conducting-phishing-incident-response

开展网络钓鱼事件响应

何时使用

• 用户通过钓鱼报告按钮或滥用邮箱报告收到可疑邮件
• 邮件网关检测到绕过了初始过滤的恶意邮件
• 威胁情报表明存在针对该组织的活跃网络钓鱼活动
• 用户确认自己点击了可疑邮件中的链接或打开了附件
• 凭据已在疑似钓鱼页面上输入

请勿使用于涉及内部账户被入侵的商务电子邮件入侵（BEC）；请使用 BEC 响应流程，其侧重于账户接管调查。

前提条件

• 具备邮件跟踪和隔离功能的邮件安全网关（Microsoft Defender for Office 365、Proofpoint、Mimecast）
• Microsoft 365 管理员访问权限或 Google Workspace 管理员权限，用于邮箱搜索和清除
• 用于附件和 URL 分析的恶意软件沙箱（ANY.RUN、Joe Sandbox、Hybrid Analysis）
• 邮件头分析工具（MXToolbox Header Analyzer、Google Admin Toolbox）
• 用于账户修复的身份提供商访问权限（Azure AD、Okta、Duo）
• 钓鱼报告接收流程（专用邮箱或集成的报告按钮）

工作流

步骤 1：接收并分类钓鱼报告

评估所报告的邮件以确定其是否为恶意：

• 将邮件提取为 .EML 或 .MSG 文件（保留邮件头）
• 分析邮件头以确定真实发件人、中继路径和身份验证结果

Email Header Analysis Checklist:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path:     billing@spoofed-domain[.]com
From:            "IT Support" <support@corp-lookalike[.]com>
Reply-To:        attacker@gmail[.]com (different from From)
SPF:             FAIL (sender IP not authorized for domain)
DKIM:            FAIL (signature invalid)
DMARC:           FAIL (policy: none - no enforcement)
Received:        from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID:      <[email protected]>

分类标准：

• 已确认的钓鱼：恶意 URL/附件、伪造发件人、凭据收集页面
• 可疑：邮件头异常但无已确认的恶意内容
• 垃圾邮件/营销邮件：不受欢迎但非恶意
• 合法：不是钓鱼邮件（误报）

步骤 2：分析恶意内容

在安全环境中检查 URL 和附件：

URL 分析：

• 在 VirusTotal、URLscan.io 和 Google Safe Browsing 中检查 URL
• 在沙箱浏览器中打开 URL 以捕获落地页
• 检查 URL 是否重定向到凭据收集页面
• 识别钓鱼工具包类型（Microsoft 365 登录克隆、Okta 克隆、通用型）
• 确定钓鱼页面是否仍然活跃

附件分析：

• 计算文件哈希（SHA-256）并在 VirusTotal 中检查
• 在沙箱中引爆（ANY.RUN、Joe Sandbox）
• 分析文档中的宏（对 Office 文件使用 olevba）
• 检查是否存在嵌入式漏洞利用（文档解析器中的 CVE 利用）

步骤 3：确定影响范围

识别所有收件人并评估谁与钓鱼邮件发生了交互：

Scope Assessment:
━━━━━━━━━━━━━━━━
Total Recipients:     47 users
Delivered to Inbox:   38 users (9 caught by email gateway)
Opened Email:         24 users (email tracking pixel data)
Clicked Link:         8 users (proxy/firewall logs)
Entered Credentials:  3 users (phishing page submitted form data)
Opened Attachment:    2 users (EDR process execution telemetry)

搜索方法：

• Microsoft 365：使用威胁资源管理器或内容搜索查找该邮件的所有实例
• Google Workspace：使用管理控制台 > 调查工具进行邮件搜索
• 代理日志：搜索来自内部 IP 对钓鱼 URL 的连接
• EDR：在所有终端上搜索附件文件哈希的执行情况

步骤 4：遏制威胁

根据影响评估执行遏制措施：

邮件遏制：

• 使用 Microsoft 365 内容搜索和清除或 Google Workspace 管理员删除，从所有邮箱中清除钓鱼邮件
• 在邮件网关阻止发件人域
• 将钓鱼 URL 添加到 Web 代理阻止列表
• 将附件哈希添加到邮件网关和 EDR 阻止列表

账户遏制（针对输入了凭据的用户）：

• 立即强制重置密码
• 撤销所有活动会话和 OAuth 令牌
• 启用或重新验证 MFA 注册
• 检查邮箱规则中是否存在攻击者创建的转发规则
• 检查是否存在未经授权的 OAuth 应用授权
• 审查近期登录活动是否存在可疑位置

# Microsoft 365: Revoke sessions and reset password
Connect-AzureAD
Revoke-AzureADUserAllRefreshToken -ObjectId "[email protected]"
Set-AzureADUserPassword -ObjectId "[email protected]" -ForceChangePasswordNextLogin $true

# Check for mailbox forwarding rules
Get-InboxRule -Mailbox "[email protected]" | Where-Object {$_.ForwardTo -or $_.RedirectTo}

