疫情相关钓鱼邮件增长近6倍

近几个月以来，随着新型冠状病毒肺炎“COVID-19”在全球范围内快速蔓延，许多国家和地区的卫生系统不堪重负。与此同时，攻击者却趁火打劫，利用钓鱼邮件对政府、医疗等重要部门进行攻击。

通过近期监测的数据，睿眼·邮件发现使用疫情作为钓鱼邮件内容的邮件大幅增长，其中“冒充WHO组织”、“诈骗捐款”、“疫情物资欺骗”、“疫情进度(信息)欺骗”等最为常见。随机截取多个睿眼·邮件的部分流量数据进行分析，发现疫情相关钓鱼邮件占总钓鱼邮件的比例为1月0%、2月0.0634%、3月0.4013%。相比二月，三月份疫情相关钓鱼邮件增长近6倍。同时，攻击者也爱追“热点”，针对疫情的最新动向不断更新钓鱼话术，利用受害者恐惧、好奇等心理，增加钓鱼攻击的成功几率。

在2月初国内疫情较为严重的阶段，攻击者使用“中国冠状病毒病例：查明您所在地区有多少”等中国疫情相关主题及内容进行邮件钓鱼投放木马。而到3月中旬意大利疫情迅速恶化阶段，攻击者转为使用“COVID-19批准的针对中国、意大利的补救措施”等国际热点内容进行邮件钓鱼投放木马。

2月：利用中国疫情相关内容发起攻击

3月：利用国际热点内容发起攻击

在进行抽样分析的过程中，中睿天下安全专家团队发现多起“SWEED”黑客组织发起的疫情相关钓鱼邮件，恶意附件类型多种多样，大多旨在分发Agent Tesla(一种信息窃取工具，出现于2014年甚至更早)，利用CVE-2017-11882漏洞发起攻击，并通过smtp协议回传数据到mailhostbox下注册的邮箱。种种迹象与“SWEED”黑客组织的相关情报完全吻合。

SWEED至少在2017年就已经开始运作，主要使用信息窃取工具和远程访问木马(RAT)来攻击目标。

钓鱼邮件溯源分析：

我们以其中抽取的两封“SWEED”黑客组织发起的钓鱼邮件为例，来进行详细的溯源分析。

邮件1：中国冠状病毒病例：查明您所在地区有多少

钓鱼邮件正文

钓鱼邮件附件

包含附件：list.xlsx

附件MD5：5fc077636a950cd5f89468e854c0e714

对附件进行联动分析，发现其在多个威胁情报中爆出使用CVE-2017-11882漏洞攻击，在2020-03-14 16:33:30首次攻击被睿眼监测的服务器。

联动分析

附件样本分析：

样本list.xlsx(MD5：5FC077636A950CD5F89468E854C0E714)利用CVE-2017-11882公式编辑器漏洞，从http://216.170.123.111/file.exe下载文件到%AppData%/Roaming/vbc.exe执行。

下载木马程序

vbc.exe内存加载一段ShellCode执行。

加载一段ShellCode执行

ShellCode中使用ZwSetInformationThread 函数修改_Ethread结构中的HideFromDebuggers进行反调试，之后动态获取一些进程注入使用的API地址。

使用ZwSetInformationThread进行反调试

动态获取进程注入使用的API地址

之后创建RegAsm.exe进程，将本段ShellCode注入新创建的RegAsm.exe进程。

创建RegAsm.exe进程并注入ShellCode

修改线程Context后恢复执行。

修改线程Context

ShellCode注入RegAsm.exe进程后从http://216.170.123.111/nass.exe下载“nass.exe”，其功能与vbc.exe相同。

下载“nass.exe”

再次从http://216.170.123.111/MR_encrypted_D34A1CF.bin下载一个加密的文件。

下载“MR_encrypted_D34A1CF.bin”

解密之后加载执行。

加载执行MR_encrypted_D34A1CF.bin

解密后的EXE为C#编写经过混淆的Agenttesla木马，会收集计算机名、用户名、系统版本以及内存大小等信息，主要为窃取浏览器访问记录及保存的帐号和密码，同时还具有监控键盘按键和剪切板的功能，支持屏幕截图。

收集用户名、计算机名

收集系统版本和内存大小

窃取浏览器访问记录及保存的帐号、密码

监控键盘按键、剪切板，并支持屏幕截图等

收集的信息支持HTTP、FTP以及SMTP三种方式回传。本样本配置通过SMTP回传。

配置通过SMTP回传

恶意程序中存储的登录方式经过解密可获取攻击者使用的邮箱账号密码。

(责任编辑：安博涛)