T1598.003: 鱼叉式网络钓鱼链接

摘要

攻击者可能发送带有恶意链接的鱼叉式网络钓鱼消息，以套取可用于定位阶段的敏感信息。信息鱼叉式网络钓鱼是试图诱骗目标泄露信息，通常是凭据或其他可操作的信息。信息鱼叉式网络钓鱼通常涉及社会工程技巧，例如冒充有理由收集信息的来源（例如：[建立账户](https://attack.mitre.org/techniques/T1585)或[攻陷账户](https://attack.mitre.org/techniques/T1586)）和/或发送多条看似紧急的消息。 所有形式的鱼叉式网络钓鱼都是针对特定个人、公司或行业、通过电子方式传递的社会工程。在此场景中，恶意电子邮件包含链接，通常附有社会工程文本，以诱使收件人主动点击或将 URL 复制粘贴到浏览器中。(Citation: TrendMictro Phishing)(Citation: PCMag FakeLogin) 给定的网站可能是合法站点（如在线或企业登录门户）的克隆，或在外观上与合法站点极为相似，且其 URL 包含真实站点的元素。URL 还可能通过利用 URL 架构的怪癖进行混淆，例如接受基于整数或十六进制的主机名格式，以及自动丢弃“@”符号之前的文本：例如 `hxxp://google.com@1157586937`。(Citation: Mandiant URL Obfuscation 2023) 攻击者还可能在钓鱼消息中嵌入“跟踪像素”“网络臭虫”或“网络信标”，以验证电子邮件的接收情况，同时还可能对受害者信息（如 IP 地址）进行画像和跟踪。(Citation: NIST Web Bug)(Citation: Ryte Wiki) 这些机制通常表现为小图像（通常为 1 像素大小）或其他混淆对象，并且通常以包含指向远程服务器链接的 HTML 代码形式传递。(Citation: Ryte Wiki)(Citation: IAPP) 攻击者还可能使用所谓“浏览器中的浏览器”（BitB）攻击来伪造完整网站。通过生成带有基于 HTML 的地址栏、看似包含合法 URL（如身份验证门户）的虚假浏览器弹出窗口，他们可能能够提示用户输入其凭据，同时绕过典型的 URL 验证方法。(Citation: ZScaler BitB 2020)(Citation: Mr. D0x BitB 2022) 攻击者可以使用 `EvilProxy` 和 `Evilginx2` 等钓鱼工具包，通过代理受害者与合法网站之间的连接来执行对抗中间人式钓鱼。登录成功后，受害者会被重定向到合法网站，而攻击者则捕获其会话 cookie（即[窃取 Web 会话 Cookie](https://attack.mitre.org/techniques/T1539)）以及用户名和密码。这可能使攻击者随后通过 [Web 会话 Cookie](https://attack.mitre.org/techniques/T1550/004) 绕过 MFA。(Citation: Proofpoint Human Factor) 攻击者还可能以快速响应（QR）码的形式发送恶意链接（也称为“quishing”）。这些链接可能将受害者引导至凭据钓鱼页面。(Citation: QR-campaign-energy-firm) 通过使用 QR 码，URL 可能不会在电子邮件中暴露，因此可能不会被大多数自动化电子邮件安全扫描检测到。(Citation: qr-phish-agriculture) 这些 QR 码可能被扫描，或直接投递到用户的移动设备（即[网络钓鱼](https://attack.mitre.org/techniques/T1660)），这在多个相关方面可能安全性较低。(Citation: qr-phish-agriculture) 例如，由于移动设备的外形更小，移动用户可能无法注意到真实网站与凭据收集网站之间的细微差异。 从虚假网站中，信息通过 Web 表单收集并发送给攻击者。攻击者还可能使用之前侦察工作（例如：[搜索开放网站/域名](https://attack.mitre.org/techniques/T1593)或[搜索受害者拥有的网站](https://attack.mitre.org/techniques/T1594)）中的信息来制作有说服力且可信的诱饵。