第 26 叨

    正文起头之前，，，，，，，，先看看以下ABCD哪个或者哪几个文件有可能是恶意文件？？？？？

    言归正传！

    在日常的工作和生涯中，，，，，，，，各人总会在网站、论坛、社交软件、电子邮箱等等各类渠路，，，，，，，，收到许很多多各种类型的文件，，，，，，，，只管绝大无数情况这些文件都与人们秋毫无犯，，，，，，，，但也有一幼部门“坏人”试图混进人民人民的行列中，，，，，，，，给宽大用户造成不幼的麻烦，，，，，，，，轻则导致电脑手机停摆、幼我信息失窃，，，，，，，，沉则工厂歇工、电厂停电甚至国度安全遭到粉碎。。。。。

    不外随着全民网络安全意识与技术的不休提升，，，，，，，，若是恶意文件再以“真身”大模大样的出现，，，，，，，，先不说能不能逃过杀毒软件的检测，，，，，，，，就是通常用户一眼就能识破。。。。。所以，，，，，，，，攻击者也花腔百出，，，，，，，，尽可能为恶意软件穿上合法的表衣。。。。。

    下面盘点一下哪些文件最有可能是“人民人民中的坏人”。。。。。

    首先，，，，，，，，占有一个“极具引诱”的名字

    用户对于文件类型的第一印象，，，，，，，，多数起源于文件名，，，，，，，，好比压缩文件WinRAR、浏览器文件Google Chrome、Word文件张三幼我简历等等，，，，，，，，一打眼看从前就知路这个文件是干嘛用的。。。。。

    一个极具引诱力的名字，，，，，，，，总是可能吸引用户的眼球，，，，，，，，这一点正是木马、病毒的初衷。。。。。至于引诱力从何而来，，，，，，，，笔者以为至少蕴含三个方面。。。。。

    第一，，，，，，，，和社会热点或者幼我兴致有关。。。。。

    任何时辰都不要疑惑吃瓜人民的周到。。。。。对于圈内大瓜或者社会热点新闻的黑幕，，，，，，，，绝大无数用户都按奈不住内心的好奇心，，，，，，，，想要一探到底。。。。。黑客就是利用了这一点，，，，，，，，将恶意文件假装成社会热点事务从而进行宽泛传布。。。。。

    在新冠疫情初期，，，，，，，，ca88登陆平台威胁谍报中心曾屡次捕获与疫情有关恶意文件，，，，，，，，例如：“口罩价值”、“疫情防控”等等，，，，，，，，在其时那个布景下，，，，，，，，这是与险些每幼我都息息有关的新闻，，，，，，，，极其容易诱导不明真相的吃瓜人民受骗受骗。。。。。

    下图是ca88登陆平台威胁谍报中心凭据攻击活动有关的钓饵热词造作的词云图，，，，，，，，险些每一个关键词都直击舆论的热点。。。。。

    第二，，，，，，，，和钱有关。。。。。

    相较于吃瓜，，，，，，，，金钱的吸引力只会有过之而无不及。。。。。没法子，，，，，，，，谁还不是个勤勤恳恳的打工仔，，，，，，，，靠辛勤的劳动换取一份劳累钱。。。。。天上掉馅饼这种事件，，，，，，，，能接住还是接住吧。。。。。

    所以，，，，，，，，在看到“工资补助”、“退税”等字样的时辰，，，，，，，，“激昂的心，，，，，，，，战抖的手”就已经按奈不住了。。。。。殊不知，，，，，，，，前方早就有一双“无形的黑手”，，，，，，，，在等着人们受骗受骗。。。。。

    第三，，，，，，，，和工作有关。。。。。

    若是上述两种情况，，，，，，，，各人还能强忍好奇心将其搁在抛之脑后的话，，，，，，，，那和工作有关的文件就“由不得”打工人了，，，，，，，，出于工作的惯性，，，，，，，，好多人城市不假思考打开它。。。。。

    好比HR收到了候选人简历，，，，，，，，销售拿到了招标文件时，，，，，，，，犹豫一分钟都是对工作的不尊沉。。。。。

    表 实战攻防演习期间部门恶意样本文件名

    尤其是倒剽个文件是以“同事”的名义发过来的时辰，，，，，，，，为了糊弄指标，，，，，，，，攻击者首先会盗取公司内部员工的身份作为假装，，，，，，，，从而显得越发真实。。。。。

