conducting-spearphishing-simulation-campaign

开展鱼叉式网络钓鱼模拟活动

法律声明： 本技能仅用于经授权的安全测试和教育目的。未经授权对您不拥有或未获得书面许可测试的系统使用本技能属于违法行为，可能违反计算机欺诈相关法律。

概述

鱼叉式网络钓鱼模拟是红队用于获取初始访问权限的一种针对性社会工程攻击手段。与广撒网式的网络钓鱼活动不同，鱼叉式网络钓鱼利用 OSINT 收集的情报来精心制作高度个性化的消息，针对特定个人。本技能涵盖开发 pretext、构建 payload、搭建电子邮件基础设施、执行活动以及跟踪结果。

何时使用

• 在开展涉及鱼叉式网络钓鱼模拟活动的安全评估时
• 在遵循相关安全事件的事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 在通过实际操作测试验证安全控制措施时

前提条件

• 熟悉红队相关概念和工具
• 可访问用于安全执行的测试或实验环境
• 已安装所需依赖项的 Python 3.8+
• 任何测试活动均已获得适当授权

目标

• 针对特定目标人员开发具有说服力的 pretext
• 创建能够绕过电子邮件安全控制措施的武器化 payload
• 搭建配置了正确 SPF/DKIM/DMARC 的电子邮件投递基础设施
• 执行具备实时跟踪和指标的网络钓鱼活动
• 记录结果，用于项目报告和安全意识改进

MITRE ATT&CK 映射

• T1566.001 - 网络钓鱼：鱼叉式网络钓鱼附件
• T1566.002 - 网络钓鱼：鱼叉式网络钓鱼链接
• T1566.003 - 网络钓鱼：通过服务进行鱼叉式网络钓鱼
• T1598.003 - 信息网络钓鱼：鱼叉式网络钓鱼链接
• T1204.001 - 用户执行：恶意链接
• T1204.002 - 用户执行：恶意文件
• T1608.001 - 准备能力：上传恶意软件
• T1608.005 - 准备能力：链接目标
• T1583.001 - 获取基础设施：域名
• T1585.002 - 建立账户：电子邮件账户

工作流

阶段 1：Pretext 开发

1. 审查针对目标人员画像的 OSINT 调查结果
2. 识别当前组织事件（并购、项目、新员工入职）
3. 选择 pretext 主题（IT 服务台、HR 福利、供应商沟通、高管请求）
4. 制作带有适当紧迫性和权威性暗示的电子邮件模板
5. 创建模仿目标组织品牌形象的落地页

阶段 2：Payload 开发

1. 根据目标安全控制措施选择 payload 类型：
   • 用于绕过电子邮件网关的 HTML 走私
   • 启用宏的文档（如果宏未被阻止）
   • 包含 LNK payload 的 ISO/IMG 文件
   • 嵌入脚本的 OneNote 文件
   • 链接到凭据收集页面的二维码
2. 针对目标已知的安全技术栈测试 payload
3. 实施 payload 混淆技术
4. 配置到 C2 基础设施的回连

阶段 3：基础设施搭建

1. 注册具有说服力的仿冒域名
2. 使域名经历老化并建立信誉（建议至少 2 周）
3. 配置 SPF、DKIM 和 DMARC 记录
4. 使用 GoPhish 或自定义邮件服务器搭建 SMTP 中继
5. 部署带有 SSL 证书的凭据收集页面
6. 配置跟踪像素和点击跟踪

阶段 4：活动执行

1. 发送测试电子邮件以验证投递和渲染效果
2. 分批启动活动（避免大规模群发）
3. 实时监控电子邮件投递率和打开率
4. 跟踪链接点击和凭据提交
5. 向与网络钓鱼电子邮件交互的用户投放 payload
6. 截取屏幕截图和证据用于报告

阶段 5：活动后分析

1. 计算活动指标（投递率、打开率、点击率、凭据捕获率）
2. 识别向 SOC 报告钓鱼邮件的用户
3. 记录对电子邮件安全控制的绕过情况
4. 将成功的入侵映射到 MITRE ATT&CK
5. 汇总发现以供项目报告使用

工具与资源

工具	用途	许可证
GoPhish	钓鱼活动管理	开源
Evilginx2	带 MFA 绕过的实时凭据收集	开源
King Phisher	钓鱼活动工具包	开源
SET（Social Engineering Toolkit）	多向量社会工程	开源
Modlishka	反向代理钓鱼	开源
CredSniper	凭据收集框架	开源
Fierce Phish	钓鱼框架	开源

验证标准

• 使用 OSINT 数据为特定目标量身定制借口
• 针对电子邮件安全控制测试载荷
• 基础设施配置了正确的电子邮件认证
• 通过投递和交互指标跟踪活动
• 为项目报告收集证据
• 活动后对基础设施执行清理