關(guān)鍵詞

網(wǎng)絡(luò)攻擊

Cofense Intelligence近日披露，一種利用Windows系統(tǒng)遺留功能實(shí)施攻擊的惡意活動正在上升。攻擊者不再依賴瀏覽器下載木馬，而是濫用Windows文件資源管理器對WebDAV協(xié)議的原生支持，將其變成投遞遠(yuǎn)程控制木馬（RAT）的隱蔽通道。由于整個過程繞過瀏覽器環(huán)境，許多傳統(tǒng)網(wǎng)頁安全防護(hù)與部分終端檢測機(jī)制難以及時攔截。

WebDAV是一種基于HTTP的遠(yuǎn)程文件管理協(xié)議，雖然在現(xiàn)代云存儲興起后已較少使用，但Windows文件資源管理器仍默認(rèn)支持通過該協(xié)議訪問遠(yuǎn)程服務(wù)器。攻擊者通過發(fā)送偽裝成發(fā)票、通知或共享文件的.url或.lnk快捷方式文件，引導(dǎo)受害者打開一個看似普通的遠(yuǎn)程文件夾界面。該界面與本地目錄幾乎無差異，用戶往往難以察覺文件實(shí)際上來自外部惡意服務(wù)器，從而降低警惕性。

更具隱蔽性的是，當(dāng)URL快捷方式中嵌入U(xiǎn)NC路徑時，用戶即便只是瀏覽包含該文件的目錄，也可能觸發(fā)系統(tǒng)自動向攻擊者控制的基礎(chǔ)設(shè)施發(fā)起DNS請求。這種“無點(diǎn)擊”行為可用于確認(rèn)受害主機(jī)在線狀態(tài)，為后續(xù)攻擊做準(zhǔn)備。攻擊者還大量濫用Cloudflare Tunnel等合法云服務(wù)基礎(chǔ)設(shè)施作為中繼節(jié)點(diǎn)，使惡意流量混雜在正常加密流量之中，增加溯源和檢測難度。

一旦連接建立，攻擊鏈通常會投遞多種遠(yuǎn)程控制木馬作為最終載荷。報(bào)告顯示，約87%的相關(guān)攻擊樣本最終投放多個RAT變種，實(shí)現(xiàn)持久化控制、憑據(jù)竊取與橫向移動。攻擊活動主要針對歐洲企業(yè)環(huán)境，其中相當(dāng)比例使用德語偽裝財(cái)務(wù)郵件，其次為英語、意大利語和西班牙語。

該事件再次表明，操作系統(tǒng)中的歷史協(xié)議和默認(rèn)功能同樣可能成為攻擊入口。企業(yè)應(yīng)限制或禁用不必要的WebDAV訪問，監(jiān)控異常UNC路徑請求與DNS外聯(lián)行為，加強(qiáng)終端日志審計(jì)，并對員工進(jìn)行針對.url與.lnk文件風(fēng)險(xiǎn)的安全意識培訓(xùn)。僅依賴瀏覽器層防護(hù)已難以覆蓋此類攻擊面，必須在網(wǎng)絡(luò)、終端與身份層面構(gòu)建多層防御體系。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時資訊一手掌握！

好看你就分享 有用就點(diǎn)個贊

支持「安全圈」就點(diǎn)個三連吧！