Check Point 揭示Outlook 三种攻击向量

背景

在数字时代,人们主要通过电子邮件进行交流,因此电子邮件平台的安全性至关重要。自从各种AI工具不断落地以来,钓鱼邮件攻击的难度与成本均有大幅下降,因此导致此类攻击数量与受害者损失频创新高。在2022年,美国共计发生“商业电子邮件入侵”时间两万余起,造成损失近27亿美元。然而仅在2023年第一季度,同类攻击事件在美国就已发生近四万次。在刚刚过去的2023年第三季度,我国国内企业邮箱用户共收到钓鱼邮件超8千万封,同比激增47%,环比增幅也达23%。这些数字无疑正在警示企业IT管理者,如果对企业邮件系统的安全性疏于管理,其后果将十分严重。最近 Check Point Research 对 Microsoft Office 中广泛使用的电子邮件客户端 Outlook 进行了全面分析,揭示了三种主要攻击向量:常见、普通和高级。通过分析典型企业环境中针对 Outlook 的各种攻击向量,Check Point将从安全研究的角度审视日常邮件操作可能带来的安全风险。

注:本文所述研究是在典型/默认的 Outlook + Exchange Server 环境中,并在安装了截至 2023 年 11 月安全更新的最新 Outlook 2021(Windows 桌面版)上进行。

常见:超链接攻击向量

在这种攻击向量中,攻击者发送包含恶意 Web 超链接的电子邮件。一旦点击这些链接,用户便会被定向到网络钓鱼网站,启动浏览器漏洞利用,甚至触发使用复杂技术的零日漏洞利用。虽然看似简单,但安全风险大多来自于浏览器而非 Outlook 本身。Outlook 将可用性放在首位,认为对每次超链接点击都进行确认是不切实际的。因此,用户应使用可靠的浏览器,并谨慎防范网络钓鱼攻击。

普通:附件攻击向量

攻击者会利用用户打开电子邮件附件的正常行为。当用户双击附件时,Outlook 会尝试在 Windows 上调用该文件类型的默认关联应用。因此,安全风险取决于附件文件类型的注册应用的稳健性。如果文件类型被标记为“不安全”,Outlook 就会阻止它。对于未分类的文件类型,系统会提示用户点击两次进行确认。因此,用户必须谨慎行事,对于来自不可信来源的附件,切勿轻易点击“打开”按钮。

高级:电子邮件查看和特殊对象攻击向量

电子邮件查看攻击向量

当用户在 Outlook 中查看电子邮件时,这种载体(又称“预览窗格”攻击)会构成威胁。在处理 HTML 和 TNEF 等不同电子邮件格式时可能会出现漏洞。为了增强安全性,建议将 Outlook 配置为只读纯文本电子邮件,但这样做可能会影响可用性,因为在此类纯文本电子邮件中可能无法查看链接和图片。

Outlook 特殊对象攻击向量

这种高级攻击向量会利用零日漏洞,例如 CVE-2023-23397。攻击者可通过发送恶意“提醒”对象来入侵 Outlook,从而在用户打开 Outlook 并连接到电子邮件服务器时触发漏洞。值得注意的是,受害者甚至不必查看电子邮件便会触发攻击。这凸显了及时进行安全更新和谨慎操作的重要性。

结论和防范措施

综上所述,保护 Outlook 用户需要多措并举。用户应避免点击未知链接,谨慎打开来自不可信来源的附件,并始终确保将 Microsoft 办公套件升级到最新版本和更新。 更为重要的是,IT决策者应该考虑将邮件系统纳入整体安全策略管理体系。上文揭示的所有攻击向量均可借助 Check Point 解决方案进行有效监控和防范,包括 Check Point 电子邮件安全和协作安全解决方案。Harmony Email & Collaboration 能够为 Microsoft 365、Google Workspace 以及所有协作和文件共享应用提供全面保护。该解决方案专为云电子邮件环境而设计,是唯一能够防止(而不仅仅是检测或响应)威胁侵入收件箱的解决方案。

Harmony Endpoint 可提供最高安全级别的全面端点保护;XDR/XPR 能够通过关联整个安全资产中的事件并结合行为分析、来自 Check Point Research 和 ThreatCloud AI 的实时专有威胁情报以及第三方情报,快速识别最复杂的攻击。

Threat Emulation 和 Check Point 网关可提供超越任何下一代防火墙 (NGFW) 的卓越安全防护。这些网关专为零日安全防护而设计,具有 60 多项创新安全服务,是防御第五代网络攻击的最佳选择。 同时,Check Point Research 一直在主动监测网上与 Outlook 和电子邮件相关的攻击。作为一家领先的安全公司,Check Point 始终致力于不断为全球客户开发创新的检测和保护技术。

如欲深入了解这些攻击向量,请参阅 Check Point Research 博客上的完整报告。