技术博客
首页 所有文章 标签 分类 关于
技术博客

目录

一封伪冒中国银行的攻击邮件的简要分析

 收录于 未分类
   约 2614 字   预计阅读 6 分钟 
https://bing.ee123.net/img/rand?artid=132738198

一封伪冒中国银行的攻击邮件的简要分析

一、大概背景

早上收到一封邮件，显示为：中国银行的银行转账通知。 (MT-103 雨燕)，如下图所示：

https://i-blog.csdnimg.cn/blog_migrate/9ec986050227be590e5589c9f0fd69a8.jpeg

直接双击打开附件，ISO文件加载后，显示内容为一个伪造成PDF文件的EXE可执行文件，如下图所示：

https://i-blog.csdnimg.cn/blog_migrate/5407766e7c8c1e0512d8fb4945536f1e.jpeg

该exe文件除了将图标伪造成PDF外，还伪造了EXE文件属性为：Firefox，如下图所示：

https://i-blog.csdnimg.cn/blog_migrate/ac0cf576d5051ca340a69483bddc13f2.jpeg

更详细信息如下：

https://i-blog.csdnimg.cn/blog_migrate/15c079d985d9e0346a0d2f29a402dc62.jpeg

攻击手法和形式和前几天收到的雷同，具体可参加： [一封伪冒工商银行的攻击邮件的简要分析 -

FreeBuf网络安全行业门户]( ) 。

邮件伪造中国银行邮箱：info@boc.cn发送。

实际邮件通过huemul.ffyb.uba.ar发出，ffyb.uba.ar是布宜诺斯艾利斯大学药学和生物化学学院的域名。

https://i-blog.csdnimg.cn/blog_migrate/4d0e7c2c0c1a5d893c6d9e4d433c15c3.jpeg

二、PE分析情况

Bank of China_Payment_Copy_Xerox Scan_Pdf.exe执行后，首先访问：http:// soprocerto.pt

/new/Vyckdayq_Ardozkwt.bmp, 发送的HTTP报文抓包如下图所示：

https://i-blog.csdnimg.cn/blog_migrate/7663ab21f5ae588df2a37fc0c97c4ab1.jpeg

同样的，该url字符串直接可在EXE静态文件中找到：

https://i-blog.csdnimg.cn/blog_migrate/63d629a520a032b5c9763d239c51d10b.jpeg

反汇编代码： https://i-blog.csdnimg.cn/blog_migrate/3919ac6b81df2c4853b3645a1277bbe1.jpeg

通过上一篇内容的分析，我们看到本次下载的BMP还依然是一个EXE文件的倒序，直接查看下载的数据，拉到底部，可以很容易看出是一个PE头的倒序：

https://i-blog.csdnimg.cn/blog_migrate/1253a0bb3389ffc9cf5e60d9ec85e818.jpeg

直接访问：http://soprocerto.pt/new/，则会列出该目录下所有文件，显示为3个图片文件，其实都是EXE文件的倒序，恶意文件的生成时间为：6月5日和6日，如下图所示:

https://i-blog.csdnimg.cn/blog_migrate/5161c1914ae9c8054ef48379f191ad18.jpeg

6月8日再次访问该url，发现多了两个文件，说明攻击者持续在更新攻击样本

https://i-blog.csdnimg.cn/blog_migrate/01bfc054a707482a8fda15ec9739c7ed.jpeg

我们来看看反汇编代码，验证一下是否为倒序存放：

首先，调用City类的vipd，用于下载http://soprocerto.pt/new/Vyckdayq_Ardozkwt.bmp

https://i-blog.csdnimg.cn/blog_migrate/320b5d860c2db9c59ab74bae33dfc898.jpeg

接着，qeat函数调用System.Net.WebClient直接下载：

https://i-blog.csdnimg.cn/blog_migrate/2e568775ceb921588d7a47be7e97ea0a.jpeg

然后，调用Country类的hpai函数，将下载的BMP数据进行倒序操作：

https://i-blog.csdnimg.cn/blog_migrate/bfccfb4edfffcf1b1404edf462aef283.jpeg

转化成代码如下：

https://i-blog.csdnimg.cn/blog_migrate/4a5df193aa2783e0c20be9fcee497173.jpeg

最后，利用Assembly.Load加载倒序后的PE文件：

https://i-blog.csdnimg.cn/blog_migrate/de34e6e0018e943e5820b4b9c5c3413a.jpeg

执行后，会在%temp%目录下生成：Mnyxtqwntaqzvqbubhuconfast1.exe

Mnyxtqwntaqzvqbubhuconfast1.exe是一个受害主机信息收集、发送的木马程序，会将受害主机的信息通过SMTP协议发送，连接的SMTP服务器是：mail.pharmadent.com.uy，端口是：587，IP为：170.249.205.194。 https://i-blog.csdnimg.cn/blog_migrate/264442d5e608a2682c85002f94bda1e3.jpeg

