sh://tab

Forwarded from SecAtor

͏Новое дно от микромягких открыли исследователи Certitude, продемонстрировав метод обхода антифишинговой защиты в Microsoft 365 (ранее - Office 365), повышающий риск открытия пользователями вредоносных писем.

В данном случае речь идет про функцию оповещения First Contact Safety Tip, которая призвана предупреждать получателей электронной почты в Outlook о направлении сообщения с незнакомого адреса.

Ключевым аспектом этого механизма является то, что оповещение добавляется к основному тексту HTML-письма, что открывает возможность манипуляций с использованием CSS, встроенного в сообщение электронной почты.

Certitude обнаружила, что такое оповещение о безопасности можно легко скрыть, манипулируя CSS в HTML-коде самого электронного письма.

Для этого достаточно применить следующие правила:

- a { display: none; }: скрывает все теги привязки (<a>), чтобы предотвратить отображение подсказки при включении ссылки.

- td div { color: white; font-size: 0px; }: нацеливается на элементы div в ячейках данных таблицы, изменяя цвет их шрифта на белый, а размер шрифта на 0, тем самым делая текст невидимым.

- table tbody tr td { background-color: white !important; color: white !important; }: делает любой элемент td внутри tbody таблицы имеющим белый фон и белый текст, эффективно смешивая содержимое с фоном и, таким образом, делая его невидимым.

При использовании этого CSS в фишинговом письме, отправленном новым контактом в адрес получателя, предупреждающее оповещение попросту не отображается.

Причем специалисты Certitude пошли дальше и обнаружили, что можно добавить дополнительный HTML-код, который подделывает значки, добавляемые Microsoft Outlook в зашифрованные/подписанные электронные письма, делая их с виду как бы еще более защищенными.

Безусловно, некоторые ограничения форматирования не позволяют добиться идеального визуального результата, тем не менее трюк все равно создает убедительное ложное представление о безопасности, которое легко выдержит любую, даже самую тщательную проверку.

Исследователи пока не наблюдали случаев активной эксплуатации описанного метода и не нашли способов манипулировать HTML-кодом таким образом, чтобы в письме отображался произвольный текст.

Аналитики Certitude, обнаружившие уязвимость , сообщили о своих выводах вместе с PoC в Microsoft, однако там традиционно решили забить, оставляя проблему нерешенной в силу отсутствия веских причин для беспокойства с мотивировкой: «учитывая, что это применимо в основном к фишинговым атакам».

38 views09:33