![Windows](https://ydanquan.com/wp-content/uploads/2024/06/Windows.jpg)
新的网络钓鱼活动使用滥用 Windows 搜索协议 (search-ms URI) 的 HTML 附件来推送托管在远程服务器上的批处理文件,从而传播恶意软件。
Windows 搜索协议是一个统一资源标识符 (URI),使应用程序能够打开 Windows 资源管理器以使用特定参数执行搜索。
虽然大多数 Windows 搜索将查看本地设备的索引,但也可以强制 Windows 搜索查询远程主机上的文件共享并使用搜索窗口的自定义标题。
正如 Martin Johns 教授在 2020 年论文中首次强调的那样,攻击者可以利用此功能在远程服务器上共享恶意文件。
2022 年 6 月,安全研究人员设计了一个强大的攻击链,该攻击链还利用 Microsoft Office 缺陷直接从 Word 文档启动搜索。
Trustwave SpiderLabs 研究人员现在报告称,威胁行为者在野外使用了这种技术,他们使用 HTML 附件在攻击者的服务器上启动 Windows 搜索。
滥用 Windows 搜索
Trustwave 报告中描述的最近攻击始于一封恶意电子邮件,其中包含伪装成小型 ZIP 存档中发票文档的 HTML 附件。 ZIP 有助于规避安全/反病毒扫描程序,这些扫描程序可能无法解析存档中的恶意内容。
![Email attachment](https://ydanquan.com/wp-content/uploads/2024/06/attachment.jpg)
资料来源:Trustwave
HTML文件使用<meta http-equiv=“refresh”>标签使浏览器在打开HTML文档时自动打开恶意URL。
![HTML file content](https://ydanquan.com/wp-content/uploads/2024/06/html-content.jpg)
资料来源:Trustwave
如果元刷新由于浏览器设置阻止重定向或其他原因而失败,锚标记会提供指向恶意 URL 的可点击链接,充当后备机制。然而,这需要用户采取行动。
![The search prompt and the "failsafe" link](https://ydanquan.com/wp-content/uploads/2024/06/url-link.jpg)
资料来源:Trustwave
在本例中,该 URL 用于 Windows 搜索协议使用以下参数在远程主机上执行搜索:
- 查询:搜索标记为“INVOICE”的项目。
- Crumb:指定搜索范围,通过 Cloudflare 指向恶意服务器。
- 显示名称:将搜索显示重命名为“下载”以模仿合法界面。
- 位置:使用 Cloudflare 的隧道服务来屏蔽服务器,通过将远程资源呈现为本地文件来使其看起来合法。
接下来,搜索从远程服务器检索文件列表,显示名为发票的单个快捷方式 (LNK) 文件。如果受害者单击该文件,则会触发托管在同一服务器上的批处理脚本 (BAT)。
![Search result](https://ydanquan.com/wp-content/uploads/2024/06/server-files.jpg)
资料来源:Trustwave
Trustwave 无法确定 BAT 的用途,因为在他们进行分析时服务器已关闭,但危险操作的可能性很高。
为了防御此威胁,Trustwave 建议通过执行以下命令删除与 search-ms/search URI 协议关联的注册表项:
reg delete HKEY_CLASSES_ROOT\search /f
reg delete HKEY_CLASSES_ROOT\search-ms /f
但是,应该谨慎执行此操作,因为它还会阻止依赖此协议的合法应用程序和集成 Windows 功能按预期工作。