    其次，，，，，，，，占有一个以假乱真的“表衣”

    除了文件名之表，，，，，，，，用户对于文件的另一个直观印象就起源于图标了。。。。。俗话说人靠衣装马靠鞍，，，，，，，，这个图标就好比是文件的表衣。。。。。一件好看的衣裳，，，，，，，，对于用户眼中的文件而言，，，，，，，，绝对是大大的加分项。。。。。

    但木马病毒钻营的并非华丽的表表，，，，，，，，而是足够以假乱真。。。。。谁最能获得用户信赖，，，，，，，，木马病毒往往就“化妆”成谁。。。。。

    常见的对象也能够分为两类。。。。。

    第一类是穿上常见利用软件的表衣，，，，，，，，利用搜索引擎、网站、手机利用市场等渠路进行传布。。。。。

    今年上半年，，，，，，，，ca88登陆平台威胁谍报中心通过日常分析运营发现多款二次打包并携带木马后门的恶意装置包样本，，，，，，，，恶意装置包内蕴含“向日葵远控”、“钉钉”、“WPS”等常用工具软件。。。。。

    图 恶意装置包内部门文件截图

    目前，，，，，，，，绝大无数企业并没有统一的软件下载渠路，，，，，，，，重要是员工在网上自行下载，，，，，，，，这就给了攻击者以可乘之机。。。。。只有文件名、图标一换，，，，，，，，若是杀毒软件再检测不出来，，，，，，，，那就危险了。。。。。

    尤其是好多幼多的工具，，，，，，，，这些工具起源于开源社区、论坛甚至是其他陌生用户，，，，，，，，只在固定圈子内盛行，，，，，，，，相对而言被中招的可能性要更高。。。。。

    第二类是换上Word、Excel、PDF等办公函档的衣服，，，，，，，，利用邮件、即时通讯软件鱼目混珠。。。。。

    作为日常接触最多的文件类型，，，，，，，，打工人对各类各样的Word文档、Excel表格可谓是倍感亲切，，，，，，，，也越发信赖，，，，，，，，一个幼幼的office文档能干什么坏事呢？？？？？这种内心正是黑客想要的。。。。。

    图 近期ca88登陆平台威胁谍报中心捕获的部门恶意样本

    凭据ca88登陆平台威胁谍报中心的统计，，，，，，，，Word等办公函档的图标，，，，，，，，是攻击者首选的假装类型。。。。。

    顺带说一句，，，，，，，，分歧类型的文件有着分歧的后缀名，，，，，，，，好比Word文档的后缀名是.docx、PPT文档的后缀名是.pptx、常见的可执行法式的后缀名是.exe……

    由于绝大无数情况下，，，，，，，，木马病毒属于可执行文件，，，，，，，，所以当它假装成办公函档时，，，，，，，，肯定会夹紧自己的“狐狸尾巴”，，，，，，，，漏出来被人看到可就大事不妙了。。。。。

    必要提醒用户把稳的是，，，，，，，，好多电脑的设置是默认暗藏后缀名的，，，，，，，，导致通常用户并不能一眼看出后缀名的区别。。。。。

    尤其是有些攻击者善用“阴沼妆，，，，，，，，在正本的真后缀名前面，，，，，，，，加上一个假后缀名，，，，，，，，用于侵扰用户确把稳力。。。。。这样一来，，，，，，，，正本的.exe后缀被暗藏起来，，，，，，，，而伪造的.docx却作为文件名的一部门，，，，，，，，直接展此刻用户的视野里。。。。。

    就像下图这样。。。。。

    最后，，，，，，，，占佑装一招毙命”的非对称兵器。。。。。

    即就是真正的办公函档，，，，，，，，也并不是绝对安全的。。。。。

    上述的两类重要假装方式，，，，，，，，无论是批改文件名，，，，，，，，还是批改文件图标、后缀名这些方式，，，，，，，，都很容易被肉眼看出或者其他相对单一的方式躲避，，，，，，，，决不能为了局兜底。。。。。

    所以，，，，，，，，高妙的攻击者总会留一手“放手锏”，，，，，，，，在关键时刻给指标致命一击。。。。。想要突破防守方的层层围堵直达指标系统内部，，，，，，，，就得拿出点绝活。。。。。

