Брешь Microsoft Office 365 позволила вести омограф-атаки

Фишеры использовали невидимые Unicode-символы, чтобы обмануть защитные фильтры Microsoft Office 365.

Злоумышленники нашли новый способ заманить пользователей на опасные сайты в обход защитных систем Microsoft Office 365. Техника построена на использовании пробелов нулевой ширины (zero-width spaces) — невидимых для пользователя символов, которые мешают антиспам-фильтрам распознать нежелательную интернет-ссылку.

В Unicode предусмотрено пять символов нулевой ширины: два типа пробелов, соединитель, разделитель и ноль. Текстовые программы используют их для разграничения слов, обозначения перехода на новую строку и некоторых других специфических задач. Все эти символы не отображаются на экране, поэтому для защиты от омограф-атак их применение в стандартных интерфейсах и URL ограничено.

Как выяснили специалисты компании Avalan, такую блокировку не предусмотрели разработчики Microsoft. В Office 365 за проверку URL в электронных письмах отвечают два механизма ATP — проверка репутации домена (Domain reputation checks) и безопасные ссылки (Safe Links). Они перехватывают пользователя после клика по URL и направляют на промежуточный домен Microsoft, сканеры безопасности которого проверяют репутацию целевого сайта и ищут в содержимом страницы опасный код.

Добавление невидимого пробела в URL запутывает защитную систему — она перестает воспринимать эту последовательность символов как интернет-ссылку. В результате пользователь переходит на сайт напрямую. По словам экспертов, преступники уже применили эту технику в реальных атаках, чтобы похитить учетные данные пользователей. Исследователи передали информацию разработчикам Microsoft, которые уже закрыли брешь.

Это не первый случай фишинговых атак с использованием невидимых символов. Ранее преступники научились обманывать защиту Microsoft Office с помощью слов, набранных нулевым шрифтом. Это затрудняло автоматический анализ электронных писем, поскольку фильтры игнорируют форматирование текста.

Одна из новейших технологий такого рода построена на вовсе не существующих шрифтах. Мошенники подменяли символы таким образом, что защитные системы не могли их распознать. При верстке на интернет-странице текст становился читаемым для пользователя.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля