《入侵生命周期细分实践指南》：鱼叉式网络钓鱼附件攻击

美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型。

作为美创新一代安全架构的三大支柱之一。入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

1）探索发现

在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2）入侵和感染

在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

3）探索感知

攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

4）传播

在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

5）持久化

攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6）攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7）恢复

攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

鱼叉式网络钓鱼附件攻击
入侵和感染阶段

攻击者可能会发送带有恶意附件的鱼叉式网络钓鱼电子邮件，以尝试访问受害系统。鱼叉式网络钓鱼附件是鱼叉式网络钓鱼的一种特定变体。鱼叉式网络钓鱼附件与其他形式的鱼叉式网络钓鱼不同，它使用附加到电子邮件的恶意软件。所有形式的鱼叉式网络钓鱼都是针对特定个人、公司或行业的电子社会工程。

在这种情况下，攻击者将文件附加到鱼叉式网络钓鱼电子邮件，并且通常依靠用户执行来获得执行。附件有许多选项，例如 Microsoft Office 文档、可执行文件、PDF 或存档文件。打开附件后，攻击者的有效载荷就会利用漏洞或直接在用户系统上执行。鱼叉式网络钓鱼电子邮件的文本通常会尝试给出一个合理的原因，说明为什么应该打开文件，并可能解释如何绕过系统保护来这样做。电子邮件还可能包含有关如何解密附件（例如 zip 文件密码）的说明，以逃避电子邮件边界防御。攻击者经常操纵文件扩展名和图标，以使附加的可执行文件看起来是文档文件，或者利用一个应用程序的文件看起来是另一个应用程序的文件。

从入侵生命周期角度分析,该攻击手法被使用在入侵和感染阶段。

从攻击行为链条的上下文来看，针对鱼叉式钓鱼附件输入输出如下

针对鱼叉式网络钓鱼附件，可选择攻击手法如下：

1、攻击者向目标发送带有附件的邮件并诱使目标点击附件，附件为CS可执行文件。

(1)、CS生成vpn1.exe，并将vpn1.exe压缩成压缩包。

(2)、攻击者向目标发送带有该压缩包附件的邮件，并在邮件内容中添加目标感兴趣的内容，诱使目标点击附件。

3)、目标点击可执行文件后，CS上线。

2、 X攻击者向目标发送带有附件的邮件并诱使目标点击附件，附件为带有宏病毒的office文件。

(1)、CS生成带有宏病毒的docm文件。

(2)、攻击者向目标发送带有该压缩包附件的邮件，并在邮件内容中添加目标感兴趣的内容，诱使目标点击附件。

(3)、目标点击文档，CS上线

3、攻击者向目标发送带有附件的邮件并诱使目标点击附件，附件为加载远程恶意模板的office文件。

(1)、加载远程恶意模板文件如下：

(2)、攻击者向目标发送带有该压缩包附件的邮件，并在邮件内容中添加目标感兴趣的内容，诱使目标点击附件。

(3)、目标点击文档，CS上线。