配景概述
2022年4月中旬 ，，，，，，客户反响收到以人为津贴相关为诱饵的垂纶邮件。。。。。。。。邮件附件为doc文档 ，，，，，，其中包括一个二维码（如下图所示）。。。。。。。。扫描二维码后 ，，，，，，将跳转到垂纶链接：http://*.kjhdf[.]uno/（如http://546a2cd984338f4ec6091d63c394be61.kjhdf[.]uno/）。。。。。。。。凭证视察 ，，，，，，发明攻击者使用的发件邮箱是之前通过垂纶获取到的真实邮箱地点 ，，，，，，因此极具疑惑性 ，，，，，，更易让内部职员中招。。。。。。。。
凭证意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心的一连跟踪 ，，，，，，推测该垂纶运动可能于2021年12月尾左右最先。。。。。。。。自运动最先以来 ，，，，，，约有6000个域名被用于攻击中。。。。。。。。现在该垂纶运动还在一连举行中 ，，，，，，攻击者仍在一直更新升级系统 ，，，，，，更新基础设施。。。。。。。。
经由测试 ，，，，，，发明扫描二维码后进入垂纶页面 ，，，，，，该页面要求使用手机端翻开。。。。。。。。垂纶页面内容仿冒“人为津贴”或“中国***在线认证中心”相关主题。。。。。。。。如下图所示：
●垂纶页面1（伪造成“人为津贴”）
●垂纶页面2（伪造成“中国***在线认证中心”）
用户凭证诓骗页面指导举行操作后 ，，，，，，被指导至小我私家银行卡信息网络页面 ，，，，，，网络的信息包括银行卡、姓名、身份证、手机号、有用期、CVN、信用额度、卡内余额等。。。。。。。。如下图所示：
用户填写信息后 ，，，，，，会举行手机号短信或银行卡验证。。。。。。。。如下图：
拓展剖析
垂纶页面
通过浏览器抓包 ，，，，，，对垂纶页面举行剖析 ，，，，，，如下：
1.会通过Jump.js判断目今情形是否为移动端 ，，，，，，不是则会将页面重定向到pc.html。。。。。。。。
2.天生用户Cookie
3.加载设置的后台接口地点：http://api.khjqwe[.]uno/
4.向后台发送目今页面信息
5.获取WebSocket ，，，，，，建设回调要领
历史运动
凭证已有的信息 ，，，，，，在网络上检索 ，，，，，，发明在3月初 ，，，，，，就有许多政府媒体宣布过相关诈骗预警。。。。。。。。
在2022年2月 ，，，，，，某邮件清静厂商也披露过使用该垂纶模板的运动（https://www.cacter.com/news/672）。。。。。。。。
攻击者基础设施
IP1：45.116.214[.]135
使用本次事务涉及的垂纶页面http://*.kjhdf[.]uno/关联到的剖析IP（45.116.214[.]135）举行扩展和筛选 ，，，，，，进一步发明以下域名保存垂纶危害。。。。。。。。最早的注册时间为2022年2月21日。。。。。。。。、
IP2：47.57.138[.]120
通过垂纶页面抓包 ，，，，，，发明本次垂纶页面请求域名hdesdd[.]uno和khjqwe[.]uno上的资源。。。。。。。。这两个域名均剖析至ip（47.57.138[.]120）。。。。。。。。因此推测47.57.138[.]120为攻击者控制的基础设施 ，，，，，，以使用垂纶页面数据（如http://api.khjqwe[.]uno//api/getTemplateData.php）和发送手机验证码（如：http://api.khjqwe[.]uno//api/setCodeCount.php?uid=e51f2076-1bb1-ea30-d59b-4bb7f9111a88）等操作。。。。。。。。
域名：*.ganb.run
剖析发明域名kjhdf.uno的CNAME为*.ganb.run。。。。。。。。ganb.run的注册日期为2021年12月21日。。。。。。。。通过对域名ganb.run进一步扩展 ，，，，，，发明其相关ip历史曾剖析到的域名大部分切合该垂纶运动特征。。。。。。。。例如域名的CNAME为*.ganb.run ，，，，，，并且多以*.fun、*.pro、*.uno、*.club、*.ink、*.sbs、*.xyz的形式泛起。。。。。。。。
多源扩展到的*.ganb.run相关剖析IP：
●103.118.40.161（中国香港）
●47.57.11.87（中国香港）
●156.234.168.76（中国香港）
●45.116.214.135（中国香港）
●154.23.134.154（中国香港）
●27.124.2.112（中国香港）
●45.129.11.106（中国香港）
使用大数据平台盘问到近5个月（2021年12月-2021年4月）来 ，，，，，，约莫有4000多个域CNAME到ganb.run的子域 ，，，，，，涉及830多个顶级域名。。。。。。。。其中除近期跟踪到的域名 ，，，，，，其余均不可会见。。。。。。。。
