Biztonsági szakértők bemutattak egy módszert a Microsoft 365 (korábban Office 365) adathalászat elleni intézkedésének megkerülésére, ami növeli a rosszindulatú e-mailek megnyitásának kockázatát.
Egészen pontosan elrejthető az “Első kapcsolat biztonsági tipp”. Ez figyelmezteti az Outlookban az e-mailt fogadó felet, hogy ismeretlen címről kapott üzenetet.
A hibát felfedező Certitude elemzői jelentették a Microsoftnak az eredményeiket. A technológiai óriás úgy döntött, hogy egyelőre nem foglalkozik a hibával.
A figyelmeztetés kiiktatása
Az “Első kapcsolat biztonsági tipp” egy olyan funkció, amely arra szolgál, hogy figyelmeztesse az Outlook-felhasználókat, amikor új, eddig ismertetlen címről kapnak e-mailt. Ebben az esetben a következő üzenet jelenik meg: “Nem gyakran kap e-mailt a xyz@example.com címről. Tudja meg, miért fontos ez”.
Ennek a mechanizmusnak a legfontosabb eleme, hogy a figyelmeztetés a HTML e-mail fő szövegéhez van csatolva. Ez azonban lehetőséget ad az e-mail üzenetbe ágyazott CSS segítségével történő manipulációra.
A Certitude felfedezte, hogy ezt a biztonsági üzenetet el lehet rejteni a CSS (Cascading Style Sheets) manipulálásával az e-mail HTML-jén belül, ahogy az alább látható:
Mi is történik itt?
a {display: none} szabállyal elrejtik az összes linket.
td div { color: white; font-size: 0px; }: táblázat celláiban lévő div elemeket célozza meg, a betűszínt fehérre és a betűméretet 0-ra változtatja, így a szöveg láthatatlanná válik.
table tbody tr td { background-color: Ezáltal a táblázat tbody-ján belül bármely td elem fehér hátteret és fehér szöveget kap, így a tartalom gyakorlatilag beleolvad a háttérbe, és láthatatlanná válik.
Ha ezt a CSS-t egy új kapcsolatról a célpontnak küldött adathalász e-mailben használják, nem jelenik meg figyelmeztetés a címzett számára.
A megtévesztést egy lépéssel tovább folytatva a Certitude megállapította, hogy további HTML-kódot is hozzá lehet adni, amely meghamisítja a Microsoft Outlook által a titkosított/aláírt e-mailekhez hozzáadott ikonokat. Így azok még biztonságosabbnak tűnnek.
Bár bizonyos formázási korlátozások nem teszik lehetővé a tökéletes vizuális eredményt, a trükk így is meggyőző és hamis biztonság érzetet teremt, amely könnyen átmehet a nem túl gondos ellenőrzéseken.
A Microsoft szerint ráér ez
A Certitude a Microsoft Researcher Portal (MSRC) segítségével elküldte a Microsoftnak a proof-of-concept-et, és egy részletes jelentést.
A Microsofttól azonban a következő választ kapták:
“Megállapítottuk, hogy az Ön megállapítása érvényes, de nem felel meg az azonnali javításra vonatkozó elvárásainknak, tekintve, hogy ez főként adathalász-támadásokra alkalmazható. Mindazonáltal az Ön megállapítását továbbra is megjelöltük jövőbeli felülvizsgálatra, mint lehetőséget termékeink javítására”.
– Microsoft
