本院近期發現,攻擊者偽冒財政部名義並以稅務調查為由,發動社交工程郵件攻擊,誘導收件者開啟並下載與執行惡意附檔。
建議貴單位加強防範與通知各單位提高警覺,避免點擊郵件附檔與連結,以免受駭。
已知攻擊郵件特徵如下,相關受駭偵測指標請參考附件。
1. 駭客寄送之主旨:
「稅稽徵機關調查通知」、
「稅務抽查涉稅企業名單」
2. 惡意附檔名稱:
「稅務涉稅企業.pdf」、
「查閱1140120.zip」、
「稅務抽查涉稅企業名單.pdf」、
「涉稅企業名單.zip」
3. 相關惡意中繼站:
206[.]238[.]221[.]240、
9010[.]360sdgg[.]com、
rgghrt1140120-1336065333[.]cos[.]ap-guangzhou[.]myqcloud[.]com、
fuued5-1329400280[.]cos[.]ap-guangzhou[.]myqcloud[.]com、
6-1321729461[.]cos[.]ap-guangzhou[.]myqcloud[.]com、
00-1321729461[.]cos[.]ap-guangzhou[.]myqcloud[.]com
4. 惡意附檔SHA1雜湊值:4dd2a6de2c37e63d3bc239ae50068aaecbd611e3、
5e43b6d336a98344c2429b0073899844b17332c2、
e45cd29f904ab54e0d7f831982c7a78b4a370e9d、
7629f699f10f6230d7778b4800df12d3a557f1a4
註:相關網域名稱為避免誤點觸發連線,故以「[.]」區隔。
|