Trong một chiến dịch gần đây được phát hiện bởi nhà cung cấp bảo mật Email Inky, tin tặc đã mạo danh Microsoft và Logo mới nhất của hãng phần mềm khổng lồ này. Tội phạm mạng chuyên thực hiện các chiến dịch lừa đảo luôn phát minh ra các chiến thuật mới để đánh lén các công cụ bảo mật truyền thống.
Cách thức tấn công lừa đảo
Lừa đảo lợi dụng mã HTML bằng cách kết hợp một bảng nhúng có chứa phiên bản giả mạo của biểu trưng Microsoft. Điều này hoạt động vì các chương trình bảo mật email không phân tích bảng vì chúng không được sử dụng theo truyền thống trong email lừa đảo.
Biểu trưng giả mạo giống như biểu trưng thực tế của Microsoft, vì vậy nội dung có thể vượt qua các bộ lọc bảo mật và có vẻ hợp pháp đối với các nạn nhân tiềm năng.
Trớ trêu thay, chính Microsoft lại vô tình góp phần vào kế hoạch này. Hình ảnh logo cũ của công ty hiển thị bốn màu quen thuộc theo phong cách ba chiều, đường viền.
Vào năm 2012, Microsoft đã thay đổi và đơn giản hóa logo của mình bằng cách sử dụng các màu tương tự nhưng theo bố cục phẳng, hai chiều. Vì tính đơn giản, logo mới dễ bị giả mạo hơn vì bất kỳ ai cũng có thể tạo bốn ô trong bảng, mỗi ô có một trong bốn màu làm nền.
Trong bài báo cáo, Inky đã trích dẫn ba chiến dịch lừa đảo trong đó logo giả mạo đóng một vai trò nào đó.
Email SharePoint giả mạo
Trong trường hợp này, biểu trưng HTML tùy chỉnh xuất hiện trong một thông báo fax giả.
Hiển thị biểu trưng có nhãn hiệu SharePoint, email chứa liên kết cho thông báo bị cáo buộc có nội dung: “Xem trước hoặc Tải xuống tại đây.” Nhấp vào liên kết nhanh chóng sẽ đưa người dùng đến trang UNICEF Trung Quốc và sau đó chuyển hướng đến trang web công cụ phát triển web hợp pháp có tên CodeSandbox, nơi phần mềm độc hại được cài đặt trên máy tính.
Bảng và biểu trưng giả kết hợp với chuyển hướng đến các trang website hợp pháp có thể lừa mọi người mắc bẫy.
Office 365 giả mạo
Sử dụng Office 365 với logo giả mạo của Microsoft, chiến dịch này cảnh báo người nhận rằng mật khẩu của họ đã hết hạn.
Email chứa một liên kết có nội dung: “Giữ Mật khẩu Hiện tại”. Việc nhấp vào liên kết sẽ đưa người dùng đến một nền tảng email tiếp thị hợp pháp nhưng bị xâm nhập và sau đó chuyển hướng đến trang CodeSandbox để cài đặt phần mềm độc hại.
Một lần nữa, kẻ tấn công sử dụng logo giả mạo, bảng nhúng và chuyển hướng mở để đánh lừa các nạn nhân tiềm năng.
Thông báo thư thoại Bogus
Trong chiến dịch này, biểu trưng bảng HTML giả được đặt trong một thông báo thư thoại không có thật.
Liên kết độc hại được ẩn trong tệp đính kèm HTML được mã hóa bằng hệ thập lục phân để lén phát hiện bảo mật truyền thống. Bằng cách sử dụng logo Microsoft, một liên kết độc hại ẩn và các chuỗi thập lục phân, email có khả năng thoát khỏi sự phát hiện bảo mật và đánh lừa người nhận tốt hơn.
Khuyến nghị
Rất khó để phân biệt những loại email lừa đảo tinh vi này bằng phương pháp trực quan. Chúng không bị phát hiện bởi các sản phẩm bảo mật và lọc email truyền thống, bao gồm cả những sản phẩm của chính Microsoft.
Cách tốt nhất để phân tích các kiểu tấn công này là sử dụng cả con người và máy móc và so sánh kết quả. Ngay cả khi email được thiết kế chuyên nghiệp đến mức có vẻ hợp pháp đối với người nhận, một công cụ chống lừa đảo tốt có thể cho biết liệu nó có thực sự đến từ một miền Microsoft thực sự hay không. Một công cụ như vậy sẽ sử dụng thị giác máy tính và trí tuệ nhân tạo để thấy rằng bảng HTML đang cố gắng sử dụng logo của Microsoft. Sau đó, hệ thống sẽ xác định xem người gửi có thực sự là Microsoft hay không.
Fanpage: Trí Việt JSC ( Theo Techrepublic )
