Trong báo cáo của Inky “Lừa đảo mạo danh Logo Microsoft” đã mô tả cách thức hoạt động của phương pháp này. Inky cho biết, các email lừa đảo sử dụng biểu trưng của Microsoft trong một bảng HTML, biểu tượng này không có trong danh sách phân tích của các chương trình bảo mật.
Tin tặc đã lợi dụng mã HTML bằng cách kết hợp một bảng nhúng có chứa phiên bản giả mạo của biểu trưng Microsoft. Chúng thực hiện được điều này vì các chương trình bảo mật email không phân tích bảng, do không được sử dụng theo phương thức truyền thống trong email lừa đảo. Biểu trưng giả mạo trông giống như biểu trưng thực tế của Microsoft, vì vậy nội dung có thể vượt qua các bộ lọc bảo mật và có vẻ hợp pháp đối với các nạn nhân tiềm năng.
Trớ trêu thay, chính Microsoft lại vô tình góp phần vào kế hoạch này. Hình ảnh logo cũ của công ty hiển thị bốn màu quen thuộc theo phong cách ba chiều, đường viền. Vào năm 2012, Microsoft đã thay đổi và đơn giản hóa logo của mình bằng cách sử dụng cùng một màu sắc nhưng theo bố cục phẳng, hai chiều. Vì tính đơn giản, logo mới dễ bị giả mạo hơn vì bất kỳ ai cũng có thể tạo bốn ô trong bảng, mỗi ô có một trong bốn màu làm nền.
Trong báo cáo của mình, Inky đã trích dẫn ba chiến dịch lừa đảo trong đó logo giả mạo đóng một vai trò nào đó.
Email SharePoint giả mạo
Trong trường hợp này, biểu trưng HTML tùy chỉnh xuất hiện trong một thông báo fax giả. Hiển thị biểu trưng có nhãn hiệu SharePoint, email chứa liên kết cho thông báo bị cáo buộc có nội dung “xem trước hoặc tải xuống tại đây”. Nhấp vào liên kết nhanh chóng sẽ đưa người dùng đến trang UNICEF Trung Quốc và sau đó chuyển hướng đến trang web công cụ phát triển web hợp pháp có tên là CodeSandbox, nơi phần mềm độc hại được cài đặt trên máy tính. Bảng và biểu trưng giả kết hợp với chuyển hướng đến các trang web hợp pháp có thể lừa người dùng mắc bẫy.
Office 365 giả mạo
Sử dụng Office 365 với logo giả mạo của Microsoft, chiến dịch này cảnh báo người nhận rằng mật khẩu của họ đã hết hạn. Email chứa một liên kết có nội dung “giữ mật khẩu hiện tại”, việc nhấp vào liên kết sẽ đưa người dùng đến một nền tảng email tiếp thị hợp pháp nhưng bị xâm nhập và sau đó chuyển hướng đến trang CodeSandbox để cài đặt phần mềm độc hại. Một lần nữa, kẻ tấn công sử dụng logo giả mạo, bảng nhúng và chuyển hướng mở để đánh lừa các nạn nhân tiềm năng.
Thông báo thư thoại Bogus
Trong chiến dịch này, biểu trưng bảng HTML giả được đặt trong một thông báo thư thoại không có thật. Liên kết độc hại ẩn trong tệp đính kèm HTML được mã hóa bằng hệ thập lục phân để lén phát hiện bảo mật truyền thống. Bằng cách sử dụng logo Microsoft, một liên kết độc hại ẩn và các chuỗi thập lục phân, email có khả năng thoát khỏi sự phát hiện bảo mật và đánh lừa người nhận tốt hơn.
Khuyến nghị
Rất khó để phân biệt những loại email lừa đảo tinh vi này bằng phương pháp trực quan. Chúng không bị phát hiện bởi các sản phẩm bảo mật và lọc email truyền thống, bao gồm cả những sản phẩm của chính Microsoft.
Cách tốt nhất để phân tích các kiểu tấn công này là sử dụng cả con người và máy móc để so sánh kết quả. Ngay cả khi email được thiết kế chuyên nghiệp đến mức có vẻ hợp pháp đối với người nhận, một công cụ chống lừa đảo tốt có thể cho biết liệu nó có thực sự đến từ Microsoft thực sự hay không. Một công cụ như vậy sẽ sử dụng thị giác máy tính và trí tuệ nhân tạo để thấy rằng bảng HTML đang cố gắng sử dụng logo của Microsoft. Sau đó, hệ thống sẽ xác định xem người gửi có thực sự là Microsoft hay không.