具体的SMTP访问数据如下图所示：

https://i-blog.csdnimg.cn/blog_migrate/93a3030a7006c5c42484e608d1063b45.jpeg

SMTP解析如下：

https://i-blog.csdnimg.cn/blog_migrate/3c6ea8bad37e6a7ff61e6630ba124941.jpeg

发送的邮件内容是受害主机的信息（测试机器内容很少），比如主机名、OS系统信息、CPU、内容、IP地址等。

和前一篇文章一样，攻击者最终的接收邮箱地址依然是： 。只不过发送邮箱变成： ，通过SMTP报文获取的账户和密码，可以直接登陆访问 邮箱。

三、小结

IOCS：

1、文件

文件名称

|

大小

|

MD5 HASH

|

备注

—|—|—|—

Ktyij_Srfqefve.png

|

940,032

|

a8a6798a4c1c3cb824032230eb088429

|

Exe倒序

Vyckdayq_Ardozkwt.bmp

|

895,488

|

17f1ccb5b199866f68aac90656f4a98d

|

Exe倒序

Emqgfdkel_Ugyidrpi.png

|

896,000

|

18a877a85f2cc421602937b3a7498649

|

Exe倒序

Obppbo_Nkyjgkog.png

|

676,352

|

a5007c2c6750a920b476976968f204e8

|

Exe倒序

Uroyyy_Uvxiesxn.bmp

|

751,616

|

13107b7cd07c910910f7b3ba3c254b2f

|

Exe倒序

Bank of China_Payment_Copy_Xerox Scan_Pdf.exe

|

76,288

|

9d24698102c0f74f296f69776f3b8616

|

伪装成PDF的钓鱼EXE

Mnyxtqwntaqzvqbubhuconfast1.exe

|

213,504

|

40c281ed76a0bfe96418fb5dc0e19f15

|

木马程序

2、URL

最终信息汇聚的邮箱（攻击者拥有）：

受害主机信息发送邮箱： ：mail.pharmadent.com.uy

下载URL：http:// soprocerto.pt /new/Vyckdayq_Ardozkwt.bmp

iltrosdys.com](mailto:contacto@filtrosdys.com)

受害主机信息发送邮箱： ：mail.pharmadent.com.uy

下载URL：http:// soprocerto.pt /new/Vyckdayq_Ardozkwt.bmp

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里 👉

第三种就是去找培训。

https://i-blog.csdnimg.cn/blog_migrate/06cea7634bfa64bfaa2b94427dd41e1f.png

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

https://i-blog.csdnimg.cn/blog_migrate/78bd273d08da4e5ca5a3d0b68c6b16ce.png

第二阶段：web渗透

学习基础 时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。

② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。

③ 学会提问的艺术，如果遇到不懂得要善于提问。

https://i-blog.csdnimg.cn/blog_migrate/1c71c12f7cfe0375bc22de5040851faa.png

配置渗透环境 时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。

② 下载这些工具无后门版本并且安装到计算机上。

③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作 时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。

② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。

③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。

④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。

⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。

⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。

⑦ 了解一句话木马，并尝试编写过狗一句话。

⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

https://i-blog.csdnimg.cn/blog_migrate/6bf8257490036dc5c0fef660814f837e.png

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

https://i-blog.csdnimg.cn/blog_migrate/7217c4638095571547b5ad2edb2a8152.png

给新手小白的入门建议：

新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里 👉

https://i-blog.csdnimg.cn/blog_migrate/afe6ddaa9e0a07b10fdb1403434a02a6.jpeg

https://i-blog.csdnimg.cn/blog_migrate/335288b39c16ed03ca42b51869ab97f8.png

更新于 2023-09-10
 网络, 安全, Web
返回 | 主页