Перейти к содержанию

Фишинг учетных данных от Microsoft Office | Блог Касперского


Рекомендуемые сообщения

Учетные данные для входа в Microsoft Office — лакомый кусок для злоумышленников: получив доступ к чьей-то почте, они могут организовать атаку типа business e-mail compromise. Поэтому фишинговые письма, которые пытаются вынудить получателя ввести логин и пароль от их аккаунта Microsoft 365 на сайте, имитирующем страницу входа в учетную запись Office, приходят корпоративным пользователям с завидной регулярностью. А значит, крайне важно знать, на что следует обращать внимание, когда вас в очередной раз пытаются убедить перейти на такую страницу.

Мы уже рассказывали про то, как злоумышленники выманивают учетные данные от аккаунтов Microsoft Office. Но их уловки постоянно совершенствуются, поэтому мы решили еще раз показать на конкретном примере, что именно должно казаться ненормальным, а заодно и рассказать о новых трюках. На этот раз в качестве наглядного пособия будет использовано фишинговое письмо, пришедшее одному из наших коллег.

Новая фишинговая уловка: html-вложение

Как правило, фишинговое письмо содержит ссылку на фальшивый сайт. Мы регулярно пишем о том, что нужно тщательно смотреть не только на внешний вид ссылки, но и на реальный адрес, зашитый внутри нее (в большинстве клиентов и в веб-интерфейсах он отображается, если подвести к ссылке курсор мыши). Очевидно, фишеры решили минимизировать риск того, что фальшивку заметят на этом этапе, а потому вместо ссылки начали присылать html-файл, который служит исключительно для автоматизации перехода.

Пользователь получает письмо, кликает на html-вложение, которое открывается в браузере. Внутри — одна строчка кода javascript: window.location.href, параметром которого является адрес вредоносного сайта. Она заставляет браузер незамедлительно открыть расположенную по этому адресу страницу в том же окне. Вот, собственно, и все.

 

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От KL FC Bot
      Операционная система Windows 11 еще официально не вышла, но уже доступна для скачивания и предварительного знакомства. И этим, конечно же, пользуются злоумышленники, пытающиеся подсунуть пользователю зловреды под видом новой ОС.
      Зачем сейчас скачивать Windows 11, и когда она будет доступна для всех
      Вообще-то компания Microsoft обещала, что Windows 10 будет последним релизом Windows, а дальше ОС будет просто получать обновления. Однако 24 июня Microsoft представила Windows 11 — и пусть под капотом новой системы по-прежнему в основном находятся компоненты Windows 10, это все равно самое масштабное обновление за последние шесть лет, с внушительным количеством новых функций и изменений в интерфейсе.
      Официально Windows 11 станет доступна для широких масс «до конца 2021 года», однако уже сейчас можно попробовать ее в деле, скачав предрелизную сборку. И ее, конечно же, скачивают. Многим энтузиастам хочется опробовать новую систему просто из-за ее новизны, журналистам важно рассказать пользователям о новинках в свежей версии Windows, а разработчикам программного обеспечения жизненно необходимо оттестировать свои продукты на предмет совместимости с новой ОС и успеть исправить возникшие проблемы до ее выхода.
      Несмотря на то, что процесс скачивания и установки Windows 11 с официального сайта Microsoft получился довольно простым и понятным, многие все равно пытаются скачивать новую ОС из сторонних источников, и злоумышленники рады предложить им свои услуги. Вот только скачанный файл не будет содержать Windows 11…
       
      View the full article
    • От KL FC Bot
      Тестировщик ПО (или QA-инженер) — распространенная отправная точка для тех, кто хочет начать карьеру в IT-индустрии, и просто востребованная профессия. Мы расскажем, где новичкам набраться полезных навыков и знаний, а также заработать заветные строчки для резюме и проекты для портфолио.
      Чем занимаются QA-инженеры
      Тестировщики ПО помогают делать продукты — приложения, сайты, программы, автомобили — такими, чтобы ими можно было пользоваться. Они определяют, какие элементы системы функционируют некорректно или не так удобны, как хотелось бы, находят причины этого — ошибки в коде, дизайне или логике — и отдают на исправление. Все это делается для того, чтобы конечные пользователи получили стабильный, надежный и удобный продукт.
      Какие навыки нужны начинающему тестировщику
      Поскольку тестирование применимо к самым разным областям, то для работы тестировщику могут понадобиться различные знания. Однако что-то общее есть во всех случаях: нужно, во-первых, знать теорию тестирования, ну а уже дальше — обладать некоторым объемом знаний по тестируемой системе и используемым в ней технологиям.
      С теорией все довольно понятно: потенциальный работодатель будет хотеть от вас знаний о том, что такое тестирование, зачем оно нужно в цикле разработки и какое место в ней занимает. Также хорошо бы знать основные методологии разработки (AGILE, SCRUM и прочие страшные слова) — просто для того, чтобы вы могли работать в команде, которая функционирует по определенным правилам. Также неплохо знать, как грамотно написать дефект, что такое тест-кейсы и как их нужно составлять, что такое чек-листы, когда лучше использовать кейсы, а когда проще ограничиться чек-листом.
      Если теория тестирования применима ко всем областям, то технические навыки, которые вам понадобятся, зависят от области, в которой вы решили работать. Скажем, если вы хотите заниматься тестированием в области веб-приложений, то очень полезно знать, как работает браузер и из чего состоит веб-страница. И вряд ли это вам пригодится, если вы будете заниматься тестированием бортовых систем самолета.
      Впрочем, самые популярные направления разработки сейчас — это именно веб и мобильные платформы. С вебом уже разобрались, а для тестирования мобильных устройств нужно знать особенности построения мобильных приложений, их жизненные циклы и отличия от десктопных приложений, особенности Android и iOS, ну и хорошо бы также ознакомиться с руководствами по дизайну приложений для мобильных устройств от разработчиков обеих систем.
      Наконец, практически любая современная программа будет использовать базы данных, так что вам нужно будет узнать, что это такое, и научиться писать простые SQL-запросы.
       
