邮件攻击案例系列六：攻击队冒充 HR 给发送的加密带毒邮件

 案例来源：邮件攻击案例系列六：攻击队冒充 HR 给发送的加密带毒邮件 | MailABC邮件知识百科

1. 案例描述

2023 年 7 月，在一次大规模网络安全实战攻防演习活动中，某大型企业在邮件服务商和网络安全团队的合作下，截获了一封来自攻击队的、主题为“部分技术人员涨薪通知”的带毒邮件。邮件以员工最关心的薪酬通知为话题，引诱用户打开带毒附件。该企业随即启动了内部安全审计，发现已有部分员工下载并打开了该邮件的附件。网络安全部门随即将已经中招的设备做了封禁处理。下图为邮件正文内容截图。

邮件的附件为一个加密压缩包。表面上看，将压缩包加密的目的似乎是所谓的“保密”，但实际上，攻击者这样做的目的，是为了为防止邮件安全网关对邮件附件进行反病毒查杀。尽管目前世面上的绝大多数邮件安全网关都已经具备对常用文档、常见压缩格式文件的病毒查杀能力。但攻击者将压缩包加密，就大大增加了反病毒引擎的识别难度。

安全技术人员在隔离环境下将加密压缩包进行解压测试，得到一个名为“员工工资变动申请表.doc”的快捷方式文件和一个隐藏文件夹，快捷方式的图标为 Word。由于 Windows 系统默认不显示快捷方式文件（lnk 文件）的后缀,所以从普通用户