一封邮件让IT员工”破防”,这类钓鱼邮件千万要警惕！
据《2024中国企业邮箱安全报告》显示，2024年伪装成安全通知类主题的钓鱼邮件数量高达192.9万封，其中IT、金融行业成重灾区。这些钓鱼邮件犹如一把暗箭，随时可瓦解企业员工邮箱账号，窃取关键信息。
对于企业来说，构筑一道防得住，能反击的安全防线迫在眉睫——CACTER CAC２.０反钓鱼防盗号（以下简称：CAC2.0），是一款同时具备邮件识别过滤、邮箱账号异常监测与准实时告警、泄露账号威胁登录拦截，以及综合型邮件威胁情报（攻击IP、威胁URL、钓鱼邮件主题、重保紧急情报等）的云安全服务，为企业全面防范邮件威胁和邮件账号威胁。
案例还原：一场精心设计的“账号认证”骗局
2024年12月，某知名IT企业员工小张收到一封“邮件异常登录提醒”的邮件通知，邮件显示其邮箱在几天前在加拿大被异常登录，并要求小张立即进行“安全认证”。小张担心自己被盗号便立即点击链接进行认证。殊不知第二天小张的邮箱已被攻陷，无法登录。
经管理员排查发现原来所谓的“安全认证”就是罪魁祸首，这无疑是一场黑客精心设计的“贼喊捉贼”式骗局。
案例源自《2024中国企业邮箱安全性研究报告》
此类”安全认证“钓鱼邮件屡见不鲜，黑客伪造企业内部域名绕过常规安全防护体系，
利用”异常登录”制造恐慌，精准触发用户应激反应，引导其点击伪装成“安全认证”的恶意链接。
一旦邮箱账号被攻陷，邮箱中的核心数据随时都会被泄露.被盗邮箱进一步会作为跳板，渗透企业内部网络，获取更多权限和敏感信息，给企业带来不可挽回的损失。无论企业安全部门还是企业员工，都应对此提高警惕。
CAC2.0反钓鱼防盗号：从拦截到反杀
我们来看看小张的企业若提前部署CAC2.0后，可以预防哪些风险？
1. 反垃圾反钓鱼监测：CAC2.0依据数亿级的垃圾邮件样本特征，可对恶意邮件意图精准分析，并进行恶意URL检测和附件检测，迅速识别恶意钓鱼邮件。
案例直击：小张收到的这封“安全认证”主题的钓鱼邮件将会经由CAC2.0在0.3秒内被识别为“高风险”邮件，直接隔离至垃圾箱。
２．邮箱账号防暴：CAC2.0”防暴卫士”可快速识别出风险IP登录，即使账号密码正确，邮件系统放行,CAC2.0仍然可拦截不允许登录，并准实时告警，管理员可通过面板查看本域的拦截日志。
案例直击：当黑客盗取小张的邮箱账号并尝试登录时，CAC2.0将触发“风险IP拦截”，实时同步向管理员推送告警：检测到异常IP登录。
３．邮件威胁情报系统：CAC2.0会通过邮件实时推送紧急安全情报至管理员邮箱，并结合最新典型威胁邮件案例，分析本域类似的威胁邮件检测及相关收件人，帮助管理员全面掌握自身系统的潜在风险，提前筑牢安全屏障。
案例直击：针对小张此类异常行为用户，CAC2.0会在24小时内推送安全报告，帮助管理员排查风险，并采取措施永久封禁攻击IP。
员工自保指南：3招识破“贼喊捉贼”
针对此类“安全通知“，到底如何防范？CACTER小助手为大家准备一些自保小贴士：
1、认清发信人域名：在收到各类“系统通知”时，注意认清发信人域名，办公系统和管理员不可能使用外部域名发送通知。
2、识别钓鱼网站：任何系统的安全认证不可能在外部网站进行，识别所谓“安全网站”的域名可以规避大部分钓鱼网站。
3、警惕”认证“要求：邮箱系统对异常登录的账号会采取直接进行锁定或要求重置口令，决不会要求输入口令进行”认证“，因此以安全认证为主题的基本可判定为钓鱼邮件。
在钓鱼邮件套路无穷的当下，多一份防护，多一份安心，CAC2.0拥有“事前拦截，事中告警，事后处置”的全流程能力，能够在企业邮箱管理的苛刻环境下，提供稳定可靠的服务。
中国国家网络与信息安全信息通报中心通过支撑单位发现一批境外恶意网址和恶意IP，境外黑客组织利用这些网址和IP持续对中国和其他国家发起网络攻击。这些恶意网址和IP都与特定木马程序或木马程序控制端密切关联，网络攻击类型包括建立僵尸网络、后门利用、窃密等，对中国国内联网单位和互联网用户构成重大威胁。相关恶意网址和恶意IP归属地主要涉及：美国、瑞典、印度。主要情况如下：
一、恶意地址信息
（一）恶意地址：ddos.8ucddos.com
关联IP地址：38.165.82.8
归属地：美国/加利福尼亚州/圣何塞
威胁类型：僵尸网络
病毒家族：XorDDoS
描述：这是一种Linux僵尸网络病毒，主要通过内置用户名、密码字典进行Telnet和SSH暴力破解的方式扩散。其在加解密中大量使用了Xor，同时运用多态及自删除的方式随机生成进程名，可实现对网络设备进行扫描和对网络摄像机、路由器等IOT设备的攻击，攻击成功后，可利用僵尸程序形成一个僵尸网络，对目标网络发起分布式拒绝服务（DDos）攻击，造成大面积网络瘫痪或无法访问网站或在线服务。
（二）恶意地址：amushuvfikjas.b2047.com
关联IP地址：104.155.138.21
归属地：美国/艾奥瓦州/康瑟尔布拉夫斯
威胁类型：僵尸网络
病毒家族：XorDDoS
描述：这是一种Linux僵尸网络病毒，主要通过内置用户名、密码字典进行Telnet和SSH暴力破解的方式扩散。其在加解密中大量使用了Xor，同时运用多态及自删除的方式随机生成进程名，可实现对网络设备进行扫描和对网络摄像机、路由器等IOT设备的攻击，攻击成功后，可利用僵尸程序形成一个僵尸网络，对目标网络发起分布式拒绝服务（DDos）攻击，造成大面积网络瘫痪或无法访问网站或在线服务。
