和微軟相關的釣魚攻擊占總釣魚郵件攻擊的一半
2020年近一半的釣魚攻擊都在使用微軟相關的服務來竊取用戶的憑證，包括Office 365企業服務系列和其它Teams協作平臺。
Cofense在周二的報告中分析了數百萬封進行網絡攻擊的電子郵件，發現其中57%是釣魚郵件，其目的在于竊取受害者的用戶名和密碼。其余的惡意郵件則是用來進行商業郵件泄露(BEC)攻擊或傳播惡意軟件。
研究人員表示，在這些釣魚郵件中，45%使用了微軟的相關服務來進行攻擊。網絡犯罪分子既使用了微軟的相關工具來發送釣魚郵件，又利用了合法的微軟域名來托管釣魚登陸頁面。
Cofense的研究人員告訴Threatpost："隨著遷移到Office 365的公司數量的增加，竊取這些憑證后可以讓網絡犯罪分子以合法用戶的身份悄無聲息的進入到組織內部"。為確保安全，他們強烈建議組織在遷移或使用Office 365的同時啟用多因素認證機制。
微軟用戶受到釣魚郵件的攻擊
研究人員解釋說，惡意電子郵件使用的誘餌信息各有不同，它可能直接是一句簡單的"'Joe想分享給你你一個word文檔。" 或者它可能只是一個簡單的附件文件，其中包含了一個網站的鏈接，該鏈接要求用戶使用微軟憑證進行登錄。
研究發現，10月份的一次網絡釣魚活動中，攻擊者偽造了一個來自微軟Teams的自動消息，該消息提醒受害者他們錯過了一次Teams上的會議。實際上，此次攻擊目的是為了竊取Office 365收件人的登錄憑證。
12月的另一次攻擊中使用了URL嵌入技術，該鏈接會重定向到一個假冒的微軟Office 365釣魚頁面。攻擊者還會偽造eFax等企業的電子郵件，eFax是一種互聯網傳真服務，它允許用戶發送電子郵件或在線接收傳真。
研究人員說："我們還看到網絡犯罪分子給用戶提供了從最常用的電子郵件平臺中選擇平臺的選項，釣魚郵件中的鏈接通常是托管在合法域名上的URL，這些域名一般有大量的用戶群體，這樣可以避免被內容審查規則和過濾器攔截。"
根據研究人員的說法，45%的憑證竊取網絡釣魚攻擊是利用微軟的相關服務進行的，其他的攻擊方式是通用的，這意味著這些攻擊并沒有利用一個特定的品牌進行電子郵件攻擊或要求收件人登錄相關頁面進行憑證竊取。
除了微軟有用戶值得信賴的協作服務，如SharePoint、OneDrive或Office 365等工具，研究人員表示，他們看到了犯罪分子在攻擊中還利用了其他的云服務商的產品。這其中包括谷歌(如Google Forms)、Adobe的文件共享服務等。
研究人員告訴Threatpost："我們觀察到要求受害者提供憑證的一般是各種云托管服務，如Adobe，Dropbox，Box，DocuSign或WeTransfer，網絡攻擊者已經能夠在互聯網上搜索到那些和具體業務有關的文件共享網站，這樣就可以順利地繞過安全電子郵件網關的控制以及網絡代理過濾器的審查。"
與金融相關的惡意電子郵件攻擊
研究人員發現，在被發現的惡意電子郵件中，有近17%的攻擊與金融交易有關。
這些釣魚郵件許多都和工作中所涉及到的發票和交易有關。例如，最近的一個案例就是發生了這樣的一起網絡攻擊，這些電子郵件所使用的攻擊主題主要是電子發票，這些電子郵件發送到了超過2萬個郵箱中，郵件內容聲稱發送方要查看電子資金轉移(EFT)支付的信息。本月早些時候發現的郵件帶有"TRANSFER OF PAYMENT NOTICE FOR INVOICE"的主題，并且還包含了一個從云端下載 "發票 "的鏈接。
研究人員表示，這些類型的攻擊之所以有效，是因為 "財務團隊可能有很大的壓力，為保持業務的正常運行，需要及時處理發票和付款的問題，特別是在月末或季末期間，因為此時的財務報告很重要。因此，如果用戶沒有收到任何電子郵件回復，他們很可能還會主動與對方進行溝通交流"。
GuLoader惡意軟件的興起
研究人員發現，在2020年，GuLoader投放器已經成為了電子郵件攻擊中最常用的惡意軟件之一。
該惡意軟件首次出現在第一季度，并在2020年第二季度中開始被大量使用，它主要是用于傳播遠程管理工具、鍵盤記錄器、憑證竊取器和其他惡意軟件。
例如，在6月的一次電子郵件攻擊活動中人們發現，此次郵件攻擊的目標是奧地利、德國和瑞士的中層員工，并附帶有惡意的Excel附件。一旦打開并啟用宏，Microsoft Excel附件就會被下載并執行GuLoader，而GuLoader又會下載并執行Hakbit勒索軟件。
由于該軟件可以避開網絡和電子郵件的安全檢測，它突出的優勢使其成為了網絡犯罪分子進行攻擊的工具。例如，研究人員表示，該惡意軟件包含虛假的代碼指令，這樣它就可以繞過分析工具的掃描，同時還可以避免在虛擬或沙箱環境中執行。惡意軟件背后的攻擊者還將他們的惡意有效載荷存儲在Google Drive或微軟OneDrive等云平臺上。由于它們是合法服務，所以不會被安全軟件攔截。
研究人員說："雖然GuLoader是一個可執行文件，但它通常會通過惡意的辦公文件來進行感染計算機，這些文件是為了繞過安全控制，方便直接向受害者的計算機系統中下載惡意軟件，由于GuLoader會不斷的演化出更為復雜的攻擊技術，使得該工具在網絡攻擊方面越來越有用。"
本文翻譯自：https://threatpost.com/microsoft-lures-credential-swiping-phishing-emails/164207/
