微软研究：黑客在网络钓鱼攻击中使用摩斯密码以逃避检测

微软披露了一项为期一年的社会工程活动的细节，其中运营商平均每 37 天不断更改其混淆和加密机制，包括依赖摩尔斯电码，以试图掩盖他们的踪迹并秘密获取用户凭据。

网络钓鱼攻击采用以发票为主题的诱饵形式，模仿与金融相关的商业交易，电子邮件中包含一个 HTML 文件（“XLS.HTML”）。最终目标是获取用户名和密码，这些用户名和密码随后将用作以后渗透尝试的初始入口点。

微软将附件比作一个“拼图游戏”，并指出 HTML 文件的各个部分被设计成无害的，并绕过端点安全软件，只有当这些部分被解码和组装在一起时，才会显示出它的真面目。该公司没有确定行动背后的黑客。

Microsoft 365 Defender 威胁情报团队在分析中表示：“这种网络钓鱼活动体现了现代电子邮件威胁：复杂、隐蔽且不断发展。” “HTML 附件分为几个部分，包括用于窃取密码的 JavaScript 文件，然后使用各种机制对其进行编码。这些攻击者从使用纯文本 HTML 代码转向使用多种编码技术，包括旧的和不寻常的加密方法，如摩尔斯电码, 隐藏这些攻击片段。

打开附件会启动一个浏览器窗口，该窗口会在模糊的 Excel 文档顶部显示一个虚假的 Microsoft Office 365 凭据对话框。该对话框显示一条消息，敦促收件人重新登录，原因是他们对 Excel 文档的访问据称已超时。如果用户输入密码，则会提醒个人输入的密码不正确，而恶意软件会在后台悄悄收集信息。

据说该活动自 2020 年 7 月被发现以来已经进行了 10 次迭代，攻击者定期切换其编码方法以掩盖 HTML 附件的恶意性质和文件中包含的不同攻击段。

微软表示，它在 2021 年 2 月和 5 月的攻击浪潮中检测到摩尔斯电码的使用，而后来发现网络钓鱼工具包的变体将受害者定向到合法的 Office 365 页面，而不是在输入密码后显示虚假错误消息.

研究人员表示：“基于电子邮件的攻击不断尝试绕过电子邮件安全解决方案。” “就这次网络钓鱼活动而言，这些尝试包括对已知的现有文件类型（例如 JavaScript）使用多层混淆和加密机制。HTML 中的多层混淆同样可以规避浏览器安全解决方案。