（三）恶意地址：a.gandzy.shop
关联IP地址：104.131.68.180
归属地：美国/新泽西州/克利夫顿
威胁类型：僵尸网络
病毒家族：MooBot
描述：这是一种Mirai僵尸网络的变种，常借助各种IoT设备漏洞例如CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等进行入侵，攻击者在成功入侵设备后将下载MooBot的二进制文件并执行，进而组建僵尸网络并可能发起DDoS(分布式拒绝服务)攻击。
（四）恶意地址：shetoldmeshewas12.uno
关联IP地址：104.131.68.180
归属地：美国/新泽西州/克利夫顿
威胁类型：僵尸网络
病毒家族：MooBot
描述：这是一种Mirai僵尸网络的变种，常借助各种IoT设备漏洞例如CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等进行入侵，攻击者在成功入侵设备后将下载MooBot的二进制文件并执行，进而组建僵尸网络并可能发起DDoS(分布式拒绝服务)攻击。
（五）恶意地址：yu5bca55387d2a9ba0d7.ddnsfree.com
关联IP地址：173.208.162.39
归属地：美国/密苏里州/北堪萨斯城
威胁类型：后门
病毒家族：AsyncRAT
描述：该恶意地址关联多个AsyncRAT病毒家族样本，部分样本的MD5值为31bfa56bcd984d9a334a3006d3cc323d。该网络后门采用C#语言编写，主要功能包括屏幕监控、键盘记录、密码获取、文件窃取、进程管理、开关摄像头、交互式SHELL，以及访问特定URL等。主要通过移动介质、网络钓鱼等方式进行传播，现已发现多个关联变种，部分变种主要针对民生领域的联网系统。
（六）恶意地址：sbdar.com
关联IP地址：23.20.239.12
归属地：美国/弗吉尼亚州/阿什本
威胁类型：窃密
病毒家族：AmosStealer
描述：该恶意地址关联到AmosStealer病毒家族样本，部分样本的MD5值为9841c50833e3c05e74bffd97b3737d46。AmosStealer（也称为“Atomic Stealer”）是一种针对macOS系统的信息窃取恶意软件，能够窃取用户的登录凭证、浏览器数据、加密货币钱包信息等，该恶意软件通过伪装成合法软件或利用恶意广告（malvertising）进行传播。
（七）恶意地址：34.58.66.17
归属地：美国/加利福尼亚州/山景城
威胁类型：后门
病毒家族：AsyncRAT
描述：该恶意地址关联多个AsyncRAT病毒家族样本，部分样本的MD5值为91aa773721ad37dc7205accac80dbf76。该网络后门采用C#语言编写，主要功能包括屏幕监控、键盘记录、密码获取、文件窃取、进程管理、开关摄像头、交互式SHELL，以及访问特定URL等。主要通过移动介质、网络钓鱼等方式进行传播，现已发现多个关联变种，部分变种主要针对民生领域的联网系统。
（八）恶意地址：reald27.duckdns.org
关联IP地址：46.246.86.20
归属地：瑞典/斯德哥尔摩省/斯德哥尔摩
威胁类型：后门
病毒家族：NjRAT
描述：该恶意地址关联到NjRAT病毒家族样本，部分样本程序的MD5值为b28304414842bcacb024d0b5c70fc2ea。该后门是一种由 C#编写的远程访问木马，具备屏幕监控、键盘记录、密码窃取、文件管理（上传、下载、删除、重命名文件）、进程管理（启动或终止进程）、远程激活摄像头、交互式 Shell（远程命令执行）、访问特定 URL 及其它多种恶意控制功能，通常通过移动存储介质感染、网络钓鱼邮件或恶意链接进行传播，用于非法监控、数据窃取和远程控制受害者计算机。
（九）恶意地址：serisbot.geek
关联IP地址：139.59.53.195
归属地：印度/卡纳塔克邦/班加罗尔
威胁类型：僵尸网络
病毒家族：Mirai
描述：这是一种Linux僵尸网络病毒，通过网络下载、漏洞利用、Telnet和SSH暴力破解等方式进行扩散，入侵成功后可对目标网络系统发起分布式拒绝服务（DDoS）攻击。
二、排查方法
（一）详细查看分析浏览器记录以及网络设备中近期流量和DNS请求记录，查看是否有以上恶意地址连接记录，如有条件可提取源IP、设备信息、连接时间等信息进行深入分析。
（二）在本单位应用系统中部署网络流量检测设备进行流量数据分析，追踪与上述网址和IP发起通信的设备网上活动痕迹。
（三）如果能够成功定位到遭受攻击的联网设备，可主动对这些设备进行勘验取证，进而组织技术分析。
三、处置建议
（一）对所有通过社交平台或电子邮件渠道接收的文件和链接保持高度警惕，重点关注其中来源未知或不可信的情况，不要轻易信任或打开相关文件。
（二）及时在威胁情报产品或网络出口防护设备中更新规则，坚决拦截以上恶意网址和恶意IP的访问。
（三）向公安机关及时报告，配合开展现场调查和技术溯源。
文章来源自：国家网络安全通报中心