微软警告：发现使用开放重定向链接进行广泛的钓鱼攻击

微软警告称，发现广泛的网站凭证钓鱼攻击活动，该攻击活动利用电子邮件通信中的开放重定向链接作为载体，诱使用户访问恶意网站，同时有效绕过安全软件。

Microsoft 365 Defender 威胁情报团队在本周发布的一份报告中表示： “攻击者将这些链接与社会工程诱饵相结合，这些诱饵冒充众所周知的生产力工具和服务来引诱用户点击。”

“这样做会导致一系列重定向——包括一个 CAPTCHA 验证页面，它增加了合法性并试图逃避一些自动分析系统——然后将用户带到一个虚假的登录页面。这最终导致凭据泄露，这使用户及其组织面临其他攻击。”

尽管电子邮件消息中的重定向链接是将收件人带到第三方网站或跟踪点击率并衡量销售和营销活动成功与否的重要工具，但攻击者可能会滥用相同的技术将此类链接重定向到他们自己的基础设施，例如同时保持完整 URL 中的受信任域完好无损，以逃避反恶意软件引擎的分析，即使用户试图将鼠标悬停在链接上以检查任何可疑内容的迹象。

为了将潜在受害者引导至网络钓鱼站点，嵌入在消息中的重定向 URL 是使用合法服务设置的，而链接中包含的最终参与者控制的域利用顶级域 .xyz、.club、.shop、和 .online（例如“c-tl[.]xyz”），但它们作为参数传递以便绕过电子邮件网关解决方案。

微软表示，作为活动的一部分，它观察到至少 350 个独特的网络钓鱼域——另一次试图掩盖检测——强调该活动有效地利用了令人信服的社会工程诱饵，这些诱饵声称是来自 Office 365 和 Zoom 等应用程序的通知消息，这是一个精心设计的检测规避技术，以及执行攻击的耐用基础设施。

研究人员说：“这不仅显示了这次攻击的规模，而且还表明了攻击者在其中投入了多少，表明潜在的巨大回报。”

为了使攻击具有真实性，单击特制链接会将用户重定向到恶意登录页面，该页面使用 Google reCAPTCHA 阻止任何动态扫描尝试。完成 CAPTCHA 验证后，受害者会看到一个模仿 Microsoft Office 365 等已知服务的欺诈登录页面，仅在提交信息时刷密码。

研究人员指出：“这次网络钓鱼活动体现了 [社会工程、检测规避和大型攻击基础设施] 试图窃取凭据并最终渗透到网络的完美风暴。“鉴于91% 的网络攻击源自电子邮件，因此组织必须拥有一个安全解决方案，为他们提供针对此类攻击的多层次防御。”