一、釣魚郵件內(nèi)容

二、釣魚網(wǎng)站頁面

三、釣魚網(wǎng)頁代碼

四、代碼結(jié)構(gòu)與核心功能分析

1. 核心威脅定位

該頁面是一個典型的釣魚攻擊載體，通過高度混淆的JavaScript代碼和偽裝成系統(tǒng)通知的UI界面，誘導(dǎo)用戶輸入敏感信息（如密碼），并將數(shù)據(jù)外傳到攻擊者控制的服務(wù)器。代碼設(shè)計具備以下威脅特征：

2. 關(guān)鍵腳本分析

(1) JavaScript混淆與動態(tài)執(zhí)行

函數(shù)名混淆：所有函數(shù)名（如_rR、_kA、_HE）和變量名均經(jīng)過混淆，通過短命名和_前綴干擾靜態(tài)分析。

動態(tài)代碼執(zhí)行：

//javascript

function _Gh(r){return eval(r);}

使用eval執(zhí)行動態(tài)生成的字符串代碼，可能用于解密惡意邏輯或加載外部腳本，規(guī)避安全檢測。

(2) 數(shù)據(jù)加密與傳輸邏輯

字符串拼接與編碼：

函數(shù)_R3通過循環(huán)拼接ASCII字符生成字符串，可能用于構(gòu)造惡意URL或解密密鑰：

//javascript

function _R3(p,f){var i=_aV();for(l=p;l<=f;l++){i=i+_fC(l)}return i;}

異或加密：

函數(shù)_pT(e,k){return e^k}使用異或運算，可能用于加密竊取的用戶數(shù)據(jù)，規(guī)避網(wǎng)絡(luò)流量檢測。

(3) 數(shù)據(jù)竊取邏輯

表單輸入劫持：

頁面包含隱藏的表單輸入字段（通過CSS偽裝），可能通過input事件監(jiān)聽用戶輸入的憑據(jù)。

數(shù)據(jù)外傳：

函數(shù)_da和_ek中的字符處理與位操作，可能將用戶數(shù)據(jù)編碼后通過XMLHttpRequest或動態(tài)標(biāo)簽發(fā)送到攻擊者服務(wù)器。

3. 頁面?zhèn)窝b技術(shù)

(1) 視覺欺騙

模仿Microsoft登錄頁面：

使用Segoe UI字體、藍(lán)色按鈕（#0067b8）和陰影效果，仿冒Microsoft官方風(fēng)格。

偽造系統(tǒng)通知：

標(biāo)題“Greetings”和隱藏的“系統(tǒng)通知”電子郵件上下文，誘導(dǎo)用戶信任。

(2) 反檢測機(jī)制

屏蔽搜索引擎索引：

//html

避免被搜索引擎收錄，延長攻擊生命周期。

禁用緩存：

//html

防止用戶通過緩存回溯到合法頁面。

4. 攻擊鏈推測

(1) 誘餌傳播：通過釣魚郵件“系統(tǒng)通知: 確認(rèn)你的密碼”誘導(dǎo)用戶點擊鏈接。

(2) 憑據(jù)竊?。河脩糨斎朊艽a后，混淆腳本加密數(shù)據(jù)并外傳至攻擊者服務(wù)器（如_kA生成的URL）。

(3) 橫向滲透：可能利用竊取的憑據(jù)進(jìn)行撞庫攻擊或企業(yè)內(nèi)部系統(tǒng)滲透。

5. 威脅等級評估

(1) 嚴(yán)重性：高

直接竊取用戶憑證，可能導(dǎo)致賬戶接管、數(shù)據(jù)泄露及后續(xù)攻擊。

(2) 隱蔽性：極高

代碼混淆、動態(tài)執(zhí)行及加密通信機(jī)制，難以被傳統(tǒng)安全工具檢測。

(3) 傳播性：中

依賴郵件社工誘導(dǎo)，需用戶主動交互。

6. 防護(hù)建議

(1) 用戶側(cè)：

警惕來源不明的“系統(tǒng)通知”郵件，驗證URL域名合法性。

啟用多因素認(rèn)證（MFA），降低憑證泄露風(fēng)險。

(2) 企業(yè)側(cè)：

部署郵件安全網(wǎng)關(guān)（如Proofpoint），過濾釣魚郵件。

使用行為分析工具（如Darktrace）檢測異常數(shù)據(jù)外傳。

(3) 技術(shù)分析：

動態(tài)調(diào)試反混淆腳本，提取C2服務(wù)器地址并阻斷。

監(jiān)控eval及XMLHttpRequest的異常使用模式。

五、總結(jié)

該釣魚頁面通過高度專業(yè)化的混淆技術(shù)和視覺偽裝，精準(zhǔn)針對企業(yè)用戶憑證竊取。其代碼設(shè)計體現(xiàn)了攻擊者對前端安全機(jī)制的深入理解，需結(jié)合動態(tài)分析與威脅情報進(jìn)行深度防御。

編輯：蘆笛（公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組）