就全球足跡而言，很少有網(wǎng)絡(luò)犯罪領(lǐng)域能與網(wǎng)絡(luò)釣魚相提并論。FBI表示，2020 年向其互聯(lián)網(wǎng)犯罪投訴中心 (IC3) 提交的受害者報(bào)告數(shù)量最多。組織因商業(yè)電子郵件泄露（一種特殊的網(wǎng)絡(luò)釣魚形式）而蒙受的經(jīng)濟(jì)損失高達(dá)去年減少了 18 億美元。根據(jù)Verizon 的報(bào)告，2021 年記錄的數(shù)據(jù)泄露中有 36% 涉及網(wǎng)絡(luò)釣魚。

是什么讓這種犯規(guī)行為如此有利可圖？這歸結(jié)為人為因素，這是一般企業(yè)數(shù)字化態(tài)勢(shì)中最薄弱的環(huán)節(jié)。網(wǎng)絡(luò)騙子最常利用的不是軟件或硬件漏洞。是用戶，他們有痛點(diǎn)、易受騙和缺乏安全意識(shí)。

值得慶幸的是，電子郵件過(guò)濾器在識(shí)別和阻止試圖欺騙收件人點(diǎn)擊傳染性鏈接、下載惡意附件或泄露敏感信息的郵件方面越來(lái)越有效。在這種情況下，網(wǎng)絡(luò)釣魚者正在策劃新的技巧來(lái)繞過(guò)這些障礙。

• 模仿世界著名金融組織的電子郵件
• 偽裝的惡意 ZIP 文件
• 使用外語(yǔ)混淆保護(hù)工具
• 逆向 HTML 代碼
• 將被黑的 SharePoint 帳戶武器化
• 您是否足夠警惕以抵御網(wǎng)絡(luò)釣魚攻擊？

模仿世界著名金融組織的電子郵件

在2020 年夏季爆發(fā)的一場(chǎng)運(yùn)動(dòng)中，一個(gè)網(wǎng)絡(luò)犯罪團(tuán)伙以假冒花旗集團(tuán)或美國(guó)銀行等主要銀行的欺騙性信息為目標(biāo)的公司。這些電子郵件指示收件人在偽裝成他們正在使用其服務(wù)的金融機(jī)構(gòu)的官方網(wǎng)站的頁(yè)面上更新他們的個(gè)人信息。為了看起來(lái)合法，欺詐涉及一個(gè)間隙網(wǎng)頁(yè)，要求用戶指定他們的安全挑戰(zhàn)問(wèn)題。

許多網(wǎng)絡(luò)釣魚保護(hù)工具允許這些電子郵件到達(dá)目標(biāo)，盡管它們來(lái)自@yahoo.com 而不是銀行的實(shí)際域，這是應(yīng)該立即發(fā)出危險(xiǎn)信號(hào)的事情。為何如此？

首先，這個(gè)騙局只針對(duì)一家公司的少數(shù)員工。由于傳統(tǒng)的電子郵件過(guò)濾器正在尋找許多具有可疑內(nèi)容的相同或相似郵件，因此有幾封郵件很可能未被發(fā)現(xiàn)。

事實(shí)上，這些電子郵件是從個(gè)人雅虎帳戶發(fā)送的，這也給工作帶來(lái)了麻煩。這是因?yàn)榛谟虻南⑸矸蒡?yàn)證、報(bào)告和一致性 (DMARC) 和發(fā)件人策略框架 (SPF) 等經(jīng)典驗(yàn)證機(jī)制無(wú)法識(shí)別域欺騙企圖。

最后，該銀行的山寨網(wǎng)站在騙局開始前不久就已經(jīng)注冊(cè)，因此還沒(méi)有被列入黑名單。它還使用了有效的 TLS 證書。這些簡(jiǎn)單的技術(shù)，加上郵件正文中的一些壓力，讓網(wǎng)絡(luò)釣魚浪潮得以傳播，并欺騙一些收件人交出他們的機(jī)密數(shù)據(jù)。

偽裝的惡意 ZIP 文件

如果熟悉 ZIP 格式原理，您可能知道 End of Central Directory (EOCD)。它表示檔案結(jié)構(gòu)的最后一個(gè)元素。在理想情況下，這些壓縮文件包包含單個(gè) EOCD 值。然而，惡意行為者已經(jīng)學(xué)會(huì)了使用兩個(gè)平行結(jié)構(gòu)創(chuàng)建檔案，其中一個(gè)隱藏在眾目睽睽之下。

安全電子郵件網(wǎng)關(guān) (SEG) 具有解壓縮功能，可在用戶打開之前檢查所有 ZIP 文件。然而，在雙 EOCD 場(chǎng)景中，唯一可供檢查的部分是無(wú)害的“紅鯡魚”結(jié)構(gòu)，它以優(yōu)異的成績(jī)通過(guò)了所有檢查。同時(shí)，混淆層次結(jié)構(gòu)在幕后加載，在收件人的計(jì)算機(jī)上執(zhí)行遠(yuǎn)程訪問(wèn)工具 (RAT)。