# Remove suspicious forwarding rules
Remove-InboxRule -Mailbox "[email protected]" -Identity "Rule Name"

步骤 5：根除与恢复

移除钓鱼攻击的所有痕迹：

• 确认所有邮箱中的邮件清除已成功完成
• 验证受损账户已得到保护（更改密码、撤销会话、验证 MFA）
• 从受影响的终端移除通过钓鱼附件安装的任何恶意软件
• 对受损账户进行 72 小时监控，以发现持续未经授权访问的迹象
• 检查在暴露窗口期间受损账户是否存在数据外泄

步骤 6：事件后行动

加强对类似钓鱼攻击的防御：

• 将钓鱼 URL 报告给 Google Safe Browsing 和 Microsoft SmartScreen
• 通过域名注册商滥用联系人提交钓鱼域名以进行下架
• 根据观察到的规避技术更新电子邮件网关过滤规则
• 向受影响用户发送针对性的安全意识通知
• 更新钓鱼模拟计划以包含观察到的技术

关键概念

术语	定义
鱼叉式钓鱼	使用个性化内容为特定个人或组织精心设计的针对性钓鱼攻击
凭据收集	模仿合法登录页面以捕获用户名和密码的钓鱼技术
SPF（发件人策略框架）	指定哪些邮件服务器有权为某个域发送电子邮件的电子邮件认证协议
DKIM（域名密钥识别邮件）	使用加密签名验证电子邮件在传输过程中未被篡改的电子邮件认证方法
DMARC	使用 SPF 和 DKIM 确定电子邮件真实性并指示接收方处理失败情况的策略框架
OAuth 同意钓鱼	诱骗用户授予恶意 OAuth 应用程序访问其电子邮件和数据的攻击
电子邮件标头	每封电子邮件中嵌入的元数据，包含路由、认证和发件人信息，用于取证分析

工具与系统

• Microsoft Defender for Office 365：电子邮件威胁防护，具有用于调查和自动清除的 Threat Explorer
• Proofpoint TAP（针对性攻击防护）：具有 URL 重写和附件沙箱功能的电子邮件安全平台
• URLscan.io：在线服务，可扫描 URL 并捕获钓鱼页面截图作为证据
• PhishTool：钓鱼分析平台，可自动化标头分析、URL 检查和 IOC 提取
• GoPhish：用于安全意识测试的开源钓鱼模拟平台

常见场景

场景：通过 QR 码进行的 Microsoft 365 凭据钓鱼

背景：用户报告收到一封声称来自 IT 的电子邮件，要求重新注册 MFA。该电子邮件包含一个 QR 码，链接到托管在受损 WordPress 站点上的逼真 Microsoft 365 登录页面克隆。

方法：

1. 在沙箱中扫描 QR 码以提取 URL
2. 分析钓鱼页面：捕获凭据和 MFA 令牌（中间人攻击）
3. 使用邮件主题和发件人作为搜索条件，在电子邮件网关中搜索所有收件人
4. 与代理日志交叉比对，以识别访问过钓鱼 URL 的用户
5. 对所有访问过该 URL 的用户强制重置密码并撤销会话
6. 从所有邮箱中清除该电子邮件并阻止发件人域
7. 通过钓鱼电子邮件的可视化示例通知用户关于该特定活动

陷阱：

• 未检查中间人（AiTM）能力，即使启用了 MFA 也会捕获会话令牌
• 仅重置密码而未撤销活动会话（攻击者通过窃取的会话 Cookie 保留访问权限）
• 未搜索攻击者在入侵账户后创建的邮箱转发规则
• 因 URL 扫描工具无法解码 QR 码图像而遗漏 QR 码钓鱼（quishing）

输出格式

PHISHING INCIDENT RESPONSE REPORT
===================================
Incident:          INC-2025-1602
Date Reported:     2025-11-16T09:15:00Z
Reported By:       [email protected]
Classification:    Credential Phishing (AiTM)

EMAIL ANALYSIS
Subject:       "Action Required: MFA Re-enrollment"
Sender:        it-support@corp-security[.]com (spoofed)
SPF:           FAIL | DKIM: FAIL | DMARC: FAIL
Phishing URL:  hxxps://compromised-site[.]com/ms365/login
Phishing Type: Microsoft 365 AiTM credential harvester

IMPACT ASSESSMENT
Recipients:        47
Clicked Link:      8
Credentials Entered: 3 (confirmed via proxy POST data)

CONTAINMENT ACTIONS
[x] Email purged from all 47 mailboxes
[x] Phishing domain blocked at web proxy
[x] Sender domain blocked at email gateway
[x] 3 compromised accounts: passwords reset, sessions revoked
[x] Mailbox forwarding rules reviewed (1 malicious rule removed)
[x] OAuth app grants reviewed (no unauthorized grants found)

IOCs EXTRACTED
Domain:  corp-security[.]com
URL:     hxxps://compromised-site[.]com/ms365/login
IP:      104.21.x.x (Cloudflare-hosted)
Sender:  it-support@corp-security[.]com

RECOMMENDATIONS
1. Implement DMARC enforcement (p=reject) for corp domain
2. Deploy QR code scanning in email gateway
3. Send targeted awareness notification to all 47 recipients
4. Request domain takedown via registrar abuse contact