随着安全产品对钓鱼网站的检测能力日益提高，邮件安全网关已经检测和阻止大部分携带传播钓鱼网站的钓鱼邮件。然而道高一尺魔高一丈，防御策略的改进也迫使专门从事网络钓鱼的威胁行为者不断改进他们的技战术。

近期，安全研究员捕获了多封逃避网关拦截的钓鱼邮件，攻击者利用合法的邮件服务器发送恶意邮件，引导受害者打开html附件，最终捕获受害者输入的凭据信息。本文将就事件中的钓鱼html附件进行分析与探究。

亮点：利用html附件传播钓鱼网站

亮点：通过JavaScript代码混淆、释放

亮点：使用“debugger;”反分析技术

寻找HTML页面对应的钓鱼服务器最直接的方式，就是打开“开发人员工具”面板并查看网络选项卡。但是当研究员在该HTML页面上打开开发人员工具时，会看到一条“debugger paused”异常信息，这是由于在混淆的JavaScript中使用了“debugger;”的反分析/反调试技术，具体见开源项目地址：https://github.com/weizman/awesome-javascript-anti-debugging

借助开源项目，类似的机制很容易实现。当这种反分析技术被钓鱼网站广泛应用，可能会有效阻碍恶意钓鱼服务器的分析溯源和应急效率，从而增加恶意钓鱼活动的存活时间周期。