使用外語(yǔ)混淆保護(hù)工具

大多數(shù)反網(wǎng)絡(luò)釣魚系統(tǒng)都配置為識(shí)別英語(yǔ)或客戶公司語(yǔ)言的網(wǎng)絡(luò)釣魚模板以進(jìn)行業(yè)務(wù)通信。為了避開這個(gè)障礙，一些騙子用俄語(yǔ)發(fā)送電子郵件，并包含一個(gè)鼓勵(lì)潛在受害者使用在線翻譯服務(wù)的短語(yǔ)。因此，這些消息可以毫無(wú)阻礙地到達(dá)收件箱，過(guò)度好奇的用戶可能會(huì)在閱讀翻譯后的文本后上鉤。

逆向 HTML 代碼

此類網(wǎng)絡(luò)犯罪的另一個(gè)策略涉及更改消息源代碼中的文本方向。這樣，電子郵件過(guò)濾器就會(huì)忽略它，因?yàn)樗慕Y(jié)構(gòu)不會(huì)與已知的網(wǎng)絡(luò)釣魚樣本重疊。當(dāng)收到這樣的電子郵件時(shí)，它會(huì)正確地呈現(xiàn)給用戶。

為達(dá)到這一目的，黑帽黑客通常會(huì)錯(cuò)誤處理層疊樣式表 (CSS)，這是一種指定 HTML 元素應(yīng)如何在屏幕上呈現(xiàn)的編程工具。它允許將拉丁文和阿拉伯文文本合并到同一封電子郵件的代碼中，并可以互換使用這兩種格式。這些腳本以相反的方向流動(dòng)的事實(shí)使得更容易實(shí)現(xiàn)背信棄義的逆轉(zhuǎn)。

將被黑的 SharePoint 帳戶武器化

檢查可疑鏈接的消息是 SEG 保護(hù)邏輯不可分割的組成部分，作惡者知道這一點(diǎn)。為了避開這種機(jī)制，他們可能會(huì)嵌入合法云服務(wù)的 URL。例如，網(wǎng)絡(luò)釣魚者經(jīng)常利用他們未經(jīng)授權(quán)訪問(wèn)的 SharePoint 網(wǎng)站。電子郵件過(guò)濾器信任托管在 Microsoft 協(xié)作平臺(tái)上的資源，因此此類郵件可以順利到達(dá)受害者的收件箱。

如果用戶通過(guò)單擊據(jù)稱指向重要工作文檔的鏈接上當(dāng)受騙，他們將看到一個(gè)內(nèi)容難以理解的惡意 OneNote 文件。為了閱讀它，該人被指示點(diǎn)擊另一個(gè)超鏈接，在幾次網(wǎng)絡(luò)重定向后，該鏈接將他帶到一個(gè)偽裝成 OneDrive for Business 登錄門戶的憑據(jù)釣魚頁(yè)面?？梢灶A(yù)見(jiàn)的是，在那里輸入的身份驗(yàn)證詳細(xì)信息最終會(huì)落入犯罪分子之手。

您是否足夠警惕以抵御網(wǎng)絡(luò)釣魚攻擊？

使用反網(wǎng)絡(luò)釣魚工具是成功的一半。這些解決方案會(huì)篩選所有傳入的電子郵件，并自動(dòng)阻止大多數(shù)社交工程嘗試。問(wèn)題在于威脅行為者不斷想出新方法來(lái)欺騙這些防御措施。因此，大量的保護(hù)取決于您。以下建議將幫助您避免危險(xiǎn)：

• 不要點(diǎn)擊電子郵件中嵌入的鏈接，即使它們看起來(lái)值得信賴。
• 不要加載陌生人發(fā)送的電子郵件附件。
• 在登錄表單中輸入您的用戶名和密碼之前，請(qǐng)確定該頁(yè)面使用加密連接 (HTTPS)。
• 如果一封電子郵件冒充受信任的組織并要求您提供個(gè)人信息，請(qǐng)檢查是否有拼寫錯(cuò)誤和其他錯(cuò)誤——這些都是騙局的明顯跡象。
• 忽略告訴您緊急做某事的消息。
• 收到同事的電匯請(qǐng)求后，請(qǐng)務(wù)必加倍確保其合法性。給對(duì)方打電話或當(dāng)面討論這件事并沒(méi)有什么壞處。
• 不要在社交網(wǎng)絡(luò)上發(fā)布過(guò)多的個(gè)人數(shù)據(jù)，因?yàn)樗梢杂脕?lái)建立您的個(gè)人資料并策劃高效的有針對(duì)性的網(wǎng)絡(luò)釣魚攻擊。
• 啟用防火墻并使用具有網(wǎng)絡(luò)釣魚防護(hù)功能的安全應(yīng)用程序。

回顧一下，電子郵件過(guò)濾器不能完全保護(hù)您和您的組織免受網(wǎng)絡(luò)釣魚的危害。其中一些消息無(wú)疑會(huì)繞過(guò)這一層保護(hù)，結(jié)果就取決于您的安全意識(shí)了。來(lái)自信譽(yù)良好的網(wǎng)絡(luò)主機(jī)的電子郵件托管可以幫助您降低網(wǎng)絡(luò)釣魚防護(hù)等服務(wù)的網(wǎng)絡(luò)釣魚風(fēng)險(xiǎn)。要成為一個(gè)移動(dòng)的目標(biāo)，請(qǐng)使用上述提示，并且永遠(yuǎn)不要停止磨練您識(shí)別此類欺詐的能力。