      View the full article
    • От KL FC Bot
      После года полной удаленки некоторые компании осознали, что не всем и не всегда необходимо быть в офисе, и ввели гибридный режим, позволив сотрудникам чередовать традиционное рабочее место и домашний офис.
      У гибридного режима работы есть и плюсы, и минусы. Многим нелегко дается переключение между домом и офисом, кто-то сталкивается с техническими проблемами. Повышаются и риски для личной и корпоративной информационной безопасности. Рассказываем, как совмещать офисную и удаленную работу так, чтобы продуктивность только выросла, а конфиденциальные данные не попали под угрозу.
      Используйте преимущества гибкого режима
      Кому-то приятнее работать на диване, а кто-то настраивается на продуктивный лад только в офисной атмосфере. Какой тип работы больше подходит вам? Понаблюдайте за собой и определите, причем обращайте внимание еще и на то, какие задачи вам проще выполнять в тех или иных условиях. Например, возможно, в офисе лучше пройдут деловые переговоры, а дома проще сосредоточиться над отчетом (или наоборот). Исходя из этого вы сможете лучше спланировать свою рабочую неделю: что вы делаете дома, а какие задачи оставите на присутственное время в офисе.
      Обсудите с руководителем возможность приходить в офис в нестандартное время, например к обеду. Так вы сможете удаленно завершить какую-то часть дел утром и не тратить нервы в пробках или в общественном транспорте в час пик. Если вы «сова» и вам проще работать по ночам, уточните, можете ли вы адаптировать рабочий график под свои биологические ритмы и, например, оставаться в офисе до позднего вечера.
       
      View the full article
    • От KL FC Bot
      Как написал однажды иллюстратор сайта The New Yorker, «в Интернете никто не знает, что ты собака». Мошенники, обитающие в Twitter, руководствуются именно этой идеей и часто обманывают пользователей, представляясь специалистами поддержки какого-либо бренда и выманивая у жертв финансовую информацию.
      Как злоумышленники обманывают пользователей Twitter, обращающихся за помощью
      Один из самых простых способов пообщаться напрямую с компанией — написать посты в социальных сетях и упомянуть ее в записи. Чаще всего для этого используют «Твиттер» – малый формат располагает. Свой аккаунт здесь есть почти у каждой компании, поэтому велик шанс, что официальный представитель заметит упоминание и отреагирует на пост: даст совет сам или перенаправит ваш вопрос специалистам поддержки. В общем, поможет.
      Вот только не всегда понятно, человек, который вам ответил, правда официальный представитель бренда – или нет? Впрочем, будем честны: многие просто не обращают внимания на то, с кем они общаются в социальных сетях, если речь не идет о ком-то из друзей. В основном людей заботит, что им пишут. Разумеется, злоумышленники не преминули воспользоваться этим и научились выдавать себя за официальные бренды, чтобы обманывать людей.
      Обычно выглядит это как-то так.
      Пользователь публикует в Twitter свою жалобу, ожидая ответа от компании.
       
      View the full article
    • От KL FC Bot
      В дейтинговых приложениях люди обычно рассчитывают познакомиться с кем-то и развлечься, а не раздавать свои персональные данные направо и налево. Однако у дейтинговых сервисов есть определенные проблемы с безопасностью и приватностью. На конференции MWC21 Татьяна Шишкова, старший вирусный аналитик «Лаборатории Касперского», представила результаты исследования безопасности приложений для онлайн-знакомств. Рассказываем, к каким выводам она пришла после изучения приватности и безопасности самых популярных сервисов онлайн-знакомств — и что делать пользователям, чтобы обеспечить сохранность своих данных.
      Безопасность приложений для онлайн-знакомств: что изменилось за четыре года
      Наши эксперты уже проводили подобное исследование несколько лет назад: исследовав в 2017 году девять популярных сервисов, они пришли к неутешительным выводам — на тот момент в приложениях были большие проблемы с безопасной передачей пользовательских данных, а также с их хранением и доступностью для других пользователей. Вот основные угрозы, обнаруженные в исследовании 2017 года.
      Из девяти исследованных сервисов шесть позволяли узнать местоположение пользователя. Четыре сервиса позволяли узнать настоящее имя пользователя и найти его аккаунты в других социальных сетях. Четыре сервиса позволяли перехватить отправляемые приложением данные, которые могли содержать конфиденциальную информацию. Мы решили проверить, как изменилась ситуация к 2021 году. Для этого мы взяли девять наиболее популярных дейтинговых приложений: Tinder, OKCupid, Badoo, Bumble, Mamba, Pure, Feeld, Happn и Her. Эта подборка немного отличается от той, что была в 2017-м, поскольку за прошедшее время рынок сервисов для онлайн-знакомств слегка изменился, но самые массовые приложения сейчас те же, что и четыре года назад.

       
      View the full article
×
×
  • Создать...