新型釣魚攻擊手法：利用損壞的 Word 文件躲避資安檢測

2024 / 12 / 04

編輯部

近期發現一項新型釣魚攻擊手法，攻擊者巧妙利用 Microsoft Word 的檔案修復功能，以毀損的 Word 文件作為電子郵件附件進行攻擊。這些文件因處於損壞狀態而能躲過資安軟體的檢測，但使用者仍可透過應用程式將其修復並開啟。

網路犯罪者持續開發新手法，試圖繞過電子郵件安全軟體，讓釣魚郵件順利抵達目標收件匣。

海外資安公司揭露了這波新型攻擊，發現攻擊者使用刻意毀損的 Word 文件作為附件，並偽裝成人資部門或薪資部門的郵件。

這些惡意附件採用多種主題名稱，皆與員工福利及獎金有關，例如：
Annual_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx
Annual_Q4_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin Due_&_Payment_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin Q4_Benefits_&_Bonus_for_[name]_IyNURVhUTlVNUkFORE9NNDUjIw__.docx.bin

這些攻擊文件都包含一個 base64 編碼字串「IyNURVhUTlVNUkFORE9NNDUjIw」，解碼後顯示為「##TEXTNUMRANDOM45##」。當使用者開啟附件時，Word 會顯示「發現無法讀取的內容」的提示，並詢問是否要修復這個已毀損的檔案。

攻擊者的釣魚文件經過特殊設計，雖然呈現毀損狀態但能輕易修復。修復後會顯示一個要求掃描 QR 碼的頁面以存取內容，且文件會套用目標企業的標誌來增加可信度。當使用者掃描 QR 碼後，會被引導至偽造的 Microsoft 登入頁面，以竊取帳號密碼。

雖然透過釣魚攻擊竊取帳號密碼的手法並非新穎，但利用毀損的 Word 文件來躲避資安偵測確實是一項創新手段。這些檔案雖然能在作業系統中正常運作，但資安解決方案卻無法正確處理此類檔案，因此成功躲過偵測。當這些檔案上傳至 VirusTotal 時，所有防毒軟體均回傳「乾淨」或「找不到項目」的結果，原因在於它們無法正確分析檔案內容。這種攻擊手法在達成目標方面確實相當有效。

防範此類釣魚攻擊必須遵循基本的資安守則。若收到不明寄件者的電子郵件，尤其是含有附件的郵件，應立即刪除，或在開啟前先向資訊部門確認。

本文轉載自 BleepingComputer。

釣魚郵件 Word