2020年近一半的钓鱼攻击都在使用微软相关的服务来窃取用户的凭证，包括Office 365企业服务系列和其它Teams协作平台。

Cofense在周二的报告中分析了数百万封进行网络攻击的电子邮件，发现其中57%是钓鱼邮件，其目的在于窃取受害者的用户名和密码。其余的恶意邮件则是用来进行商业邮件泄露（BEC）攻击或传播恶意软件。

研究人员表示，在这些钓鱼邮件中，45%使用了微软的相关服务来进行攻击。网络犯罪分子既使用了微软的相关工具来发送钓鱼邮件，又利用了合法的微软域名来托管钓鱼登陆页面。

Cofense的研究人员告诉Threatpost："随着迁移到Office 365的公司数量的增加，窃取这些凭证后可以让网络犯罪分子以合法用户的身份悄无声息的进入到组织内部"。为确保安全，他们强烈建议组织在迁移或使用Office 365的同时启用多因素认证机制。

微软用户受到钓鱼邮件的攻击

研究人员解释说，恶意电子邮件使用的诱饵信息各有不同，它可能直接是一句简单的"'Joe想分享给你你一个word文档。"  或者它可能只是一个简单的附件文件，其中包含了一个网站的链接，该链接要求用户使用微软凭证进行登录。

研究发现，10月份的一次网络钓鱼活动中，攻击者伪造了一个来自微软Teams的自动消息，该消息提醒受害者他们错过了一次Teams上的会议。实际上，此次攻击目的是为了窃取Office 365收件人的登录凭证。

12月的另一次攻击中使用了URL嵌入技术，该链接会重定向到一个假冒的微软Office 365钓鱼页面。攻击者还会伪造eFax等企业的电子邮件，eFax是一种互联网传真服务，它允许用户发送电子邮件或在线接收传真。

研究人员说："我们还看到网络犯罪分子给用户提供了从最常用的电子邮件平台中选择平台的选项，钓鱼邮件中的链接通常是托管在合法域名上的URL，这些域名一般有大量的用户群体，这样可以避免被内容审查规则和过滤器拦截。"

根据研究人员的说法，45%的凭证窃取网络钓鱼攻击是利用微软的相关服务进行的，其他的攻击方式是通用的，这意味着这些攻击并没有利用一个特定的品牌进行电子邮件攻击或要求收件人登录相关页面进行凭证窃取。

除了微软有用户值得信赖的协作服务，如SharePoint、OneDrive或Office 365等工具，研究人员表示，他们看到了犯罪分子在攻击中还利用了其他的云服务商的产品。这其中包括谷歌(如Google Forms)、Adobe的文件共享服务等。

研究人员告诉Threatpost："我们观察到要求受害者提供凭证的一般是各种云托管服务，如Adobe，Dropbox，Box，DocuSign或WeTransfer，网络攻击者已经能够在互联网上搜索到那些和具体业务有关的文件共享网站，这样就可以顺利地绕过安全电子邮件网关的控制以及网络代理过滤器的审查。"

与金融相关的恶意电子邮件攻击

研究人员发现，在被发现的恶意电子邮件中，有近17%的攻击与金融交易有关。

这些钓鱼邮件许多都和工作中所涉及到的发票和交易有关。例如，最近的一个案例就是发生了这样的一起网络攻击，这些电子邮件所使用的攻击主题主要是电子发票，这些电子邮件发送到了超过2万个邮箱中，邮件内容声称发送方要查看电子资金转移（EFT）支付的信息。本月早些时候发现的邮件带有"TRANSFER OF PAYMENT NOTICE FOR INVOICE"的主题，并且还包含了一个从云端下载 "发票 "的链接。

研究人员表示，这些类型的攻击之所以有效，是因为 "财务团队可能有很大的压力，为保持业务的正常运行，需要及时处理发票和付款的问题，特别是在月末或季末期间，因为此时的财务报告很重要。因此，如果用户没有收到任何电子邮件回复，他们很可能还会主动与对方进行沟通交流"。

GuLoader恶意软件的兴起

研究人员发现，在2020年，GuLoader投放器已经成为了电子邮件攻击中最常用的恶意软件之一。

该恶意软件首次出现在第一季度，并在2020年第二季度中开始被大量使用，它主要是用于传播远程管理工具、键盘记录器、凭证窃取器和其他恶意软件。

例如，在6月的一次电子邮件攻击活动中人们发现，此次邮件攻击的目标是奥地利、德国和瑞士的中层员工，并附带有恶意的Excel附件。一旦打开并启用宏，Microsoft Excel附件就会被下载并执行GuLoader，而GuLoader又会下载并执行Hakbit勒索软件。

由于该软件可以避开网络和电子邮件的安全检测，它突出的优势使其成为了网络犯罪分子进行攻击的工具。例如，研究人员表示，该恶意软件包含虚假的代码指令，这样它就可以绕过分析工具的扫描，同时还可以避免在虚拟或沙箱环境中执行。恶意软件背后的攻击者还将他们的恶意有效载荷存储在Google Drive或微软OneDrive等云平台上。由于它们是合法服务，所以不会被安全软件拦截。

研究人员说："虽然GuLoader是一个可执行文件，但它通常会通过恶意的办公文件来进行感染计算机，这些文件是为了绕过安全控制，方便直接向受害者的计算机系统中下载恶意软件，由于GuLoader会不断的演化出更为复杂的攻击技术，使得该工具在网络攻击方面越来越有用。"

参考及来源：https://threatpost.com/microsoft-lures-credential-swiping-phishing-emails/164207/