两封发票主题攻击邮件分析

一大早收到两封“发票主题”攻击邮件。

0×1基本情况

3月6日上午，邮箱连续收到两封以税务发票“Tax Invoice”为主题的邮件，全部是英文信息，接收时间分别是早上8：27和9：15，附件是windows系统.cab压缩格式文件，内含PE文件，初一看，是一个很直接、很low的攻击方式。

NfEB3iI.jpg!web

FBR7zeM.jpg!web

其中第二封邮件的附件没有接收完全（仅仅336B），第一封邮件包含完整的PE文件（cab文件大小为1.02M），利用WINRAR打开，两个.cab文件如下图所示，其中内含的两个exe分别创建于2020年3月5日的22：18和23：13，文件创建时间很接近。

RJbAveM.jpg!web

fuIV7nR.jpg!web

0×2邮件头分析

本地邮件接收客户端是outlook，两封邮件寄送地址分别是[email protected]和[email protected]，两封邮件在outlook主页面看不到具体的收件人信息。

查看两封邮件的头部，分别如下，已去掉收件方相关信息：

邮件邮件头邮件1

X-Barracuda-Envelope-From: [email protected]

X-Barracuda-Effective-Source-IP: server.marinebiz.tv[95.168.186.145]

X-Barracuda-Apparent-Source-IP: 95.168.186.145

Received: from [::1] (port=52094 helo=server.marinebiz.tv) by

server.marinebiz.tv with

esmtpa (Exim 4.92) (envelope-from

<[email protected]>) id 1jA0pC-0001rb-Ti; Fri, 06 Mar 2020

05:56:47 +0530

MIME-Version: 1.0

Content-Type: multipart/mixed;

boundary=”=_b3c3f613c183dc3457d3a967d71d9688″

Date: Fri, 6 Mar 2020 05:56:46 +0530

From: “Lalitha .S ” <[email protected]>

To: undisclosed-recipients:;

Subject: Invoice No. 013696.

Message-ID:

<[email protected]>

X-ASG-Orig-Subj: Invoice No. 013696.

X-Sender: [email protected]

User-Agent: Roundcube Webmail/1.3.8

X-AntiAbuse: This header was added to track abuse, please

include it with any abuse report

X-AntiAbuse: Primary Hostname – server.marinebiz.tv

X-AntiAbuse: Original Domain – xxx.com.cn

X-AntiAbuse: Originator/Caller UID/GID – [47 12] / [47 12]

X-AntiAbuse: Sender Address Domain – orcspain.es

X-Get-Message-Sender-Via: server.marinebiz.tv:

authenticated_id: [email protected]

X-Authenticated-Sender:

server.marinebiz.tv: [email protected]

邮件2

X-Barracuda-Envelope-From: [email protected]

X-Barracuda-Effective-Source-IP: server.marinebiz.tv[95.168.186.145]

X-Barracuda-Apparent-Source-IP: 95.168.186.145

Received: from [::1] (port=56596 helo=server.marinebiz.tv) by

server.marinebiz.tv with

esmtpa (Exim 4.92) (envelope-from

<[email protected]>) id 1jA1ZW-000FZ3-9n; Fri, 06 Mar 2020

06:44:38 +0530

MIME-Version: 1.0

Content-Type: multipart/mixed;

boundary=”=_10de085ef3812b51106adcb305befeaa”

Date: Fri, 6 Mar 2020 06:44:38 +0530

From: Arun Khanduja <[email protected]>

To: undisclosed-recipients:;

Subject: Tax Invoice for the Unit

Reply-To: <[email protected]>

X-ASG-Orig-Subj: Tax Invoice for the Unit

Mail-Reply-To: [email protected]

Message-ID:

<[email protected]>

X-Sender: [email protected]

User-Agent: Roundcube Webmail/1.3.8

X-AntiAbuse: This header was added to track abuse, please

include it with any abuse report

X-AntiAbuse: Primary Hostname – server.marinebiz.tv

X-AntiAbuse: Original Domain – xxx.com.cn

X-AntiAbuse: Originator/Caller UID/GID – [47 12] / [47 12]

X-AntiAbuse: Sender Address Domain – leviton.com

X-Get-Message-Sender-Via: server.marinebiz.tv:

authenticated_id: [email protected]

X-Authenticated-Sender:

server.marinebiz.tv: [email protected]

虽然，从邮件头我们可以看到，这两封邮件分别是以[email protected]和[email protected]账户发出，其中[email protected]的名称为Lalitha .S，[email protected] 的名称是Arun Khanduja，两个账户名称差异很大，好像攻击者不是同一个人。

但是，经过分析后还是认为两封邮件属于同一攻击来源，主要根据如下：

1.两封邮件都是从server.marinebiz.tv发出，authenticated_id都是[email protected]。
2.显示的收件人地址是“Undisclosed-Recipient”（导致在outlook无法看到收件人信息），Undisclosed-Recipient设置可以让收件人收到邮件后无法查看收件人信息，用于群发邮件的时候，不让收件人看到其他接收邮件人的地址。
3.都利用Roundcube Webmail/1.3.8软件用于群发邮件，并且发送时间间隔很短。

server.marinebiz.tv的域名解析地址是：95.168.186.145，位于英国伦敦，直接telnet 95.168.186.145 25端口获取banner信息，确实是部署Exim4.92用作邮件发送服务器。

FB3Eb2q.jpg!web

另外，telnet 95.168.186.145 110的端口信息如下：

Ez6jqu6.jpg!web

邮件接收服务器则是采用Dovecot， Dovecot是一个开源的 IMAP 和 POP3 邮件服务器，支持 Linux/Unix 系统。

访问95.168.186.145的80端口，访问页面如下：

3eiiyaU.jpg!web

从该页面可以，该IP是属于cPanel公司的服务器，通过搜索发现cPanel是一个托管平台。

因此，可以初步判断[email protected]是server.marinebiz.tv服务器的注册账户，攻击者利用该台服务器发起邮件攻击。网络搜索[email protected]相关信息，发现该邮件地址是2020年ShipTek国际海事大奖的对外联系邮箱，该颁奖会议将于2020年4月7日在迪拜的Dusit Thani酒店举办。如下图所示：

ueeuey7.jpg!web