壓縮附件的形式開展釣魚活動(dòng)。
目前啟發(fā)式規(guī)則庫已支持對該類郵件的檢測。
? 類型2：推銷廣告類郵件(Spam)
這類郵件多以代開發(fā)票、銀行貸款、租賃店鋪等為由，留下聯(lián)系方式。通常是大批量群發(fā)，搶占郵箱配額空間，98%以上的用戶都將此類郵件標(biāo)記為垃圾郵件。部分樣本如下：
這類樣本屬于天空衛(wèi)士郵件安全團(tuán)隊(duì)長期關(guān)注、捕獲的樣本集，啟發(fā)式規(guī)則庫自2021年4月份就已支持檢測該類型的樣本，并且處于持續(xù)優(yōu)化中。
? 類型3：木馬附件(Trojan)
（1）員工漲薪
警惕這類惡意郵件，內(nèi)容上為員工漲薪相關(guān)信息，并且攜帶壓縮文件，內(nèi)含惡意PE文件。代表樣本如下：
附件內(nèi)容如下：
（2）通知提醒
還有部分木馬附件樣本，內(nèi)容上為付款相關(guān)確認(rèn)文件信息，并且攜帶壓縮文件，內(nèi)含惡意PE文件。代表樣本如下：
附件內(nèi)容檢測結(jié)果如下：
目前啟發(fā)式規(guī)則庫已支持對該類郵件的檢測，配合沙箱聯(lián)動(dòng)處理能達(dá)到預(yù)期攔截效果。
防護(hù)建議
? 1.警惕攜帶壓縮附件的郵件，如果是陌生發(fā)件人，一律不要點(diǎn)擊。
? 2.部署郵件網(wǎng)關(guān)類安全防護(hù)產(chǎn)品。
文中所涉及樣本IOC
Domain
https[:][/][/]app51fapiao.cn:8888http[:][/][/]laobaole[.]cn
IP
216.83.46.195
Hash
ad0d632eee381739880d136c625a0ed0589c9c745d9d75a968f3b5531086e19d3a266bdbedde3a4652387352f3776ca9c408197b0aec41ee8f241a97edf4ac263d2ceaaa66a142c37a35b5b0d611217198660675ba7764ea3615f2ee7396843a501d3cf45b2e5f286dd21e02529da71fa686ade8238453e5ba7af9ff7d6ab558
PDB路徑F:\NMC\CURRENT260dailyBuild14596_finalTry2\Libraries\WzAddrBook\w64prod\WzCABCacheSyncHelper64.pdb
供稿團(tuán)隊(duì)：文章來源：http://www.zghlxwxcb.cn/news/detail-473612.html
天空衛(wèi)士安全響應(yīng)中心郵件安全小組文章來源地址http://www.zghlxwxcb.cn/news/detail-473612.html
到了這里，關(guān)于安全響應(yīng)中心 — 垃圾郵件事件報(bào)告（6.5）的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
![[ 應(yīng)急響應(yīng)基礎(chǔ)篇 ] evtx提取安全日志 & 事件查看器提取安全日志](https://imgs.yssmx.com/Uploads/2024/02/597327-1.png)
