阿碼外傳-阿碼科技非官方中文 Blog: 2008/7/18

2008年7月18日

一封詐騙的電子郵件

今天一早收到一封郵件:

看起來平淡無奇,檢查超連結也沒有異常,不過就是一封垃圾郵件吧!!

開啟連結畫面(危險動作:點選郵件連結及開啟郵件附件都是危險動作):


懂些電腦的,應該可以看出異常處,但一般人呢??

不攻擊漏洞,純粹用點混淆、欺瞞手法才是攻擊最高招~~
就像魔術一樣,不懂魔術手法的人,只能看好戲~~XD

我當然不能這樣就放過它,要給它剖析一下...
先看一下郵件標題(Header):
Microsoft Mail Internet Headers Version 2.0
Received: from 200.net88.skekraft.net ([213.199.88.200]) by mailserver.co.cn with Microsoft SMTPSVC(x.x.xx.xx);
Fri, 18 Jul 2008 10:26:23 +0800
MIME-version: 1.0
Content-type: multipart/alternative;
boundary="Boundary_(ID_xslUrQTXLNHhh8epXfAVQH)"
Message-id: <1F012145-4DF2-0768-4915-28014035C24A@tweet-garot.com>
From: Halchakar
To: support@mailserver.co.cn
Subject: Alligator attack savages 3 students on school trip
Date: Fri, 18 Jul 2008 04:26:25 +0200
X-Mailer: Apple Mail (2.924)
Return-Path: tmmatsre@tweet-garot.com
X-OriginalArrivalTime: 18 Jul 2008 02:26:24.0077 (UTC) FILETIME=[AC62C7D0:01C8E87D]

--Boundary_(ID_xslUrQTXLNHhh8epXfAVQH)
Content-type: text/plain; charset=UTF-8; format=flowed
Content-transfer-encoding: 7BIT

--Boundary_(ID_xslUrQTXLNHhh8epXfAVQH)
Content-type: text/html; charset=UTF-8
Content-transfer-encoding: 7BIT

--Boundary_(ID_xslUrQTXLNHhh8epXfAVQH)--

寄件信箱-tmmatsre@tweet-garot.com,信箱網域確實存在但沒該帳號信箱,通常寄件者幾乎都是假的。
Hostname mail.tweet-garot.com
MX Priority 10
Results 220 barracuda.tweet-garot.com ESMTP d5a48418eea1c05ff8ac9d4ec4eca22e
Hostname backup-mx.choiceone.net
MX Priority 20
Results 220 bmx002.onecommunications.net ESMTP
寄件IP-213.199.88.200,在瑞典。
City Skellefteå
State/Region 23
Zipcode
Area Code 0
Country SE
Latitude 64.7667
Longitude 20.95

再來看看連結的網站:
schnittstellentechnik.de--解析IP->62.67.235.170
Domain: schnittstellentechnik.de
Nserver: ns1.evanzo.com
Nserver: ns2.evanzo.com
Changed: 2006-12-20T23:34:05+01:00

IP定址:
62.67.235.170@Germany
應該是Web Hosting上面的一個網站

惡意程式:
hxxp://schnittstellentechnik.de/watch.exe

VirusTotal:檢測結果
Result: 13/33 (39.4%)

該網站還夾帶一個攻擊碼,會攻擊IE瀏覽器漏洞,且攻擊碼有經過編碼的:
hxxp://schnittstellentechnik.de/00.html

#社交工程手法絕對是資安管理上的最大風險及弱點。
#Domains及Web Hosting已經被濫用了,這兩個管道能被杜絕,網路威脅將會大減。

作者 Crane 為阿碼科技 資安顧問

繼續閱讀全文...