微軟的安全情報(bào)研究人員在周二的推文中透露,,攻擊者在最近的一個(gè)網(wǎng)絡(luò)釣魚(yú)活動(dòng)中使用偽造的發(fā)件人地址并使用微軟SharePoint文件作為誘餌進(jìn)行攻擊,其目的是騙取受害者的證書(shū)。該攻擊活動(dòng)針對(duì)的是使用微軟Office 365的機(jī)構(gòu)組織,,通過(guò)使用SharePoint的文件共享功能進(jìn)行攻擊,。研究人員說(shuō),該攻擊活動(dòng)偽造了目標(biāo)用戶名的發(fā)件人地址,,而且還模仿了合法的服務(wù),,該攻擊活動(dòng)比往常更狡猾隱蔽,并試圖繞過(guò)電子郵件過(guò)濾器,。
研究人員說(shuō),,攻擊者通過(guò)發(fā)送電子郵件并在信息中使用了Sharepoint文件作為誘餌。目前這次攻擊活動(dòng)使用了各種主題作為誘餌,,犯罪分子非常猖狂,。
這封電子郵件提醒收件人這里有一個(gè)共享文件請(qǐng)求,這個(gè)人可能是他們錯(cuò)過(guò)的同事,,并在文件中包含了一個(gè)網(wǎng)絡(luò)釣魚(yú)頁(yè)面的鏈接,。研究人員指出,為了使信件顯得更加真實(shí)可信,,據(jù)說(shuō)該文件還包含了某種合法類型的業(yè)務(wù)內(nèi)容,,如員工報(bào)告、獎(jiǎng)金或價(jià)格清單,。
微軟表示,如果用戶上鉤,,他或她最終會(huì)被引導(dǎo)到一個(gè)釣魚(yú)頁(yè)面,,頁(yè)面要求他們用自己的合法憑證登錄Office 365。
鑒于SharePoint協(xié)作平臺(tái)在許多企業(yè)和商業(yè)客戶中被廣泛使用,,它現(xiàn)在是威脅者的一個(gè)熱門(mén)攻擊目標(biāo),。
Heimdal Security公司的網(wǎng)絡(luò)安全研究人員Dora Tudor指出,尤其是利用sharepoint的文件共享功能,,再加上一點(diǎn)欺騙信息,,是現(xiàn)在竊取受害者憑證的一種特別有效的方式。
她在周二的一篇博文中指出:“當(dāng)涉及到電子郵件詐騙時(shí),,你可能會(huì)認(rèn)為,,如果收到的電子郵件來(lái)自一個(gè)受信任的實(shí)體,你可以相信它是安全的,,但不幸的是,,電子郵件中存在的任何鏈接都可能最終使你感染惡意軟件?!?/p>
可疑的跡象
據(jù)微軟稱,,盡管這一最新的攻擊活動(dòng)總體上很有隱蔽性,但有一些跡象表明事情不對(duì)勁。
他們?cè)赥witter上指出,,原始發(fā)件人的地址中使用了 “referral”一詞的變體,,還使用了各種頂級(jí)域名,包括網(wǎng)絡(luò)釣魚(yú)活動(dòng)常用的com[.]com域名,。
研究人員稱,,該惡意攻擊活動(dòng)的其他線索是在其使用的URL中發(fā)現(xiàn)的,這些URL將潛在的受害者引向網(wǎng)絡(luò)釣魚(yú)頁(yè)面然后誘導(dǎo)他們輸入憑證,。
他們說(shuō),,攻擊者主要使用兩個(gè)帶有畸形HTTP頭的URL。主要的釣魚(yú)網(wǎng)址是一個(gè)存儲(chǔ)在谷歌服務(wù)器上的頁(yè)面,,它指向了一個(gè)AppSpot域,,該域要求用戶登錄賬號(hào),并在另一個(gè)谷歌內(nèi)容域中提供Office 365釣魚(yú)頁(yè)面,。
該活動(dòng)中使用的第二個(gè)URL是在通知設(shè)置中發(fā)現(xiàn)的,。據(jù)微軟稱,這個(gè)網(wǎng)址指向一個(gè)被攻陷了的SharePoint網(wǎng)站,,攻擊者使用它可以來(lái)增加攻擊的合法性,。研究人員說(shuō),這兩個(gè)URL都要求潛在的受害者登錄到最后的頁(yè)面,。
研究人員在GitHub上提供了一個(gè)查詢服務(wù),,它可以通過(guò)Microsoft 365 Defender的運(yùn)行,來(lái)標(biāo)記來(lái)自該攻擊活動(dòng)的任何電子郵件,。他們說(shuō),,這些電子郵件可能已經(jīng)成功繞過(guò)了其他的網(wǎng)絡(luò)安全工具。