一种新型的浏览器内钓鱼攻击瞄准了微软365登录凭据

ZM
ZM

暗镜

2026年6月12日 08:00
北京

在小说阅读器读本章

去阅读

网络犯罪分子发起了一场针对微软365用户的极具欺骗性的网络钓鱼活动。此次行动利用了一种名为“浏览器内浏览器”（BitB）攻击的复杂技术来窃取敏感的企业数据。

由于基于云的运营是许多现代企业的支柱，攻破一个微软帐户就可能让攻击者掌握整个组织网络的控制权。

浏览器内浏览器攻击在网络犯罪分子中越来越受欢迎，因为它们可以绕过许多传统的网络钓鱼攻击的视觉指标。

安全专家多年来一直培训用户在输入密码之前检查网址并查找安全锁图标。

这种特定威胁通过欺骗地址栏，轻易诱骗人们交出他们宝贵的登录凭证，从而使培训完全失效。

这种威胁的核心在于生成一个完全嵌入当前网页的虚假交互式窗口。当受害者访问被入侵的网站时，该页面会利用恶意代码显示一个人工叠加层。

对于未经训练的人来说，这个叠加层看起来就像一个标准的单点登录 (SSO)弹出窗口，这种窗口经常在 Microsoft 帐户身份验证期间出现。

这场攻击之所以极其危险，是因为它利用了操作系统和浏览器指纹识别技术。在显示虚假登录提示之前，脚本会仔细检查受害者使用的硬件和软件。

如果用户使用的是运行 Google Chrome 的 Windows 电脑，则弹出窗口会完美地模仿 Windows Chrome 浏览器的精确边框、按钮和滚动条。

如果用户使用的是搭载 Safari 浏览器的 macOS 设备，弹出窗口会立即调整以模仿苹果的界面。为了使效果更加逼真，用户甚至可以拖动这个虚拟窗口在屏幕上移动。

在这个精心设计的覆盖层中，攻击者显示了一个伪造的 OAuth URL。

由于伪造的地址栏是用简单的 HTML 和 CSS 构建的，而不是用实际的浏览器构建的，因此攻击者可以显示伪造的安全锁图标和看起来很合法的 Microsoft 域名。

用户如果尝试通过这种熟悉的提示登录，就会在不知不觉中将密码直接发送到威胁行为者的服务器。