العثور على المتسللين طريقة جديدة لتجاوز الروابط الآمنة Microsoft Office 365

كشف باحثون أمنيون عن طريقة حول العثور على بعض مجموعات القرصنة في البرية لتجاوز ميزة الأمان في Microsoft Office 365 ، والتي تم تصميمها في الأصل لحماية المستخدمين من هجمات البرامج الضارة والتصيد الاحتيالي. 

تم تضمين ميزة "الروابط الآمنة" ، التي تم تضمينها في برنامج Office 365 كجزء من حل الحماية المتقدم من التهديدات (ATP) من Microsoft ، وذلك عن طريق استبدال كافة عناوين URL في رسالة بريد إلكتروني واردة تحتوي على عناوين URL آمنة مملوكة لشركة Microsoft. 

لذلك ، في كل مرة ينقر فيها أحد المستخدمين على رابط يتم تقديمه في رسالة بريد إلكتروني ، فإنه يرسل المستخدم أولاً إلى نطاق يملكه Microsoft ، حيث تقوم الشركة على الفور بفحص عنوان URL الأصلي لأي شيء مريب. إذا اكتشفت الماسحات الضوئية في Microsoft أي عنصر ضار ، فحينئذٍ تحذر المستخدمين من ذلك ، وإذا لم يكن الأمر كذلك ، فإنها تعيد توجيه المستخدم إلى الرابط الأصلي.

ومع ذلك ، فقد كشف الباحثون في شركة Avanan الأمنية السحابية عنكيفية تجاوز المهاجمين لميزة "الروابط الآمنة" باستخدام تقنية تسمى " هجوم baseStriker ". 

هجوم BaseStriker ينطوي على استخدامعلامة في عنوان البريد الإلكتروني بتنسيق HTML - والذي يُستخدم لتحديد عنوان URI أساسي افتراضي ، أو عنوان URL ، للارتباطات النسبية في مستند أو صفحة ويب. 

بمعنى آخر ، إذا تم تحديد عنوان URL الأساسي ، فستستخدم جميع الارتباطات النسبية التالية عنوان URL كنقطة بداية.

كما هو مبين في الصورة أعلاه ، قارن الباحثون شفرة HTML لرسالة تصيد تقليدية بالبريد الإلكتروني مع تلك التي تستخدم tag لفصل الارتباط الخبيث بطريقة تفشل "الارتباطات الآمنة" في تحديد الارتباط التشعبي الجزئي واستبداله ، مما يؤدي في النهاية إلى إعادة توجيه الضحايا إلى موقع التصيد عند النقر فوقه. 

وقد قدم الباحثون حتى مظاهرة فيديو ، مما يدل على هجوم baseStriker في العمل. 

اختبر الباحثون هجوم baseStriker ضد العديد من التهيئات ووجدوا أن "أي شخص يستخدم Office 365 في أي تكوين يكون ضعيفًا" ، سواء كان ذلك العميل المستند إلى الويب أو تطبيق الجوال أو تطبيق سطح المكتب لـ OutLook.

تم العثور على Proofpoint أيضا عرضة للهجوم على القاعدة. ومع ذلك ، فإن مستخدمي Gmail والذين يحمون Office 365 مع Mimecast لا يتأثرون بهذه المشكلة. 

حتى الآن ، لم يلاحظ الباحثون إلا المتسللين الذين يستخدمون هجوم baseStriker لإرسال رسائل بريد إلكتروني تصيدية ، لكنهم يعتقدون أنه يمكن الاستفادة من الهجوم لتوزيع الفدية ، والبرمجيات الخبيثة وغيرها من البرامج الضارة.

أفادت Avanan عن هذه المشكلة لكل من Microsoft و Proofpoint في نهاية الأسبوع الماضي ، ولكن لا يوجد تصحيح متوفر لإصلاح المشكلة في وقت كتابة هذا التقرير.