使用十六进制IP地址的网络钓鱼攻击活动
2020-09-21
作者：黑鸟
来源：互联网安全内参
网络犯罪分子正在不断优化其网络攻击工具，策略和技术，以逃避垃圾邮件检测系统。
由于一些系统会直接提取邮件中内嵌的链接进行检测，而一种此类URL混淆技术采用了URL主机名部分中使用的编码十六进制IP地址格式来逃避检测。
由于IP地址可以用多种格式表示，因此可以在URL中如下所示使用：
点分十进制IP地址：216.58.199.78
八进制IP地址：0330.0072.0307.0116（将每个十进制数字转换为八进制）
十六进制IP地址：0xD83AC74E（将每个十进制数字转换为十六进制）
整数或DWORD IP地址：3627730766（将十六进制IP转换为整数）
单击上面的任何链接会将您定向到指定域名，大多数浏览器也接受这些不同的IP格式。
而近日，有一个专门用制药为主题的钓鱼邮件活动，就专门使用了十六进制代表IP的手法进行攻击。
由于这可能会成为未来的攻击趋势，因此将这个攻击趋势在黑鸟公众号中提一下。
这些钓鱼邮件消息涵盖了广泛的药品，主要是用于胆固醇，抗真菌，抗衰老，抗炎，脑部健康，新陈代谢等方面的药物。该钓鱼邮件僵尸网络最近从7月中旬开始在URL中使用十六进制IP。
攻击流程图如下所示。
邮件如下所示，使用文本超链接进行跳转。
超链接中对应的URL链接如下，使用十六进制IP
使用不同的邮件客户端，这些链接看起来略有不同。例如，使用Thunderbird邮件客户端，将鼠标悬停在文字超链接上，会将它们显示为以状态栏中IP地址开头的URL。
但是，使用微软Outlook邮件客户端，在URL中还是会以十六进制IP形式显示，但是复制和粘贴这些链接到其他地方，才会将其转换为URL中的标准IP格式。
点击上面十六进制链接后的结果
本站内容除特别声明的原创文章之外，转载内容只为传递更多信息，并不代表本网站赞同其观点。转载的所有的文章、图片、音/视频文件等资料的版权归版权所有权人所有。本站采用的非本站原创文章及图片等内容无法一一联系确认版权者。如涉及作品内容、版权和其它问题，请及时通过电子邮件或电话通知我们，以便迅速采取适当措施，避免给双方造成不必要的经济损失。联系电话：010-82306118；邮箱：aet@chinaaet.com。