    利用办公函档自身的职能或者缺点，，，，，，，，就是最好的伎俩，，，，，，，，至少无论横看竖看斜看，，，，，，，，这都是一个真正的办公函档，，，，，，，，不是其他什么文件假装的。。。。。

    绝活一：Office宏

    宏（Macro）是微软为Office软件包设计的一个特殊职能，，，，，，，，是一种用来援手用户实现一系列操作的纪录器，，，，，，，，它能够录造你操作的过程，，，，，，，，当必要沉复这样的操作时，，，，，，，，能够通过录造的“宏”来自动实现。。。。。

    攻击者利用这个职能，，，，，，，，造作专门利用Office软件传布的宏病毒，，，，，，，，一旦打开这样的文档，，，，，，，，其中的恶意宏就会被自动执行，，，，，，，，因而宏病毒就会被激活，，，，，，，，并转移到指标推算机上。。。。。

    这个过程，，，，，，，，用户没有任何感知。。。。。并且不论是表表还是内容，，，，，，，，携带宏病毒的文档，，，，，，，，都与与正常文档看不出任何差距。。。。。

    只管利用Office宏的步骤看起来极度荫蔽，，，，，，，，但由于通常用户对于宏这个职能的依赖度并不高，，，，，，，，加之近些年来宏病毒日渐泛滥，，，，，，，，因而宏通；；；；；；；岜黄笠涤没瞎毓。。。。。

    如此一来，，，，，，，，宏病毒就失去了原有的成效。。。。。

    绝活二：0day缝隙

    不言而喻，，，，，，，，攻击者还有绝活。。。。。

    作为网络安全领域当之无愧的“兵器之王”，，，，，，，，0day缝隙在职何时辰出现都拥有相当大的粉碎力。。。。。

    并且利用Office软件的0day缝隙，，，，，，，，同样具备极强的荫蔽性，，，，，，，，用户收到的同样是一个看起来再正常不外的文档。。。。。

    在前不久实现的大型实战攻防演习期间，，，，，，，，ca88登陆平台威胁谍报中心率先捕获了一个利用WPS 0day缝隙的恶意样本。。。。。经测试，，，，，，，，用户只需打开文档，，，，，，，，就能够被攻击者远程节造，，，，，，，，不必要其他任何操作。。。。。

    有趣的是，，，，，，，，只管该恶意文档躲过了绝大无数恶意软件的检测，，，，，，，，但却没逃过ca88登陆平台的追捕。。。。。

    事件已经很显著了，，，，，，，，ca88登陆平台威胁谍报中心也有绝活——红雨滴云沙箱。。。。。（ca88登陆平台谍报沙箱 (qianxin.com)）

    红雨滴云沙箱是威胁谍报中心红雨滴团队基于多年的APT高级攻防匹敌经验、安全大数据、威胁谍报等能力，，，，，，，，使用软、硬件虚构化技术开发实现的真正的“上帝模式”高匹敌沙箱，，，，，，，，逐日可实现20W左右的样本处置量，，，，，，，，可同时并行处置高达上千条的沙箱分析工作，，，，，，，，面向客户提供WEB服务和API接口服务，，，，，，，，WEB端用户只必要在沙箱页面实现文件上传和分析配置，，，，，，，，30秒即可天生专业分析汇报。。。。。红雨滴云沙箱提供恶意软件具体的静态、动态行为分析及各类文件详情并提取IOC形成自己的威胁谍报，，，，，，，，同时支持Windows、Android、Linux等平台下的样本自动化分析。。。。。

    红雨滴云沙箱依附威胁谍报中心自主知识产权的APT团伙静态分析引擎（RAS引擎），，，，，，，，基于ALPHA威胁分析平台完整的威胁谍报和互联网基础数据，，，，，，，，以及数据覆盖度、信息种类、数据的功夫/空间跨度等多沉优势，，，，，，，，通过专家级的自动化日志分析，，，，，，，，急剧锁定真正有威胁的攻击者，，，，，，，，急剧进行画像、持续跟踪，，，，，，，，揪出背后暗藏的攻击者，，，，，，，，保险了攻防期间研判分析的精准性。。。。。

    回到文章开头的问题，，，，，，，，您内心有答案了吗？？？？？