论坛首页 > 技术文章投稿区 > 技术文章

(转载)钓鱼的六种方法以及如何防范科普向

nicky · 发表于 2020-02-28 21:12:24 · 技术文章

![](/upload/md/77313a2a9c165b040807760f8e20ba9b_87736.jpg)
对于黑客来说无论一个公司规模的大小，它们总是能成为黑客潜在的钓鱼目标。如果钓鱼攻击成功的话会对一个公司的声誉以及客户产生一个负面的影响以及财务上的损失。黑客可以使用电子邮件，恶意软件,VOIP, 文本和其它可用通信渠道来进行钓鱼从而达到破坏公司数据的目的。

统计数据表名钓鱼攻击是存在的，很多公司或者机构被黑客盯上。Verizon(一个机构)的《2019年数据泄露报告》(https://enterprise.verizon.com/resources/reports/dbir/)显示，2018年三分之一的数据泄露都是由于钓鱼攻击造成的。其中恶意电子邮件占据了90%。黑客每个月会建大约150万个比较真实的钓鱼网站。

近年来，网络钓鱼攻击不断上升，黑客不断更新自己的钓鱼技术然后扩大其钓鱼目标，无论是大公司还是小公司。

对于企业而言，做好预防措施比较重要。解决已知的风险比未知更加容易。下面是该作者提出6种黑客常用的网络钓鱼进攻方法

## 1.欺骗性/克隆性钓鱼网站
克隆网站是一种比较传统的钓鱼方法。这也是黑客欺骗目标公司员工的钓鱼类型。如果受害目标输入自己的账号密码到假网站的时候，黑客可以通过这些信息来冒充该员工从而获得一些关键信息或者是登陆凭证。这样的话黑客可以随意使用该员工或者一个组织散步谣言。

有两种方法可以进行钓鱼:
1.黑客会发一封伪造官方的邮件给受害者要求提供一些关键信息相当于某某某诈骗犯冒充公司老总要求员工把钱转到某某某银行账号里面。
2.黑客会发一封带有恶意链接的邮件给受害者员工诱使该员工输入其账号信息(假如你某名奇妙收到中奖并输入个人关键信息多半是假的)

## 2.基于恶意软件的网络钓鱼技术
该技术包括在受害者电脑上下载并运行某些恶意软件。软件可以是黑客发送给受害者或者是在脆弱的网络环境下发送恶意软件，然后受害者在不知情的情况下下载并尝试运行。、
这种钓鱼技术就是让受害者下载电子邮件附件然后:
 感染数据文件然后进行破坏
 发布勒索软件
 窃取联系人列表然后进行下一步的钓鱼攻击
 启用恶意的应用程序比如键盘记录器
小型企业风险比较大，由于它们依赖免费的软件并且缺乏对员工的安全培训。
一个好的解决方法是定义一个围绕电子邮件附件的过程，然后禁止任何程序的安装，这可以减少对IT人员的压力。

## 3.鱼叉式网络钓鱼
针对个人的网络钓鱼称为鱼叉式网络钓鱼。与传统的随机抽取幸运儿钓鱼技术不同，鱼叉式网络钓鱼是专门针对个人的。黑客们可能会对某个人进行一场专业的谋划或者是有组织的对某个人进行钓鱼窃取重要信息。

电子邮件的扩展，比如说Hunter.io的多功能可能是对于销售人员的福音，但它可以使网络犯罪份子可以更好的识别高层管理人员的电子邮箱。
比如说黑客会有一套“特殊”的信息收集。他们首先会找一个受害者作为目标，然后通过社交媒体，或者人肉查询尽可能收集受害者的所有资料。他们将模拟受害者常用的网站/经理/老板发送一封负有恶意链接的邮件。该邮件可能是要求受害者转账或者要求提供一些登陆凭证来查询财务信息。

鱼叉式网络钓鱼最厉害的是黑客完全可以模仿邮件里的地址非常像或者是模仿上级的语气非常的像。

## 4.鲸钩(whaling)
这种钓鱼方法跟鱼叉式网络钓鱼非常类似不过更加高级。鱼叉式网络钓鱼是具体到某个受害者。而鲸钩是专门针对高层人员。WhatsApp老总被人搞了一波就是鲸钩。高级管理人员模仿捕鲸来窃取某些高级权限的ID能获得敏感数据。
黑客使用以下方法来进行捕鲸:
 从社交媒体提取关键信息以及公开的上市信息
 部署rookit(恶意软件)或病毒来入侵网络
 来自组织上级的电子邮件欺骗
模仿董事长或者CEO更适合快速完成捕鲸而且不会引起目标的怀疑。
为了避免公司高层管理人员上当，建议全体人员进行安全培训。

##5. 假冒来电
此技术是网络钓鱼和语音的融合。Visher使用网络电话来模拟受害者高层的电话号码呼叫受害者。他们会顺便用上社会工程学然后尽可能的以一种非常急迫的语气来命令目标赶快转钱到一个银行账号里面。
举一个例子,在针对韩国银行客户的新的网络钓鱼攻击中，网络钓鱼通常与其他恶意软件攻击一起执行。 Fakebank恶意软件应用程序可以检测到对银行客户支持的呼叫，将其重定向到骗子，并使呼叫者遭受恶意攻击。
有很多组织也报告了假冒攻击，这些攻击可能会带有一些通用信息,"xx快点把钱转过去，唉，把你的账号密码给我用一下"这种。高层人员请务必反复确认其信息的真实性。

## 6.Phraming(好像也是欺骗)
黑客会使用工具将流量重定向到伪造的钓鱼网站那里。对于目标来说这几乎是一个真实的网站。这种技术称为"Phraming".通常黑客会用这种技术来攻击在线银行或者商务网站。
Phraming触发的条件:
DNS服务器上有故障
主机文件在目标系统重新排序
系统/网络缺乏安全管理

近些年来路由器和Host已经成为phraming的新宠。但是如果事先把DNS服务器的漏洞给补上这样可以预防一些Phraming的攻击。因为黑客更有可能在管理员的控制下选择与合法DNS相对应的DNS。最好的方法是在他们进行攻击的时候把漏洞给补上。因此防止信息泄露,管理人员必须了解组织安全结构中的漏洞信息。

所以说每个商业公司最好养一只网络安全团队来模拟并找出潜在的信息泄露或者是其它漏洞。

## 总结:
其实有很多方法可以预防黑客网络钓鱼，安装杀毒软件，不过提升员工的安全人员意识更有用(完)

引用: Joydeep Bhattacharya, 2019.11 << Tricks Phishers Use to Trick Your Employees And How to Remain Safe>>
原文地址:https://dzone.com/articles/6-tricks-phishers-use-to-trick-your-employees-and

用户名	金币	积分	时间	理由
奖励系统	100.00	0	2020-07-21 11:11:42	投稿满 10 赞奖励
奖励系统	50.00	0	2020-07-17 09:09:58	投稿满 5 赞奖励

打赏我,让我更有动力~

1 条回复 | 直到 2020-7-21 | 1146 次浏览

嘿静儿
发表于 2020-7-21

加油~~~~

评论列表

加载数据中...

编写评论内容

登录后才可发表内容

(转载)钓鱼的六种方法以及如何防范科普向

评论列表 默认排序 默认排序 最新回复

评论列表