1.背景
最近一段时间，腾讯安全科恩实验室（以下简称“腾讯科恩”）对"银狐"钓鱼团伙保持着紧密的跟踪和分析。近日，腾讯科恩新发现了利用 "核酸检测退费" 和 "发票信息" 作为主题的钓鱼样本有增多的趋势。这两种类型的样本分别通过聊天软件和邮件进行传播。以"电子发票下载"为标题的钓鱼邮件正文包含"查看发票"等关键词，以实现诱导接受者点击钓鱼木马链接。同时，腾讯科恩发现，在恶意代码执行过程中，会通过使用大量字符拼接数据的方式对抗杀软静态特征检测。基于最新线索，腾讯科恩对相关样本进行了简要分析如下，文后会提供一些相关IOC，以供政企用户进行回扫和检测，避免受到相关威胁的影响。
2.钓鱼文件
md5 | 钓鱼文件名(含解压文件) | 发现攻击时间 |
9158492df75d0446dc05114efbeac1a6 | 抽查程序k.exe | 2024/5/20 22:34 |
58805d04d1e6bc7055bdeff2c6ff28b7 | 2024年缴纳社保调整如下.zip | 2024/5/20 22:37 |
0e5bee2fdee04b4eddb50056cec0c9f9 | 登录操作查询系统.exe | 2024/5/21 12:56 |
7d72adb41674d089cd42d42c9c3dd516 | 登录操作查询系统.exe | 2024/5/21 14:27 |
ff245fcf89c97e0ef4bad14c22b1a6e6 | 4月份公司违章违规处罚名单.rar | 2024/5/21 15:12 |
f81573e824278d6ed1f84906f8c13d37 | 4月份公司违章违规处罚名单.rar | 2024/5/21 15:16 |
7715cc70384f8cc4cce08eae3d6dd1a4 | 水 务 抽 查.rar | 2024/5/21 16:07 |
db05b0e1b723055a96c1fc04ef8f1b88 | 2024***局关于企业和个人所得税政策N.exe | 2024/5/21 18:40 |
630d3e486bf119b72ae845f9697b7828 | 2024年缴纳社保调整如下.rar | 2024/5/21 19:37 |
bdbff0f6d79f3f3d4ccb9ced5f64da06 | 5月份公司违 规处 罚名 单.rar | 2024/5/22 13:46 |
09a7b98e932af91dd3ed5cb6bc69ba7b | 2024年每个地区医院通知退核酸捡测费用流程.rar | 2024/5/22 13:48 |
84d9270e3368d84a3df1a15795cc2207 | 企 业 抽 查 对 象.rar | 2024/5/22 14:01 |
3b063753c0710cf7713d15e810533eaa | ToL终端 - 副本.exe | 2024/5/22 17:12 |
f927240653bacd66f89bc7e843466037 | ToL终端.exe | 2024/5/22 17:16 |
c2bb71628c847a8652bc8ed99ef52f3e | 票292583150065管理m.exe | 2024/5/23 0:54 |
01b7c35a2ae0596d3e00df4a6692d497 | 2024年缴纳社保调整如下.zip | 2024/5/23 10:28 |
67f2b08bc8f46b316a9ddf2d580abfb3 | 2024税务稽查违规涉税企业名单（电脑版）.zip | 2024/5/23 10:42 |
635f06c287153ef89c8ba7bbe9a159a5 | 2024年度税务稽查企业名单公示.zip | 2024/5/23 12:46 |
a56829022d2f241bac63fd41b81cc215 | 医院通知退核酸检测费用《电脑版》.zip | 2024/5/23 13:06 |
3.技术分析
样本中嵌入了大量字符：
相关IOC
| 9158492df75d0446dc05114efbeac1a6 |
| 58805d04d1e6bc7055bdeff2c6ff28b7 |
| 0e5bee2fdee04b4eddb50056cec0c9f9 |
| 7d72adb41674d089cd42d42c9c3dd516 |
| ff245fcf89c97e0ef4bad14c22b1a6e6 |
| f81573e824278d6ed1f84906f8c13d37 |
| 7715cc70384f8cc4cce08eae3d6dd1a4 |
| db05b0e1b723055a96c1fc04ef8f1b88 |
| 630d3e486bf119b72ae845f9697b7828 |
| bdbff0f6d79f3f3d4ccb9ced5f64da06 |
| 09a7b98e932af91dd3ed5cb6bc69ba7b |
| 84d9270e3368d84a3df1a15795cc2207 |
| 3b063753c0710cf7713d15e810533eaa |
| F927240653BACD66F89BC7E843466037 |
| c2bb71628c847a8652bc8ed99ef52f3e |
| 01b7c35a2ae0596d3e00df4a6692d497 |
| 67f2b08bc8f46b316a9ddf2d580abfb3 |
| 635f06c287153ef89c8ba7bbe9a159a5 |
| a56829022d2f241bac63fd41b81cc215 |
| https[:]//wwwhjhjjsjgj15-1326536099.cos.ap-guangzhou.myqcloud[.]com/GHJGJ150/setupPDF3.exe |
| https[:]//iciigkudpg-1323099064.cos.ap-beijing.myqcloud[.]com/u9jIP5TGA9U6S.html |
| https[:]//kmfisqbrdi-1323099064.cos.ap-beijing.myqcloud[.]com/cNm03.html |
| https[:]//canxnquxul-1323099064.cos.ap-beijing.myqcloud[.]com/dan.htm |
| http[:]xingpai.weilay.com[.]cn/llq.rar |
| http[:]//xingpai.weilay.com[.]cn/trx37.zip |
| entirehub[.]xyz/update/2.png |
| greenka[.]homes/update/2.png |
| studenthome[.]top/head/2.png |
| hellohouse[.]life/update/2.png |
| www.dgsksc[.]com/head/2.png |
| xingpai.weilay.com[.]cn |
| entirehub[.]xyz |
| greenka[.]homes |
| studenthome[.]top |
| hellohouse[.]life |
| www.dgsksc[.]com |
| 143.92.42[.]212 |
产品体验
如有侵权请联系:admin#unsafe.sh