近日，一个名为“SubdoMailing”的大规模广告欺诈活动正在使用8000多个合法互联网域名和1.3万个子域名大量发送垃圾邮件，每天发送量高达500万封电子邮件，用于诈骗和恶意广告盈利。
攻击者劫持了属于合法公司和机构的 8000 多个域名和 13000 个子域的控制权，其中包括 MSN、VMware、McAfee、经济学人、康奈尔大学、哥伦比亚广播公司、漫威、斯沃琪、赛门铁克、美国公民自由联盟、普华永道、美国商业促进局、联合国儿童基金会和 eBay 等在内的一些知名品牌和机构。
这些恶意电子邮件包含隐藏恶意链接的嵌入式按钮，攻击者还将整封邮件设计成图片，以躲避基于文本的垃圾邮件过滤器，这些看起来合法地来自信誉良好的域名有助于绕过安全检测。
用户一旦点击该按钮，就会在后台执行一系列重定向操作，攻击者就可以通过恶意或欺诈性广告获得收入，投放恶意程序。
我们都知道，黑客只需一个漏洞就足以损害公司的财务状况、品牌声誉和/或与员工和客户的关系。
在过去的一年里，网络安全威胁持续增加，电子邮件是攻击的主要威胁之一。研究数据显示，检测到的恶意电子邮件数量逐年大幅增长，2023年比2022年增长了37%，比2021年增长了310%
电子邮件攻击常用手段有哪些？
Top1. 利用Office漏洞发动攻击，只要打开文档就受黑
黑客透过电子邮件递送特制的Word或RTF格式附件，搭配社交工程手法诱骗使用者开启。只要使用者开启附件，便会触发OLE漏洞或方程式漏洞，自动执行内嵌的恶意指令从远方下载并植入恶意程序，使攻击者可取得受感染电脑的控制权，借以发动其他恶意攻击。
OLE漏洞（CVE20144114）与方程式漏洞（CVE201711882）并非崭新的漏洞，但这些旧漏洞经过时间证明，足够「经典」并且「稳定」、「可被触发」，只要能够成功引起使用者的好奇，一旦附件被开启，不需要使用者再配合执行其他动作，漏洞便会触发执行恶意程序，黑客便能取得电脑掌控权。
虽然微软已发布漏洞修补更新，但是仍然有许多使用者因为没有定期更新的习惯，或是因为使用盗版软件而无法更新、或担心更新后有些功能无法使用…等理由而未更新，因此让黑客有机可乘，让这类手法荣登黑客爱用榜第一名。
Top2. 离线钓鱼（Offline Phishing），绕过上网安全软件与浏览器的钓鱼防护
黑客将钓鱼网页以.html或.mht附件的形式，透过电子邮件递送给使用者，将钓鱼网页直接呈现在受害者的本地端电脑。当使用者上勾填入敏感数据时，便以Post方法将数据传送出去。因为传送Post到外部的行为不会受到浏览器URL检测的保护阻挡，可成功绕过浏览器及部份上网安全软件的钓鱼防护，增加黑客钓鱼成功的机会，荣登黑客爱用榜第二名。
Top3. VBA攻击，自动判定操作系统以决定接下来的攻击手法
黑客在Word中置入恶意VBA，透过伪装为收据、发票、教学文件等电子邮件发送，当使用者受骗开启附件时，还会指导受害者开启「启用内容」按钮。并且可以自动判定所使用的操作系统环境为Windows或是Mac OS X再决定接下来要下载的攻击工具。还以为使用Mac就不会中毒吗？当MacOS用户变多后，Mac就与Windows一样，是符合经济效益的攻击标的！这个攻击与本文第一名的攻击工具同样都是针对微软Office进行攻击，不过在文档开启后还需要使用者再次配合按下启用内容，名列黑客爱用榜第三名。
虽然最常用的攻击工具可归纳为上述三种，然而黑客搭配运用的社交工程手法千变万化，瞄准人性弱点透过各种佯装与欺骗技俩，诱导使用者配合执行动作或提供帐号密码及其他机敏数据。
数安时代提醒用户能够把握以下几个原则，便能避免邮件攻击带来的伤害：
1.保持系统与软件的更新
2.不开启来路不明的附件
3.面对来信要求填写机敏数据、要求登入认证的邮件时，应保持高度怀疑的心态。
此外，光是要求使用者提升安全意识是不够的，在如今社会的各个行业电子邮件的应用都非常广泛，且在我们的工作生活中扮演着重要的角色，目前大多数用户都是采用明文方式进行邮件的发送与存储，但在日益复杂的互联网世界，这种方式很容易导致邮件中的商业机密及个人隐私被黑客或者木马程序所窥视以及修改，影响到用户自身的利益。
领取优惠
提交成功！