黑客使用零寬度空格繞過Office 365的保護

微軟最近修復了Office 365的一個漏洞，黑客之前利用這個漏洞繞過釣魚保護，將惡意信息發送到受害者郵箱中。

據外媒報道，微軟最近修復了Office 365的一個漏洞，黑客之前利用這個漏洞繞過釣魚保護，將惡意信息發送到受害者郵箱中。該漏洞與電子郵件原始HTML中的惡意URL中使用的零寬度空格（ZWSP）有關。黑客通過分割URL的方法，使得防御系統不能檢測到惡意信息。

專家指出，使用這種技術可以繞過URL信譽檢查和安全鏈接保護。由于這些零寬度的空格不呈現，接收者無法看到URL中的隨機特殊字符。

黑客利用零寬度空格將釣魚URL從Office 365 Security和Office 365 ATP中隱藏，而后發送大量釣魚郵件。

專家解釋說，在原始HTML中，零寬度空格是數字和特殊字符的混合，這些字符隨機插入URL的單詞或字母之間。但在瀏覽器中看不見這些字符。此次事件中，黑客發送的郵件信息包括用于獲取美國大通銀行客戶憑證的釣魚網頁的鏈接。

最近出現的零寬度空格攻擊是baseStriker技術和ZeroFont攻擊的升級版。