ASRC 2021年第三季电子邮件安全观察

  • A+
所属分类:安全闲碎

点击蓝字 关注我们


ASRC 2021年第三季电子邮件安全观察


根据ASRC研究中心 (Asia Spam-message Research Center) 与守内安的观察,2021年第三季度垃圾邮件总体数量并无明显波动,但钓鱼邮件仍然没有平息。利用 CVE-2018-0802 程序漏洞伪装成订单邮件的攻击,数量上相较上季略有趋缓,但仍需要特别留意;冒充企业的伪造邮件攻击,较上季增长约1.5 倍,而针对个人诈骗邮件的数量较上季增长了1.2倍,个人与企业均须时刻提防中招。本季较为特殊的样本如下:


钓鱼邮件透过 HTML 标签挑选攻击目标


调查中,研究人员发现了特别的钓鱼邮件样本,这个样本在Apple Mac的默认邮件客户端开启时,会直接显示出可点击的链接;但若在其他的微软操作系统常见的邮件客户端,则不会显示出可点击的链接。


ASRC 2021年第三季电子邮件安全观察

macmail.jpg,在 Apple Mac 的默认邮件客户端开启时,会直接显示出可点击的链接


ASRC 2021年第三季电子邮件安全观察

notmac.jpg,微软操作系统常见的邮件客户端则不会显示出可点击的链接


查看源代码,发现这封钓鱼邮件使用了HTML标签。这个标签主要是用于设定整个页面中,所有链接类型属性的默认根网址。不过这个标签并非所有的客户端系统都支持,因此可借由使用这个标签来筛选攻击目标。


ASRC 2021年第三季电子邮件安全观察

basehtml.jpg,这封钓鱼邮件使用了一个 的HTML标签


冒充航空公司问卷调查,钓取信用卡信息


八月份有攻击者冒充某几家航空公司身份,以入选客户忠诚方案为名的问卷调查,肆意流窜出一波主题为“Congratulations ! You've been selected by xxxx Airline Loyalty Program”的邮件,目标是骗取收件人的信用卡信息。


ASRC 2021年第三季电子邮件安全观察

假冒某航空公司,以限时活动、花2~3分钟便可获得回馈的调查方案,引诱收件人填写问卷


邮件中宣称只要花一点时间协助做完问卷调查,就能得到丰厚的账户奖励。为了取信收件人,邮件中所有的图片皆来自航空公司官方网站,只有问卷所在的网址暗藏于被篡改的网站。若收件人贸然点击链接前往此页,可能会被精心设计伪装好的问卷调查,松懈了戒心;在填完假问卷后,便会进一步要求个人的信息。


ASRC 2021年第三季电子邮件安全观察

声称填完问卷可获得实质奖励


当被害人填写完个人信息后,接着会被要求输入信用卡信息,这一切都是为了取得“奖励”的必要步骤。


ASRC 2021年第三季电子邮件安全观察

为取得奖励,必须填写个人资料与信用卡信息


被害人填写信用卡信息,并按下发送,则会收到要求填写手机短信验证码认证;若再配合输入短信验证码,则后续来的不是航空公司的奖励,而是一连串刷卡通知。此时,信用卡已经正式遭到盗刷!提醒大家在使用填写一些公共邮箱的问卷调查时,请注意自己最近是否有使用过相关产品,填写信息时注意信息合理性,特别是手机验证码等信息,加强此类钓鱼防范。


与自身业务有关的社交工程攻击


在企业加强倡导信息安全观念的当下,收到与自己业务无关或与自身习惯使用语言不同的邮件,多半会有所警觉,并且不会打开相关附件内容。但若出现与自身业务相关,内容也使用自身习惯用语撰写的恶意邮件,该如何提防呢?


在第三季度出现许多假借业务咨询、保费、客服等问题,却夹带攻击文档的恶意邮件。这些恶意文档,都以压缩文件的方式夹带一个可执行文件,并且将图示或扩展名,试图伪造为 PDF 文件档。


ASRC 2021年第三季电子邮件安全观察

假借业务询问,却夹带攻击档案的恶意邮件


虽然这些假借业务咨询、保费、客服等问题邮件在内的社交工程手法类似,但邮件中所附带的恶意软件并没有明确的关联性,部分恶意软件也会以压缩文件加密的方式躲避扫描;运行时攻击目的也有所不同,目前只发现攻击Windows的样本。防范这类邮件,建议不要隐藏扩展名、不要运行解压缩后文件名不明的 .exe档案。


邮件压缩包炸弹,瘫痪过滤系统


Microsoft Office自2007版本之后,提供了新的文件包装格式,使用XML体系结构和ZIP压缩将文档、公式、VBA等内容储存到行和列的组织,常见格式附文件名为.docx、xlsx、pptx、xlsm…等。我们发现这个ZIP的包装结构,与早期的压缩文件炸弹手法进行结合,用以干扰电子邮件的内容扫描机制。


ASRC 2021年第三季电子邮件安全观察

电子邮件中一个.xlsm的附件文档,大小约为2mb,之中掺入了压缩文件炸弹的手法


将这个 .xlsm解压缩后,产生三个OLE对象的 .bin文档,其中较小的两个档案,是由VBScript写成的恶意软件主体内容下载器,执行结束后会自我清除;oleObject3.bin则是透过CVE-2017-11882的方程式漏洞去执行前述的 VBScript。而oleObject3解压缩后的大小约为2GB,由于这个文档大小过大,会对某些扫描机制产生干扰,也可能造成扫描时暂存空间瞬间用罄,导致非预期的问题。


ASRC 2021年第三季电子邮件安全观察

oleObject3.bin压缩文件炸弹膨胀后的大小约为2GB


结语


攻击者如何发送恶意邮件到目标对象的信箱?主要两种方式,一种是以字典文件针对一个域名持续尝试;另一种,则是根据暴露于网络上的数据,以及遭到外泄的数据库。以字典文件尝试发送的方式,多半具有较低的针对性,容易侦测出尝试的行为并加以阻断;较为危险及常被忽视的会是后者。根据暴露于网络上的数据,以及遭到外泄的数据库名单所发送的攻击信件,多半还伴随有该邮件地址拥有者的其它相关资料,如:个人信息、兴趣、其他联系信息等等,能够用于更有针对性且为受害目标量身打造的攻击。


因此,在使用电子邮件地址申请任何服务时,最好能依功能分类,或区分使用私人邮箱注册和公司邮箱注册,用以区别收件来源的重要性,必要时也可以关闭不用的私人邮箱,避免信息关联,将自己彻底从攻击者的名单中移除。


相关阅读

ASRC 2021年第二季电子邮件安全观察

2021电子邮件安全的五大趋势

过去一年,超200万封恶意邮件绕过安全网关


ASRC 2021年第三季电子邮件安全观察

合作电话:18311333376
合作微信:aqniu001
投稿邮箱:[email protected]





ASRC 2021年第三季电子邮件安全观察

原文始发于微信公众号(安全牛):ASRC 2021年第三季电子邮件安全观察

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: