钓鱼URL及其规避策略(防范网络钓鱼最有效的防范手段)

近年来,URL嵌入在网络钓鱼邮件中作为吸引目标受害者的初始手段,其到达目标受害者的速度远高于同样目的的附件。

几十年来,传统钓鱼邮件的头几步一直没有发生变化:邮件含有恶意URL或附件。然而近年来,URL嵌入在网络钓鱼邮件中作为吸引目标受害者的初始手段,其到达目标受害者的速度远高于同样目的的附件。我们去年的数据显示,URL在2022年相比附件继续占主导地位,这有几个原因:可滥用的可信域名、互联网上提供网络钓鱼基础设施的免费服务以及重定向的规避效果。

与CredPhish相关的基于URL的网络钓鱼占有很高的比例

URL继续占主导地位的这种趋势出现在到达企业组织的钓鱼邮件中,许多企业组织都受到知名的安全电子邮件**(SEG)的保护。

钓鱼URL及其规避策略(防范网络钓鱼最有效的防范手段)

图2. 比较2022年用于凭据网络钓鱼和恶意软件投递的恶意链接和恶意附件。

一般来说,我们预计会看到更高比例的URL出现在凭据网络钓鱼中。这主要是由于大多数凭据网络钓鱼的变体已经要求使用URL。网络钓鱼即服务及其他预构建的网络钓鱼工具常常倾向于使用URL。然而使用附件仍然很常见,HTML和PDF等文件类型是凭据网络钓鱼邮件附件中最常见的类型。

如前所述,使用附件投递恶意软件比我们在凭据网络钓鱼活动中看到的更突出。这可能是由于大多数恶意软件投递已经要求使用文件作为最终载荷,这意味着威胁分子已经有点熟悉文件的使用。下面这种情况也很常见:威胁分子企图投递恶意软件,将恶意文件包含在受密码保护的ZIP压缩包中,以阻挠SEG分析。这增加了我们看到到达最终用户的钓鱼邮件的数量。此外,QakBot和Emotet等一些更高级的大肆传播的恶意软件家族已知在邮件中使用附件,但它们也的确使用嵌入式URL。

钓鱼URL及其规避策略

钓鱼URL是目前最流行的吸引受害者的方法,用在到达收件箱的钓鱼邮件中。威胁分子采用的钓鱼策略以绕过电子邮件安全基础设施而出名,助长了这种情形。到达最终用户的钓鱼URL常常在嵌入式URL中使用以下策略之一(不过也存在其他策略):

? 可信域名——云服务等可信服务常常被威胁分子滥用以托管恶意内容。这意味着他们的钓鱼网站将托管在被最终用户和SEG等安全基础设施视为可信的域名上。滥用这些服务的钓鱼邮件常常能成功地到达预定目标,因为这些域名无法被完全屏蔽。

? 公开可用的服务——威胁分子经常寻求免费或廉价的服务,以便在网络钓鱼活动中滥用这些服务。这常常甚至会导致他们的URL也有可信域名。任何免费或廉价的托管平台都面临被威胁分子滥用的风险。

? 多次重定向——这是一种常见的策略,嵌入在钓鱼邮件中的URL不是钓鱼攻击的第一阶段。通过使用多次重定向并创建有待分析的恶意URL链,威胁分子常常可以从初始URL重定向到最终页面,最终页面被直接用于下载恶意软件或窃取凭据,而SEG来不及分析。

钓鱼URL及其规避策略(防范网络钓鱼最有效的防范手段)

图3. 使用恶意链接的钓鱼邮件示例。

恶意附件经配置后以到达收件箱

为了有效地利用网络钓鱼邮件中的恶意附件,可以采用许多潜在的策略。恶意附件有各种用途,包括直接获取凭据、加入已压缩的其他恶意文件、重定向到钓鱼URL、充当恶意软件的第一阶段下载器,以及其他许多用途。此外,所使用的附件类型通常取决于所投递的威胁。我们在含有恶意附件的网络钓鱼邮件中看到的一些最常见的策略如下:

? 受密码保护的文件——威胁分子通常使用受密码保护的文件(比如ZIP压缩包)来绕过安全机制,到达预定目标。Emotet因使用这种策略而臭名昭著,经常传播大量带有恶意Office文件的邮件,这些文件被压缩到受密码保护的ZIP压缩包中。密码常常放在预定目标容易找到的地方,比如邮件正文。

