黑客使用零宽度空格绕过Office 365的保护

据外媒报道，微软最近修复了Office 365的一个漏洞，黑客之前利用这个漏洞绕过钓鱼保护，将恶意信息发送到受害者邮箱中。该漏洞与电子邮件原始HTML中的恶意URL中使用的零宽度空格(ZWSP)有关。黑客通过分割URL的方法，使得防御系统不能检测到恶意信息。


　　专家指出，使用这种技术可以绕过URL信誉检查和安全链接保护。由于这些零宽度的空格不呈现，接收者无法看到URL中的随机特殊字符。

　　黑客利用零宽度空格将钓鱼URL从Office 365 Security和Office 365 ATP中隐藏，而后发送大量钓鱼邮件。

　　专家解释说，在原始HTML中，零宽度空格是数字和特殊字符的混合，这些字符随机插入URL的单词或字母之间。但在浏览器中看不见这些字符。此次事件中，黑客发送的邮件信息包括用于获取美国大通银行客户凭证的钓鱼网页的链接。

　　最近出现的零宽度空格攻击是baseStriker技术和ZeroFont攻击的升级版。