T1566.002: 鱼叉式钓鱼链接

摘要

攻击者可能发送带有恶意链接的鱼叉式钓鱼电子邮件，以试图获取对受害者系统的访问权限。带链接的鱼叉式钓鱼是鱼叉式钓鱼的一种特定变体。它与其他形式鱼叉式钓鱼的不同之处在于，它使用电子邮件中包含的链接来下载恶意软件，而不是将恶意文件附加到电子邮件本身，从而避免可能检查电子邮件附件的防御。鱼叉式钓鱼还可能涉及社会工程技巧，例如冒充受信任的来源。 所有形式的鱼叉式钓鱼都是针对特定个人、公司或行业通过电子方式传递的社会工程。在这种情况下，恶意电子邮件包含链接。通常，这些链接会伴随社会工程文本，并要求用户主动点击或将 URL 复制粘贴到浏览器中，从而利用[用户执行](https://attack.mitre.org/techniques/T1204)。访问的网站可能利用漏洞攻陷 Web 浏览器，或者根据电子邮件的最初借口，提示用户下载应用程序、文档、zip 文件甚至可执行文件。 攻击者还可能包含旨在直接与电子邮件阅读器交互的链接，包括旨在直接利用终端系统的嵌入图像。此外，攻击者可能使用看似良性的链接，利用特殊字符来模仿合法网站（称为“IDN 同形异义攻击”）。(Citation: CISA IDN ST05-016) URL 也可能利用 URL 架构中的特性进行混淆，例如接受基于整数或十六进制的主机名格式，以及自动丢弃“@”符号之前的文本：例如 `hxxp://google.com@1157586937`。(Citation: Mandiant URL Obfuscation 2023) 攻击者还可能利用链接执行同意钓鱼/鱼叉式钓鱼活动，以[窃取应用程序访问令牌](https://attack.mitre.org/techniques/T1528)，从而获得对受害者环境的即时访问权限。例如，用户可能被诱骗通过恶意的 OAuth 2.0 请求 URL 授予攻击者权限/访问权，当用户接受后，就为恶意应用程序提供了权限/访问权。(Citation: Trend Micro Pawn Storm OAuth 2017)(Citation: Microsoft OAuth 2.0 Consent Phishing 2021) 这些被盗的访问令牌允许攻击者通过 API 调用代表用户执行各种操作。(Citation: Microsoft OAuth 2.0 Consent Phishing 2021) 类似地，恶意链接也可能针对基于设备的授权，例如 OAuth 2.0 设备授权授予流程，该流程通常用于在无 UI/浏览器的设备上进行身份验证。这被称为“设备代码钓鱼”，攻击者可能发送一个链接，将受害者引导到恶意授权页面，用户在那里被诱骗输入代码/凭据，从而生成设备令牌。(Citation: SecureWorks Device Code Phishing 2021)(Citation: Netskope Device Code Phishing 2021)(Citation: Optiv Device Code Phishing 2021)