钓鱼邮件溯源案例分析系列三：“律师函”溯源分析报告

案例概述

邮件主题为《南京华文弘盛文化产业创业投资基金合伙企业（有限合伙）》，邮件正文中存在可点击按钮“律师函”，点击跳转后链接为“hxxps://www.xxx.com/5/”，该链接会自动跳转至“hxxps://www.xxxt.com/2/”自动下载“setup 查看_103762_4001328.exe”。

邮件分析

正文分析

邮 件 正 文 中 的 内 容 主 要 是 诱 导 收 件 人 点 击 下 载 链 接 。 点 击 后 跳 转 链 接 为 ：“hxxps://www.xxx.com/2/”目的诱导客户下载执行恶意木马程序。

链接分析

访问链接“hxxps://www.xxx.com/5/”后下载恶意软件”setup 查看_103762_4001328.exe“。

通过沙箱的结果得下载的程序”setup 查看_103762_4001328.exe”主要的行为有，请求恶意软件域名“886.xxx.cn、d.xxx.cn”下载可疑文件、创建可疑进程、探测系统环境。

查通信域名 886.xxx.cn、d.xxx.cn 对应的 whois 注册信息。

网站分析

通过域名”www.xxxt.com”解析出 IP 156.xx.xx.112,此 IP 解析出的域名有 30 个，通过访问域名得知下载后的恶意文件主要有以下 5 种恶意程序，如下表所示：