我們會經(jīng)常收到惡意文檔或PDF，許多不法分子往往利用這類文件發(fā)動網(wǎng)絡(luò)釣魚攻擊。為了讓更多人了解這種攻擊方式，并加以防范，網(wǎng)絡(luò)安全研究人員Zoziel Pinto Freire剖析了利用PDF發(fā)動網(wǎng)絡(luò)釣魚攻擊的活動。

圖1

圖1是Zoziel Pinto Freire收到的來自Caixa Economica Federal銀行的電子郵件，可以看到發(fā)件人使用Gmail服務(wù)和一個奇怪的名稱。

圖2

使用MXtoolbox驗(yàn)證該電子郵件的標(biāo)頭，可以看到發(fā)件人(即攻擊者)使用的IP。

圖3

圖3是攻擊者使用的IP信譽(yù)。

圖4

通過圖4，我們可以看到這個IP經(jīng)常被提及從事惡意活動。

圖5

在VPS(Kali Linux)中下載這個文件后，使用peepdf對文件結(jié)構(gòu)進(jìn)行分析，在對象3和對象5中找到了2個URI，見圖5。

圖6

使用pdf-parser檢查了對象3和對象5后，在對象3中發(fā)現(xiàn)了一個惡意的URL，見圖6。

圖7

在VirusTotal中檢查這個URL，發(fā)現(xiàn)其信譽(yù)仍然很差，見圖7。

圖8

在Kali中打開文件后，可以看到它有那家銀行的獨(dú)特徽標(biāo)和點(diǎn)擊按鈕，點(diǎn)擊該按鈕后被定向到一個URL，見圖8。

圖9

點(diǎn)擊該按鈕后，URL：hxxp://cefonlineencaminha[.]z13[.[]web[.]core[.]windows[.]net重定向到另一個URL：ms[.]meuappavisos[.]com，見圖9。

圖10

在檢查了URL信譽(yù)之后，發(fā)現(xiàn)它經(jīng)常被提及從事惡意活動，見圖10。

總之，打開這類電子郵件時，務(wù)必要注意每個細(xì)節(jié)，因?yàn)椴贿@樣的話可能會將自己的系統(tǒng)置于險境，導(dǎo)致數(shù)據(jù)被泄露和遭到黑客入侵等。

Zoziel Pinto Freire在分析過程中使用的工具如下：

?Kali Linux——https://www.kali.org/get-kali/

?MX ToolBox—— https://mxtoolbox.com

?pdf-parser—— https://blog.didierstevens.com/programs/pdf-tools/

?peepdf——https://github.com/jesparza/peepdf

?Aubse IPd—— https://www.abuseipdb.com

?Virus Total——https://www.virustotal.com/

參考鏈接：

https://securityaffairs.co/wordpress/127946/hacking/analyzing-phishing-attacks-pdfs.html