利用.zip域名钓鱼攻击新型技术手法

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

本文探讨了一种钓鱼技术：使用 .zip 域名，并在浏览器中模拟文件存档软件；原文地址：https://mrd0x.com/file-archiver-in-the-browser/

0x00 简介

当然，这篇文章的目的，并不是要表达我对这个话题的看法，相反，我将展示如何利用这些顶级域名进行网络钓鱼。

https://github.com/mrd0x/file-archiver-in-the-browser

第一个是模拟 WinRAR 文件存档工具，如下图所示：

第二个是模拟 Windows 11 的文件资源管理器窗口。感谢 @_ghast1y 制作了这个：

0x02 外观特征

3.1 收获凭证

第一个案例是在点击文件时，会打开一个新的网页来获取凭证。

3.2 文件扩展名切换

第二个案例则是，在列出一个不可执行的文件，当用户点击下载时，它下载的是一个可执行的文件。

在 Twitter 上，有好些人提出一个观点，由于 Windows 关键管理器的搜索栏，在搜索不存在的文件时，比如搜索mrd0x.zip，会自动使用浏览器打开它。

新推出的顶级域名为攻击者提供了更多网络钓鱼的机会。强烈建议企业阻止.zip和.mov域名，因为它们已经被用于网络钓鱼，而且可能只会继续被越来越多地使用。

原文始发于微信公众号（潇湘信安）：利用.zip域名钓鱼攻击新型技术手法