国安案例公开！一封“简历”邮件，其实是定制木马陷阱

央视新闻披露一起间谍利用伪装求职邮件实施网络攻击窃取国家机密的案例，攻击者通过社会工程学手段诱导目标点击含木马程序的加密简历文档，最终暴露窃取“舰船装备”信息的意图，构成完整网络入侵链条。

01 社工手段：“求学”伪装降低受害人戒备心

攻击者通过精心设计的身份伪装和话术策略，利用目标群体的行为习惯和心理弱点实施心理操控：

身份合情合理：攻击者冒充“在读硕士研究生”，以报考研究生导师为名义发送邮件。国内高校教授频繁收到此类申请邮件是常态，攻击者利用这一常规场景降低目标的怀疑。
措辞委婉，降低警觉：邮件采用谦逊语气，强调“合作请求”，未提及金钱或敏感信息，规避了收件人第一时间的警惕性。例如，邮件中未直接索要资料，而是以“希望参考研究方向”为借口逐步引导。
引导行为路径：攻击者通过“附件+密码”的发送方式规避技术拦截。密码在邮件正文中明文提供，诱导收件人手动输入密码解压附件，从而绕过邮件网关的静态规则检测和杀毒软件的自动扫描。

技术本质：此类攻击属于社会工程钓鱼（Spear Phishing），其核心是通过建立“信任感”而非暴力破解实现入侵。攻击者利用人性中“帮助他人”的心理倾向，使目标主动完成危险操作。

图：攻击者发送的伪装求职邮件界面（模拟示意图）02 技术攻击：文档型木马执行潜伏控制

邮件中的Word文档通过多层次技术伪装实现攻击，形成“植入-控制-窃取”的完整链条：

加密压缩绕过初级检测：
恶意文档被压缩并加密，密码通过邮件正文提供，迫使收件人手动解压。此举可绕过邮件网关对附件的静态规则检测，以及杀毒软件对压缩包内文件的扫描。
例如，部分木马使用AES等加密算法隐藏恶意代码，仅在用户输入密码解压后释放。
内容混淆与格式伪装：
攻击者通过修改文件头信息、嵌套恶意OLE对象或宏代码等方式，使文档外观与普通简历无异。例如，将恶意脚本隐藏在文档的“隐藏文字”或“自定义XML”中。
部分高级攻击甚至利用文档漏洞（如CVE-2017-11882）在无需用户交互的情况下执行代码。
静默部署与持久控制：
木马程序在后台运行后，会建立反向TCP连接或使用DNS隧道与攻击者服务器通信，实现长期驻留。
通过修改系统注册表、创建计划任务或感染系统文件等方式，确保设备重启后仍受控制。
此类攻击可窃取终端数据（如文档、截图、键盘记录），甚至横向渗透至内网其他设备。

攻击特征：该案例已超越单纯的信息探测，属于“诱导式渗透”行为。攻击者通过社会工程学降低目标戒备，再利用技术手段实现持久控制，最终目标为核心系统数据窃取。

03 防御建议：技术拦截与人员培训双管齐下

针对此类威胁，需构建“技术防护+人员意识”的双重防线：

技术防护：
部署邮件安全网关（如磐邮御邮舰），通过附件分析引擎自动识别明文密码并解密附件内容，结合云端沙箱仿真提取静态特征，拦截0-day漏洞利用或APT工具。
启用终端杀毒软件的实时监控功能，对可疑文档执行行为分析（如检测异常网络连接、注册表修改等）。
人员培训：
定期开展钓鱼邮件识别演练，重点培训“附件+密码”“紧急请求”“超链接跳转”等常见套路。
建立内部举报机制，鼓励员工对可疑邮件进行上报并由安全团队分析。
制度完善：
严格限制敏感信息的访问权限，实施最小权限原则。
对涉及“舰船装备”等核心领域的研究人员，加强背景审查与设备管控。

结语

本案揭示了邮件威胁的“精准化+社交伪装”趋势。攻击者通过社会工程学降低目标戒备，再利用技术手段实现长期渗透，最终窃取国家机密。防御需结合技术拦截与人员意识提升，形成动态闭环防护体系。

热门标签