新型PDF二维码攻击规避检测系统并窃取凭证
💡
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
一种名为"Scanception"的复杂钓鱼攻击通过在PDF中嵌入恶意QR码，绕过传统安全措施窃取用户凭证。攻击者伪装成合法邮件发送PDF，恶意二维码位于最后一页，规避自动化扫描。受害者扫描后被重定向至伪造登录页面，攻击者可窃取凭证并绕过多因素认证，长期驻留在被入侵环境中。
🎯
关键要点
- Scanception是一种复杂的钓鱼攻击，利用PDF中的恶意QR码窃取用户凭证。
- 攻击者伪装成合法邮件，发送包含恶意QR码的PDF，通常冒充人力资源手册或公司公告。
- 恶意QR码位于PDF的最后一页，规避了自动化安全扫描的检测。
- 攻击者利用合法重定向服务网络掩盖恶意意图，降低了基于信誉的安全系统的检测可能性。
- 钓鱼网站通过复杂的检测机制识别自动化分析工具，阻止进一步分析。
- 凭证窃取采用中间人攻击方法，窃取的凭证通过动态生成的端点外泄。
- 攻击者能够绕过多因素认证，长期驻留在被入侵的Microsoft 365环境中。
❓
延伸问答
Scanception攻击是如何工作的？
Scanception攻击通过在PDF中嵌入恶意QR码，伪装成合法邮件，诱使用户扫描，从而窃取凭证。
攻击者如何确保恶意QR码不被检测？
攻击者将恶意QR码放在PDF的最后一页，规避了自动化安全扫描器的检测。
Scanception攻击如何绕过多因素认证？
攻击者通过保持开放的通信通道，提示受害者提供额外的认证数据，从而绕过多因素认证。
受害者在扫描恶意QR码后会发生什么？
受害者会被重定向到伪造的登录页面，攻击者可以窃取其凭证。
Scanception攻击的目标受众是谁？
该攻击主要针对企业员工，尤其是那些依赖移动设备扫描二维码的用户。
攻击者如何利用合法重定向服务？
攻击者利用包括YouTube和Google等合法重定向服务掩盖恶意意图，降低检测风险。
➡️
