安基网 首页 资讯 安全报 查看内容

一张图片怎么做到让攻击者黑进微软团队账户?

2020-5-12 12:54| 投稿: |来自:


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 转自thehackernews,作者Ravie Lakshmanan,蓝色摩卡译,合作站点转载请注明原文译者和出处为超级盾!微软(Microsoft)在其团队的工作场所视频聊天和协作平台上修补了一个类似蠕虫的漏洞,攻击者通过发给受害者一个看 ...

转自thehackernews,作者Ravie Lakshmanan,蓝色摩卡译,合作站点转载请注明原文译者和出处为超级盾!

微软(Microsoft)在其团队的工作场所视频聊天和协作平台上修补了一个类似蠕虫的漏洞,攻击者通过发给受害者一个看似无害的图像,结果却是恶意链接,进而黑进一个团队全部账户

这一影响桌面版和网络版应用程序的漏洞是由CyberArk的网络安全研究人员发现的。在3月23日负责任地披露了调查结果之后,微软在4月20日发布的更新中修补了这一漏洞

“即使攻击者没有从一个团队的账户中收集到很多信息,他们仍然可以使用被黑的账户来窃取整个组织的信息(和蠕虫病毒一个性质),”CyberArk的奥马尔·特萨尔法蒂(Omer Tsarfati)说。

“最终,攻击者可以访问您组织的团队账户的所有数据——收集机密信息、会议信息、竞争数据、秘密、密码、私人信息、商业计划等。”

与此同时,Zoom和微软团队等视频会议软件的需求也出现了前所未有的激增,因为在冠状病毒大流行期间,世界各地的企业、学生、甚至政府雇员都被迫在家里工作和社交

子域接管漏洞

这个缺陷源于微软团队处理映像资源认证的方式。每次打开应用程序时,都会创建一个访问令牌、一个JSON Web令牌(JWT),允许用户查看对话中个人或其他人共享的图像。

微软团队的弱点

CyberArk研究人员发现,可以得到一个cookie(称为“authtoken”)授予访问资源服务器(api.spaces.skype.com),并使用它来创建上述“skype牌”,使它们不受限制权限发送消息和创建组,控制添加用户删除用户功能,改变权限组API。

这还不是全部。因为authtoken cookie被设置为发送到teams.microsoft。研究人员表示,他们发现了两个容易受到收购攻击的子域名(aadsync-test.teams.microsoft.com和data-dev.teams.microsoft.com)。


研究人员表示:“如果攻击者能够以某种方式强迫用户访问已被接管的子域,受害者的浏览器将把这个cookie发送到攻击者的服务器,

而攻击者(在收到authtoken之后)可以创建一个skype令牌。”“在做了所有这些之后,攻击者可以窃取受害者团队的账户数据。”

现在有了受攻击的子域,攻击者可以通过发送一个恶意链接(比如GIF)给不知情的受害者或群聊的所有成员来利用这个漏洞。因此,当收件人打开邮件时,浏览器将尝试加载图像,但这之前受感染子域authtoken cookie已经被获得。

受害者的屏幕截图

然后,被入侵的账户会被滥用这个authtoken cookie,创建一个skype令牌,从而访问所有受害者的数据。更糟糕的是,任何局外人都可以发起攻击,只要交互涉及一个聊天界面,比如邀请参加一个潜在工作面试的电话会议。

研究人员说:“受害者永远不会知道他们被攻击了,这使得利用这一弱点变得隐秘和危险。”

以视频会议为主题的公司攻击正在上升

随着COVID-19的流行和对视频会议服务需求的增加,远程工作已经成为攻击者盗取证书和分发恶意软件的一种有利可图的策略

来自Proofpoint和Abnormal Security的最新研究发现,社交工程活动要求用户参加Zoom会议,或通过点击旨在窃取登录凭证的恶意链接来解决Cisco WebEx的安全漏洞

面对这些新出现的威胁,建议用户小心网络钓鱼诈骗,并确保视频会议软件是最新的

声明:我们尊重原创者版权,除确实无法确认作者外,均会注明作者和来源。转载文章仅供个人学习研究,同时向原创作者表示感谢,若涉及版权问题,请及时联系小编删除



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6825427873621344775/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

相关阅读

最新评论

 最新
返回顶部
状元彩票计划群 上海11选5走势图 山东群英会app 彩16彩票计划群 上海11选5 极速赛车彩票软件 上海11选5 怎样注册极速赛车 快3娱乐平台 668彩票计划群