其中 ，，，，，，有581个（约70%）域名的剖析效劳器为：ns1.dynadot.com、ns2.dynadot.com。。。。。。。。其次有80个（约9.6%）域名的剖析效劳器为ns2.dnsowl.com、ns1.dnsowl.com、ns3.dnsowl.com。。。。。。。。
对这些域名的注册时间举行剖析统计 ，，，，，，其中大部分域名在2022年时代注册 ，，，，，，占比约为85%。。。。。。。。
在CNAME为*gand.run的条件下 ，，，，，，进一步筛选注册时间在2022年 ，，，，，，域名效劳器为dnsowl.com和dynadot.com的域名 ，，，，，，总共有3587条 ，，，，，，约占87.7%。。。。。。。。
2022年4月下旬
其中 ，，，，，，与本次某大型互联网公司中招事务特征完全相符的域名最早注册于2022年4月16日。。。。。。。。切合上述条件且在该日期之后剖析的域名信息如下 ，，，，，，并且均CNAME到site01.ganb.run。。。。。。。。这些域名大大都被用于前端的垂纶。。。。。。。。
2022年4月上旬
注册时间在4月上旬的垂纶域名 ，，，，，，主要剖析至103.118.40.246（中国香港）。。。。。。。。
103.118.40.246同样是中国香港的效劳器。。。。。。。。该ip近期曾被域名3e9f685443d1b75d932bf7ebf2903075[.]npfnwzo.cn剖析 ，，，，，，该域名名堂和会见后页面切合本次运动特征。。。。。。。。npfnwzo.cn保存注册人信息 ，，，，，，注册时间为2022年2月19日。。。。。。。。
2022年5月
103.61.0.110是中国香港的效劳器 ，，，，，，监测到其或许从2022年4月29日最先被剖析至与该运动相关的垂纶域名。。。。。。。。
103.79.54.29（中国香港） ，，，，，，监测到其或许从2022年5月11日最先被剖析至与该运动相关的垂纶域名。。。。。。。。主要CNAME到site001.ganb.run、site01.ganb.run。。。。。。。。
后台API域名
发明切合本次运动特征的多个后台api域名（如下表所示）。。。。。。。。这些域名除api.ganbganb.run外 ，，，，，，均在3月或4月初注册。。。。。。。。并且大多剖析至位于中国香港的效劳器 ，，，，，，同时CNAME至*.ganb.run。。。。。。。。而在4月下旬最先 ，，，，，，并没有监测到api.*.*的域名剖析。。。。。。。。跟踪到的api域名也并不会CNAME至*.ganb.run。。。。。。。�？？？？ ？梢苑聪蛲撇� ，，，，，，在4月下旬后 ，，，，，，攻击者对其基础设施的架构举行过调解 ，，，，，，将前端和后台举行了拆分 ，，，，，，以隐藏后台的api域名。。。。。。。。
最近运动
近期跟踪 ，，，，，，发明较量活跃的攻击者的基础设施。。。。。。。。如下：
总结
综上信息 ，，，，，，推测该垂纶运动可能于2021年12月尾左右最先 ，，，，，，主要攻击方法为通过诓骗邮件（如伪装成“津贴”、“ETC”等涉及民生相关主题） ，，，，，，诱导目的使用手机扫描二维码会见垂纶页面。。。。。。。。垂纶页面会网络受害者银行卡信息 ，，，，，，以举行后续的恶意运动 ，，，，，，如骗取钱财。。。。。。。。其相关运动在2022年2月尾被邮件清静厂商和政府媒体预警披露过。。。。。。。。唬�；； ；；谏鲜銎饰� ，，，，，，梳理的垂纶运动要害节点：
●2021年12月21日 ，，，，，，注册域名ganb.run ，，，，，，最先垂纶运动
●2022月2月末 ，，，，，，垂纶运动被邮件清静厂商披露
●2022年4月下旬 ，，，，，，接纳新的基础设施架构 ，，，，，，通过使用类似*.kjhdf[.]uno（如546a2cd984338f4ec6091d63c394be61.kjhdf[.]uno）的DGA域名垂纶 ，，，，，，*为随机天生的32位字符串。。。。。。。。并将举行主要操作（如发送手机验证码、银行卡验证）的api效劳器在前端的JS框架设置和挪用 ，，，，，，以举行隐藏。。。。。。。。
现在 ，，，，，，该垂纶运动还在一连举行 ，，，，，，攻击者还在一直更新升级系统 ，，，，，，更新基础设施。。。。。。。。
4月上旬关联到的域名npfnwzo.cn保存注册人信息 ，，，，，，注册时间为2022年2月19日。。。。。。。。注册信息如下：
注册人：高友恒
注册邮箱：zq50zk@163.com
通过检索 ，，，，，，发明该邮件至少关联到200多个域名 ，，，，，，这些域名基本都以“*（随机字符串）.cn”泛起。。。。。。。。
现在意昂体育-科技赋能场景,让娱乐更有趣!威胁情报中心赋能的全线产品及外部相助同伴 ，，，，，，包括天眼高级威胁检测系统、SOC、态势感知、ICG等 ，，，，，，已经支持相关攻击的检测和阻断。。。。。。。。
参考链接
[1]https://www.cacter.com/news/672
连忙拨打
京公网安备11000002002064号