【免杀】记一次lnk钓鱼小技巧

admin
admin
admin
143909
文章
118
评论
2024年5月3日22:21:32评论246 views字数 1250阅读4分10秒阅读模式
【声明】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！
想第一时间看到我们的大图推送吗？赶紧把我们设为星标吧！这样您就不会错过任何精彩内容啦！感谢您的支持！🌟
 前言
在网络安全领域，人们对于钓鱼攻击的防范意识不断加强，传统的钓鱼手法已经变得越来越难以实施。普通的链接钓鱼和宏钓鱼等常见手法已经被广泛警惕和防范，迫使攻击者不断寻找新的策略。
在 lnk 钓鱼中，除了常见的通过 mshta.exe 在快捷方式的目标栏中远程下载并执行恶意 HTA 文件的方式外，还有一种常规方法是利用 rundll32.exe 调用恶意的 DLL 文件。然而，由于杀软对 rundll32.exe 的行为比较敏感，因此使用这种方式可能更容易引起怀疑。接下来，就围绕lnk钓鱼介绍一种新思路。
第一步  创建快捷方式并隐藏
修改快捷方式的目标为%SystemRoot%/explorer.exe （注意explorer.exe后面必须有一个空格）

【免杀】记一次lnk钓鱼小技巧

修改完后会发现快捷方式的图标变成了文件管理器的样子，点击更改图标修改它。
【免杀】记一次lnk钓鱼小技巧
点击浏览，找到电脑上的Edge浏览器。
为什么是Edge呢？因为目前的Windows电脑上都会有一个edge浏览器，并且它的默认路径是一样的，所以利用Edge浏览自带的一个pdf图标能做到很好的兼容性，在任何一台带有edge的电脑上都能定位到该图标。
【免杀】记一次lnk钓鱼小技巧
第二步  生成VBS文件

在一个深层目录下生成一个VBS文件，让该VBS分别打开.html与我们的一个shellcode上线器，VBS的代码如下所示：

Set WshShell = CreateObject("WScript.Shell")WshShell.Run ".\你的html或者pdf",0, False'WshShell.Run ".\你的上线器",0, False'Set WshShell = Nothing
第三步  伪装上线器

这里用的是一个html的页面，一个html页面会带有很多附件（如图片、js文件等），能够将上线器伪装在html页面的一个附件中。

【免杀】记一次lnk钓鱼小技巧

这里的bypass文件就可以用第一步相同的方式更改它的图标，并利用RLO方式混淆后缀名。

第四步  上线器防溯源

上线器我们可以采用一个分离的方式，将shellcode伪装成一个图片或者一些.css后缀的文件混入资源文件中。并且将Loader做一个反调试，或者加载shellcode时对文件名做一些混淆加密解密，来增加溯源成本。

更进一步利用域名加域前置的手段，除非能分析出Loader的一个解密流程并定位shellcode，否则很难成功溯源。

第五步  效果演示
如果您对网络安全感兴趣，想要深入探讨、交流并学习更多相关内容，欢迎各位师傅加入官方技术交流群!!!（关注公众号，回复【加群】，添加管理员微信，拉您进群）

点击下方名片进入公众号，欢迎关注！

喜欢我们的文章的话，别忘了给我们点个赞哦！感谢您的支持👍

原文始发于微信公众号（赤鸢安全）：【免杀】记一次lnk钓鱼小技巧

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年5月3日22:21:32
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【免杀】记一次lnk钓鱼小技巧https://cn-sec.com/archives/2706463.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息