關(guān)鍵詞

網(wǎng)絡(luò)攻擊

Cofense Intelligence近日披露，一種利用Windows系統(tǒng)遺留功能實施攻擊的惡意活動正在上升。攻擊者不再依賴瀏覽器下載木馬，而是濫用Windows文件資源管理器對WebDAV協(xié)議的原生支持，將其變成投遞遠程控制木馬（RAT）的隱蔽通道。由于整個過程繞過瀏覽器環(huán)境，許多傳統(tǒng)網(wǎng)頁安全防護與部分終端檢測機制難以及時攔截。

WebDAV是一種基于HTTP的遠程文件管理協(xié)議，雖然在現(xiàn)代云存儲興起后已較少使用，但Windows文件資源管理器仍默認支持通過該協(xié)議訪問遠程服務(wù)器。攻擊者通過發(fā)送偽裝成發(fā)票、通知或共享文件的.url或.lnk快捷方式文件，引導(dǎo)受害者打開一個看似普通的遠程文件夾界面。該界面與本地目錄幾乎無差異，用戶往往難以察覺文件實際上來自外部惡意服務(wù)器，從而降低警惕性。

更具隱蔽性的是，當URL快捷方式中嵌入UNC路徑時，用戶即便只是瀏覽包含該文件的目錄，也可能觸發(fā)系統(tǒng)自動向攻擊者控制的基礎(chǔ)設(shè)施發(fā)起DNS請求。這種“無點擊”行為可用于確認受害主機在線狀態(tài)，為后續(xù)攻擊做準備。攻擊者還大量濫用Cloudflare Tunnel等合法云服務(wù)基礎(chǔ)設(shè)施作為中繼節(jié)點，使惡意流量混雜在正常加密流量之中，增加溯源和檢測難度。

一旦連接建立，攻擊鏈通常會投遞多種遠程控制木馬作為最終載荷。報告顯示，約87%的相關(guān)攻擊樣本最終投放多個RAT變種，實現(xiàn)持久化控制、憑據(jù)竊取與橫向移動。攻擊活動主要針對歐洲企業(yè)環(huán)境，其中相當比例使用德語偽裝財務(wù)郵件，其次為英語、意大利語和西班牙語。

該事件再次表明，操作系統(tǒng)中的歷史協(xié)議和默認功能同樣可能成為攻擊入口。企業(yè)應(yīng)限制或禁用不必要的WebDAV訪問，監(jiān)控異常UNC路徑請求與DNS外聯(lián)行為，加強終端日志審計，并對員工進行針對.url與.lnk文件風險的安全意識培訓。僅依賴瀏覽器層防護已難以覆蓋此類攻擊面，必須在網(wǎng)絡(luò)、終端與身份層面構(gòu)建多層防御體系。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！