假采购订单邮件用于恶意软件网络钓鱼攻击

摘要

威胁行为者正在分发带有恶意DOCX附件的网络钓鱼电子邮件，这些附件伪装成采购订单。文档利用altChunk元素加载恶意RTF文件，该文件利用方程式编辑器漏洞执行VBScript。最终的有效载荷是SnakeKeylogger信息窃取程序，旨在窃取凭据、记录击键并收集其他敏感信息。

调查

AhnLab安全情报中心（ASEC）分析了从恶意DOCX附件开始的感染链。研究人员识别出涉及RTF文件、VBScript、PowerShell和Python加载器的多级执行序列。该链最终部署了SnakeKeylogger，它依赖特定的解密技术来执行其嵌入的shellcode。

缓解措施

用户应验证发件人的电子邮件域，并在接收意外附件或链接时保持警惕。组织应配置电子邮件过滤器以检测包含altChunk元素的可疑.docx文件，并监控未经授权的pythonw.exe或cscript.exe执行。Microsoft Office及其他软件也应保持针对已知漏洞的补丁。

响应

当检测到恶意活动时，隔离受影响的系统以阻止进一步的数据泄露。进行法证分析以确定妥协的范围，并通过注册表Run键识别持久性。重置从受感染主机访问的账户的凭据，特别是浏览器、电子邮件和金融服务的凭据。

模拟执行

• 攻击叙述与命令： 对手发送一封包含伪造“采购订单”的DOCX格式鱼叉式钓鱼电子邮件。当受害者打开文档时，宏或漏洞触发名为 832734.Vbs 的恶意有效载荷提取至临时目录。攻击者然后通过 wscript.exe执行该脚本。此操作旨在建立初始立足点，并开始使用SnakeKeylogger信息窃取程序进行凭据收集。检测规则预计会捕获此执行，因为文件名 832734.Vbs 出现在进程创建命令行中。

• 回归测试脚本：

  # 模拟脚本以复制基于SnakeKeylogger文件名的执行
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # 创建一个虚拟VBS文件来模拟有效载荷
  "WScript.Echo 'Simulating SnakeKeylogger Payload'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # 通过wscript.exe执行文件以触发检测规则
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "模拟完成。检查安全日志以获取涉及832734.Vbs的进程创建"

• 清理命令：

  # 清理：移除模拟的恶意文件
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "清理成功：$maliciousFile 已移除。"
  }