钓鱼邮件溯源案例分析系列四：“高温季节福利”溯源分析报告

1. 案例概述

邮件主题为《高温季节福利优化方案及实施通知》，经排查该邮件存在恶意的二维码，扫描后判断访问者环境，符合移动端特征后跳转至钓鱼画面，其目的诱导用户输入银行卡及支付密码等个人敏感信息。

2. 邮件分析

2.1 邮件正文分析

邮件诱导收件人扫描邮件中的恶意二维码，当符合移动端特征后跳转至诱导用户输入银行卡及支付密码的钓鱼页面。恶意链接为：“hxxps://wf.rxxxxxz.cn”目的在于窃取收件人的银行卡信息及盗取银行卡财产。

2.2 链接分析

访问跳转后的钓鱼链接“hxxps://wf.rxxxxxz.cn/”，并替换移动端 UA 头，页面显示为钓鱼页面。如下图所示：

3. 网站分析

分析网站信息时发现域名注册人为黎**—qwxxxxxxxxx6@**mail.com黎**—lxxxxx2@**mail.com

4. 黑产组织画像

邮件主题：《高温季节福利优化方案及实施通知》

邮件内容：以企业财务部门的名义发送“津贴发放通知，线上登记审核”邮件，目的为获取受害人银行卡信息、身份证号、手机号、银行卡密码等信息。

黑产组织：各类企事业单位，活动的钓鱼网站链接2个