疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击

栏目: 编程工具 · 发布时间: 5年前

内容简介:本次疑似海莲花组织发送邮箱为minhduc90.ng@gmail.com邮件内容:

本次疑似海莲花组织 投放的邮件 标题名为“Apply CV at … — Nguyen Minh Duc”(申请简历...... - Nguyen Minh Duc )

发送邮箱为minhduc90.ng@gmail.com

邮件内容:

大致为: 在读了你发表在facebook的机器学习文章后,他表示很感兴趣,所以附上简历,想加入你团队。

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击 文件中含有一个URL

https://mycv.vip/downloads/cv-ducnguyenminh.doc

其会去下载一个名为CV-ducnguyenminh.doc的文件(MD5:CB39E2138AF92C32E53C97C0AA590D48)

doc文件以MIME DOC格式下载,其包含一个ActiveMime(editdata.mso,在MIME DOC文件中用Base64编码)

将editdata.mso段转储出来并使用Base64对其进行解码以获得ActiveMime对象。

对于ActiveMime,其仅在偏移量0x32中使用zlib压缩数据

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击

解压代码

运行上面的小 python 代码以获取包含内部宏的OleObject文件。

Macro负责解码Base64以将WinwordUpdates.exe和wwlib.dll文件转储到Appdata文件夹并创建taskjob以执行WinwordUpdates.exe文件:

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击

要转储02文件,有两种方法:

  • 方法1:

在doc文件中打开doc文件并运行宏代码,然后转到Appdata文件夹获取文件 - >手动运行

  • 方法2:

在MIME DOC文件中搜索字符串“ TVqQAAMAAAAEAAAA ”(将找到这两个文件的两个主要编码的base64编码段),然后复制Base64段进行解码

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击

结果

分析2个转储文件:

WinwordUpdates.exe

CEAA5817A65E914AA178B28F12359A46:Microsoft签名文件

wwlib.dll

8CCFD46A24D3BCBEE934AF91DDA8483D:恶意文件,与WinwordUpdates.exe执行时默认加载的标准文件名相同。

恶意wwlib.dll文件由WinwordUpdates.exe文件使用LoadLibraryW函数加载,然后调用导出FMain函数:

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击 WinwordUpdates.exe中的LoadLibraryW - >调用FMain函数

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击 加载wwlib.dll后将调用FMain导出函数

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击 Url: https://outlook[.]updateoffices[.]net/vean32[.]png

疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击

C2解析IP

88 .150 .138.114

声明:本文来自黑鸟,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如需转载,请联系原作者获取授权。


以上所述就是小编给大家介绍的《疑似海莲花组织新动向:伪装成应聘者进行鱼叉邮件攻击》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

商战

商战

杰克•特劳特、阿尔•里斯 / 李正栓、李腾 / 机械工业出版社 / 2011-3 / 42.00元

本书重点阐述了商战中的四种常用战略形式,如防御战、进攻战、侧翼战和游击战,针对每一种形式又提出了三条应遵循的原则,以及如何在具体的商战中应用这些原则。本书分析了商战中的实际案例:可口可乐与百事可乐的战役,汉堡王与温迪斯对麦当劳的挑战以及DEC对阵IBM等。这些人们熟知品牌的案例在作者精心的组织下,使读者不仅加深了对本书中心思想的理解,而且学习了如何在实战中具体应用各种营销战略和策略的技巧。 ......一起来看看 《商战》 这本书的介绍吧!

JSON 在线解析
JSON 在线解析

在线 JSON 格式化工具

Markdown 在线编辑器
Markdown 在线编辑器

Markdown 在线编辑器

HEX CMYK 转换工具
HEX CMYK 转换工具

HEX CMYK 互转工具