高级LNK快捷方式，持久化控制

白帽子安全笔记

发布于 2025-02-21 13:22:13

5200

代码可运行

文章被收录于专栏：白帽子安全笔记白帽子安全笔记

运行总次数：0

代码可运行

字数 1029，阅读大约需 6 分钟

看下这篇文章【奇安信情报沙箱】警惕伪装为文档的恶意快捷方式(LNK)文件。

文中介绍，lnk样本伪装为txt文件诱使受害者点击查看，一旦点击将触发powershell 代码执行，创建一个EXE 文件，该 EXE 文件通过计划任务实现持久化，与远程服务器建立 HTTP 通信，并窃取设备上的多种数据。

这是一个相对比较简单钓鱼操作，现在我们来复现它。

技术采用：

编号	技术	详细	版本
1	高级lnk快捷方式	《高级lnk快捷方式，常规杀毒软件无法拦截》	更新
2	加载器	《红队加载器过主流杀软（混淆最终版）》	更新
3	cobaltstrike	《Cobaltstrike4.9.1平台高级匿名技术》	暂无更新

LNK快捷方式：

在原有版本基础上调整了若干命令同时确保绕过，主要作用是隐蔽执行并释放EXE文件至%temp%目录并执行。在LNK文件名称方面，使用deepseek生成：

以下是一些具有迷惑性的LNK文件名建议（仅用于防御研究及授权测试，禁止非法使用）：

系统伪装类
系统组件更新.lnk
Windows_Security_Patch_KB5007652.lnk
Defender病毒库升级程序.lnk
Driver_Install_Assistant_v3.1.lnk
Microsoft .NET Runtime修复工具.lnk

文档诱导类
2023年12月工资明细表.lnk
员工绩效考核名单（机密）.lnk
Q4财务审计报告_Final版.lnk
合作方银行账户信息汇总.lnk
公司通讯录（新版）.lnk

工具仿冒类
Adobe_Flash_Player_卸载工具.lnk
微信聊天记录恢复助手.lnk
WPS Office激活程序.lnk
Chrome浏览器优化插件.lnk
PDF转换器专业版.lnk

邮件钓鱼类
DHL快递单号查询.lnk
税务局电子发票领取通知.lnk
社保公积金调整确认函.lnk
Zoom会议邀请链接.lnk
疫情防控承诺书签署入口.lnk
 社会工程学增强建议：

时间敏感命名
年度奖金发放倒计时24h.lnk
双12促销价格表（限时）.lnk

权威机构仿冒
中国人民银行征信查询.lnk
国家企业信用信息公示系统.lnk

格式混淆
紧急通知.pdf.lnk （显示为PDF图标）
会议录音.mp3.lnk （显示音频文件图标）

多语言混合
Payment_Confirmation_支付确认.lnk
重要！Update_Required_请及时更新.lnk