? 不熟悉的附件——威胁分子经常寻找安全研究人员可能不知道、有机会绕过SEG的的新型附件。由于这种威胁简单、明显,大多数SEG会轻松捕获和阻止直接附加的恶意可执行文件。然而威胁分子已意识到了这一点,最近我们看到QakBot威胁团伙发送直接附加的.ONE文件,这似乎有效地逃避了SEG的检查。

? 编码过的文件——文件编码是一种使恶意附件难以分析的常见方法。HTML文件是威胁分子进行编码的一种非常流行的文件类型,但编码是众多文件类型中很常见的一种策略。

钓鱼URL及其规避策略(防范网络钓鱼最有效的防范手段)

图4. 使用恶意附件的钓鱼邮件示例。

翻译自:https://cofense.com/blog/urls-4x-more-likely-than-phishing-attachments-to-reach-users/

from

相关推荐

  • 大成2020净值速查网(大成基金2020最新净值)

    404 Not Foundnginx/1.22.0 金融界基金08月16日讯 大成深证成长40ETF基金08月15日上涨1.13%,现价1.243元,成交416.64万元。当前本基金场外净值为1.2570元,环比上个交易日上涨1.21%,场内价格溢价率为0.00%。 本基金跟踪指数为深证成长40指数,最新报告期内,本基金收益率为30.00%,业绩比较基准为深…

    2023-08-04
  • 什么卡用抖音免流量(流量抖音包怎么用)

    要说现在最火的App应用,抖音肯定属于其中之一,它是现下最火爆的短视频平台。据称,现在抖音的月活跃用户超过了5亿,也就是说,1/3的中国人都在使用抖音,而在年轻人中的占比更高。但抖音也是消耗手机流量的“大户”,如果经常刷抖音,十几个G、甚至几十个G的流量都挡不住。网友们对抖音真是“爱恨交织”,抖音挺吸引人,但也很费流量。听听抖友们是咋说的:“几天时间就把一个…

    2023-06-13
  • 86516,改善86516家庭投资的方法

    重庆市41个区县、178个单位部门、315637参与人次,满分学霸突破一千,逆袭黑马接二连三……经过激烈角逐,“民法典与你同行”网络知识竞赛最新排名出炉! 8月31日,由重庆市委政法委、市人大常委会办公厅、市司法局、市普法办、市法学会、西南政法大学、当代D员杂志社联合主办,重庆市委D建门户“七一客户端”承办的民法典知识竞赛正式拉开帷幕。 竞赛开展以来,得到了…

    2023-05-10
  • 怎样解除华为账号绑定的手机?华为手机的智慧生活

    华为手机的智慧生活估计大家都不陌生,那它到底有什么智慧功能呢?其实华为手机智慧生活可以通过简单的设置,就能控制你家里的电器,非常方便。华为手机通过绑定三方平台账号建立连接,将我们在三方平台的设备同步到智慧生活进行控制。目前华为已经跟几十个家电品牌合作,所以说学会了使用华为手机智慧生活,基本可以控制你家里的所有家电了,又是一期干货满满的文章,建议大家先点赞后收…

    2023-02-14 知识百科
  • 塞纳里奥作战角鹰兽(魔兽世界燃烧的远征更新)

    《魔兽世界:燃烧的远征》,是暴雪在2007年1月16日的夜晚于欧洲、**、加拿大发行,而中国于2007年9月6日发行,成为最后一个上线的地区。 整个版本也走过了魔兽资料片持续时间最长—整整3年(仅限于国服,国外服务器在击杀巫妖王的时候,国服玩家还在往马桶里塞基尔加丹) 正题: 小编认为:外域·燃烧的远征是暴雪最良心的版本了,对于坐骑控来说,只要简单刷刷声望就…

    2023-07-28 知识百科
  • 儿童机票规定,儿童机票购买需知要求

    什么是儿童机票?小孩可以单独乘机吗? 儿童票指的是2周岁至未满12周岁的小孩,与婴儿机票不同,儿童票有提供座位,儿童票的票价是航班全价50%、燃油附加费也是50%,免收机场建设费。 儿童可以单独乘机,需要办理无成人陪伴儿童机票,年龄满5周岁未满12周岁小孩,订票需要提供乘机人,送机人,接机人姓名证件号,手机号等,具体操作流程微信搜索公众号【长成航空】并关注,…

    2023-04-23
本站部分内容由互联网用户自发贡献,该文观点仅代表作者本人,本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。

如发现本站有涉嫌抄袭侵权/违法违规等内容,请联系我们举报!一经查实,本站将立刻删除。