Unicode控制字元:RTLO技巧命名攻擊

Unicode控制字元:RTLO技巧命名攻擊

一個很古老的攻擊手法了,也滿有趣的,就紀錄順便分享一下。
首先我們可以看一則先前技服的通報資訊:

國家資通安全會報 技術服務中心
內容說明:
技術服務中心於近日接獲通報,駭客偽冒行政院院長室發送社交工程攻擊信件,內文中包含有關人員之簽名檔,製作惡意程式(使用RTLO方法)誘使使用者點擊,以取得使用者權限或執行遠端程式。當使用者點擊這類檔案時,可能於受攻擊成功後遭植入惡意程式,攻擊者將可控制受害系統執行任意惡意行為。
該手法係利用作業系統解讀檔案名稱時,若遇到Unicode控制字元,會改變檔案名稱的顯示方式進行攻擊。駭客可以在檔案名稱中,插入特定的Unicode控制字元,導致作業系統在顯示該檔案名稱時,誤導使用者。
例如,駭客可能將惡意程式命名為:提醒[202E]TXT.SCR,即會顯示為:提醒RCS.TXT,讓收件人誤以為是純文字檔,提升點擊的機率。
本中心已發現使用該弱點之惡意文件,經由電子郵件進行攻擊。建議使用者參照以下建議措施來防堵這類的攻擊手法。

來源
[資安] 駭客偽冒行政院院長室發送社交工程攻擊信件

其他參考
< APT 攻擊>看起來是 .PPT 附件,竟是 .SCR !!針對台灣政府單位的 RTLO技術目標攻擊(含社交工程信件樣本)

Demo

CASE 1

1.開NOTEPAD,PGJ
2.在PGJ前面按下右鍵,插入unicode控制字元,RLO
3.這樣就會變成副檔名看起來是JPG的執行檔

CASE 2

1.新增一個副檔名BAT,隨便輸入一個檔名後面加上PGJ
2.在PGJ前面按下右鍵,插入unicode控制字元,RLO
3.這樣就會變成副檔名看起來是JPG的執行檔

可以簡單的利用其他工具,譬如resource hacker,去修改掉這個圖示(icon),讓檔案看起來更像是真的,不過也只是檔名跟圖示會偽裝而已,如果針對檔案點右鍵看內容,裡面檔案類型還是會是最原本真實的。

發佈留言

Close Menu