研究人员近日发现了一个利用二维码针对中国用户进行钓鱼，攻击者旨在窃取受害者的凭据。

钓鱼邮件相当简单，带有一个 Word 附件。

【电子邮件】

钓鱼邮件假冒财务部门的名义，发布提醒用户申请劳动补贴的通知。邮件的主题名为关于2022年个人劳动补贴申领通知，正文中也要求用户点击附件查看具体信息。

打开附件可以在文档中看到一些文本描述与二维码：

【文档内容】

大多数移动设备上都能够识别二维码，各种软件都可以处理：

【带有国徽图标的二维码】

【带有微信图标的二维码】

Word 文件中的二维码会引导用户访问攻击者部署的钓鱼网站。

钓鱼网站仿冒钉钉（企业通信平台），窃取相关凭据。由于钉钉在中国的流行程度，其凭据价值相当大。

【钓鱼网站】

用户被引导看到一个弹出消息框，提醒其钉钉账户存在违规行为，如果 24 小时内不验证就会自动冻结。用户点击确认后，就会请用户输入凭据进行验证。

【输入凭据】

凭据是攻击者入侵的直接方式，为攻击者提供了宝贵的资源。攻击者会尽最大可能确保骗局逼真，提供足够有说服力或者引诱力的诱饵来使受害者放松警惕。

IOC：

939656a000b7ca2f54bc42d635537261ce5194e2041f1c3ac37e3c72f8ec5333
f941b76a33b5a1d425569a0ed689023597fd7fc3acb301ec11a37feb71dcb597
ac5f4ba15e883813b3018614887b8f65b2f90d252ab7cdffe6f05f8482e1672a
hXXp://w.mryrej.cn
hXXps://l99etsen5677cryptorgacme.h7g33.cn
hXXp://www.sgiabuq189qhijl.cn

参考来源：

https://www.fortinet.com/blog/threat-research/qr-code-phishing-attempts-to-steal-credentials-from-chinese-language-users