mcpField
D
detecting-qr-code-phishing-with-email-security

detecting-qr-code-phishing-with-email-security

github.com/mukul975安全35.2k65 次安装8 周前更新
代码仓库

关于 detecting-qr-code-phishing-with-email-security

面向安全运营团队的二维码钓鱼检测技能，提供邮件、二维码 URL 和移动设备侧的防护流程，并涵盖检测规则与用户培训。内容侧重配置和验证监控措施。

主要功能

  1. 01扫描邮件图像与附件中的二维码
  2. 02分析二维码解码出的 URL
  3. 03部署移动端二维码防护
  4. 04建立邮件检测与告警规则
  5. 05开展识别培训和模拟演练

适用场景

  1. 01调查包含二维码的可疑邮件
  2. 02验证对拆分或 ASCII 二维码的检测能力
  3. 03将二维码 URL 纳入沙箱分析
  4. 04检查移动设备对恶意链接的防护

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-qr-code-phishing-with-email-security

安装后在 Claude Code 中输入/detecting-qr-code-phishing-with-email-security确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

使用邮件安全检测二维码钓鱼

概述

二维码钓鱼（quishing）是一种快速增长的攻击方式，攻击者将恶意 URL 嵌入钓鱼邮件中的二维码图像。2025 年 8 月至 11 月期间，quishing 事件从 46,000 起增长至 250,000 起，增长了五倍，其中凭据钓鱼占已检测事件的 89.3%。传统邮件安全过滤器难以应对，因为二维码无法被人类或标准 URL 扫描器读取，而且用户扫描时通常使用缺乏企业安全管控的个人移动设备。攻击者已演进出使用拆分二维码（两张独立图像）、嵌套二维码和基于 ASCII 文本的二维码来规避检测。

何时使用

  • 在调查需要检测二维码钓鱼且涉及邮件安全的安防事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前置条件

  • 具备图像分析能力的邮件安全网关
  • 了解二维码结构和编码
  • 移动设备管理（MDM）或移动威胁防御解决方案
  • 安全意识培训计划
  • 用于关联和告警的 SIEM 平台

关键概念

为什么 Quishing 有效
  1. 绕过 URL 扫描器：传统网关扫描基于文本的 URL，但无法解码嵌入图像的 URL
  2. 转移到未受保护的设备：企业邮件到达受保护的系统，但二维码扫描发生在个人移动设备上
  3. 用户信任：二维码在日常生活中已常态化（支付、菜单、停车）
  4. 低检测率：只有 36% 的 quishing 事件被收件人准确识别
规避技术（2025）
  • 拆分二维码：二维码被分成两张独立图像，单独看均显得无害（Gabagool PhaaS 套件）
  • 嵌套二维码：二维码中包含二维码，首次扫描会导向中间页面
  • ASCII 二维码：二维码以文本字符而非图像呈现，绕过图像分析（2026 年 1 月占攻击的 12%）
  • 样式化/艺术化二维码：带有 logo 的定制设计二维码，可规避模式匹配
  • PDF 附件二维码：二维码嵌入 PDF 附件而非邮件正文
检测挑战
  • 基于模式的检测面临权衡：激进调优会导致误报，谨慎调优会导致漏检
  • quishing 邮件与合法二维码邮件的平均相似度得分为 0.209
  • 图像附件中的二维码需要 OCR 和深度图像处理

工作流

第 1 步：启用基于图像的威胁检测
  • 配置邮件网关以扫描嵌入图像中的二维码
  • 对图像附件（PNG、JPG、GIF、BMP）启用 OCR 处理
  • 部署结合图像处理、OCR 和 NLP 分析的多模态 AI
  • 配置 PDF 扫描以检测附件中的二维码
  • 设置对 ASCII/基于文本呈现的二维码的检测
第 2 步：配置二维码 URL 分析
  • 从检测到的二维码中提取 URL 并提交至 URL 信誉服务
  • 对二维码提取的 URL 应用与基于文本的 URL 相同的 URL 扫描策略
  • 对二维码解码后的目标页面启用实时沙箱分析
  • 尽可能为二维码提取的 URL 配置点击时保护
  • 阻止从二维码中提取的已知钓鱼域名
第 3 步：部署移动端保护
  • 实施具备二维码扫描能力的移动威胁防御（MTD）
  • 部署 Palo Alto ALFA 或等效的安全设计型二维码扫描
  • 配置 MDM 策略，在用户打开扫描到的 URL 前发出警告
  • 为二维码扫描到的目标启用企业 VPN/安全浏览器
  • 在移动代理层面阻止已知的凭据收集域名
步骤 4：构建检测规则
  • 对仅包含图片和少量文字的邮件发出警报（这是常见的二维码钓鱼模式）
  • 标记来自首次联系的外部发件人且包含二维码图片的邮件
  • 检测同时包含紧急措辞和二维码的邮件
  • 对冒充 IT／安全团队并要求扫描二维码以设置 MFA 的邮件发出警报
  • 监控常见的二维码钓鱼主题：MFA 重置、文档签署、语音邮件通知
步骤 5：培训用户识别二维码钓鱼
  • 更新安全意识培训计划，纳入二维码钓鱼场景
  • 使用受控二维码开展二维码钓鱼模拟活动
  • 教导用户在输入凭据前验证二维码目标 URL
  • 建立可疑二维码邮件的举报流程
  • 分发安全扫描二维码的指南

工具与资源

  • Barracuda Multimodal AI：用于二维码检测的 OCR 和深度图像处理
  • Palo Alto ALFA：安全优先的二维码扫描评估
  • Microsoft Defender for O365：检测邮件图片中的二维码
  • Proofpoint TAP：基于图像的威胁分析和二维码解码
  • Lookout/Zimperium：具备二维码扫描功能的移动威胁防护

验证

  • 在受控测试中检测到二维码钓鱼邮件
  • 捕获分拆二维码和 ASCII 二维码规避技术
  • 将从二维码中提取的 URL 提交至沙盒分析
  • 移动设备对恶意二维码目标发出警报
  • 用户举报二维码钓鱼模拟活动的比率超过 50%
  • 二维码检测的误报率低于 1%

评论

支持 Markdown