【钓鱼预警】冒充北森的精准钓鱼攻击，北森用户成目标，恶意载荷藏于加密压缩包

原创

深海捕鱼
深海捕鱼

DeepPhish

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

近期，我们捕获到针对企业员工的精准钓鱼攻击事件。攻击者冒充知名 HR SaaS 厂商 “北森” 系统管理部，以账号异常登录为诱饵投递恶意邮件，试图诱导受害者下载执行加密恶意附件。本文将从攻击投递、恶意链路、IOC 指标等维度拆解此次攻击，帮助企业和个人提升防护意识。

一、初始投递：伪装官方的钓鱼邮件精准投放

攻击者精心构造了极具迷惑性的钓鱼邮件，从发件人伪装、邮件内容到附件命名，全程围绕 “权威”“紧急” 两大核心进行社交工程设计，收件人地址无显示，为BCC密送，可能为模板化批量投递。

1. 发件人伪造：邮件显示发件人为 “北森云系统管理部”，但实际发件邮箱为[email protected]——21cn.com是中国电信旗下个人免费邮箱，与北森官方使用的beisen.com阿里企业邮箱无任何关联，属于典型的身份冒充。
2. 内容诱导：邮件主题标注 “【紧急】关于贵司在北森平台账号出现异常登录风险的预警通报”，正文明确提及企业招聘门户company-name.zhiye.com，并制造 “逾期将转为深度冻结” 的紧迫感，要求受害者下载附件处理。
3. 附件伪装：附件命名为 “2026-05-07\_company-name招聘门户\_异常登录 IP 轨迹及受影响账号清单.rar”，大小 880KB，且设置密码zhiye_20260x0x（密码嵌入邮件正文），利用密码保护特性绕过邮件网关扫描。

二、点击 / 下载链路：无 URL 攻击，恶意载荷藏于附件

与常规钓鱼邮件诱导点击恶意 URL 不同，此次攻击全程未使用恶意链接，而是将恶意载荷完全封装在加密 RAR 附件中，攻击链路更隐蔽：

1. 诱饵诱导下载：受害者因邮件中 “账号异常” 的紧急提示，极易信任并下载标注 “账号清单” 的压缩包附件；
2. 密码解压触发风险：受害者使用邮件内提供的密码zhiye_20260x0x解压附件后，会执行其中的恶意可执行exe文件，仿冒doc文件图标；

3. 恶意行为落地：经 VirusTotal（VT）沙箱行为分析（检测链接：https://www.virustotal.com/gui/file/cc053c6cfc4c66fb11712d8f76f5dc6d8274b8b2413c4519474c94b3fac3d9b3/behavior）确认，解压后的载荷为恶意样本，一旦执行将导致终端被控制、数据泄露等严重后果。
4. 该样本为squidloader，具备持久化窃密、加密C2和自身反调试等高级功能。

文件版本伪装：

利用todesk远控：

收件人打开时则给出“文件已损坏的”虚假提示：

国外友商对该家族的报告如下所示：

https://www.trellix.com/blogs/research/threat-analysis-squidloader-still-swimming-under-the-radar/

C2地址为：182.92.95.220

攻击链路：攻击者注册个人邮箱→研究目标企业/北森关联信息→构造钓鱼邮件→加密恶意附件→投递邮件→受害者下载解压→执行恶意载荷。

从资产测绘得知，北森企业用户SaaS平台的域名构成方式，基本上为company-name.zhiye.com，因此可以得出攻击者极有可能照猫画虎，发起大规模攻击。

三、相关 IOC列表

1. 邮件层 IOC

2. 附件层 IOC

3. 关联合法域名

四、攻击总结与防护建议

攻击核心特征总结

1. 精准化：针对企业定向攻击，熟知其与北森的合作关系，钓鱼内容高度贴合受害者业务场景；
2. 隐蔽化：放弃传统恶意 URL 攻击方式，改用密码保护压缩包封装恶意载荷，规避网关扫描；
3. 权威冒充：借北森知名 HR SaaS 厂商的身份增加可信度，利用 “账号安全”“紧急处理” 等心理诱导受害者操作。

安全防护建议

🔴 紧急处置（立即执行）

1. 邮件网关封禁钓鱼邮箱[email protected]
2. 全网通报此次钓鱼攻击特征，提醒员工切勿下载相关附件；
3. 终端 EDR / 杀毒软件拦截附件相关 Hash 值，排查是否有终端已执行恶意载荷。

🟡 短期加固（72 小时内）

1. 企业邮箱启用 SPF/DKIM/DMARC 严格校验，拦截无认证的伪造邮件；
2. 配置邮件网关规则，拒绝接收密码保护的压缩包附件；

🟢 长期防护

1. 针对 HR、财务等重点部门开展专项钓鱼演练，提升员工识别能力；
2. 将此次攻击的 IOC 同步至企业威胁情报平台及全网安全控制点，实现全网联防；
3. 定期核查企业对外合作方的官方联系方式，形成标准化核验流程。

钓鱼攻击手段持续迭代，精准化、隐蔽化特征愈发明显。企业需从技术防护、人员意识、流程规范多维度构建防护体系，才能有效抵御此类定向钓鱼攻击。相关模板已更新到DeepPhish反钓鱼训练平台。

点赞、爱心、星标支持我们，在钓鱼中招前打一针疫苗！

• 反钓鱼训练平台：deepphish.cn/apt

• EML安全分析平台：deepphish.cn/eml

• 官网：deepphish.cn

- 官微：Wh0ami1999，加官微拉粉丝群