在使用流行服务的最新广告系列中，发现黑客使用恶意的Microsoft Office 365应用来访问用户帐户。
该活动由PhishLabs的安全研究人员在上个月进行了详细介绍，但直到最近才被其他安全专家所采用，该活动被描述为使用一种以前看不见的策略来努力获得受害者的帐户，而无需他们放弃其凭据。
攻击路径始于传统的网络钓鱼消息，该消息模拟了内部SharePoint和OneDrive文件共享，旨在诱骗用户单击链接，但随后变得很有趣。如果用户尚未登录，他们将被带到合法的Office 365登录页面。
登录后，如果尚未登录，则会提示他们接受名为0365 Access的应用程序的许可请求。权限列表很广泛，为应用程序授予对受害者的收件箱，联系人和文件的完全访问权限。
该应用程序本身使用Microsoft的Office 365加载项功能，因此，请求是由Microsoft自身生成的。该应用程序利用Office 365中的一项功能，该功能允许通过侧面加载安装加载项和应用程序，而无需经过Office Store进行审查。安全研究人员解释说：“这意味着威胁参与者可以将恶意应用程序从他们控制的基础结构中交付给任何单击URL并批准所请求权限的用户。”
通过检查发件人帐户可以避免该骗局，而企业还可以限制Office 365用户安装未从官方Office Store下载或未列入白名单的应用程序的能力。研究人员还强调了在工作场所进行安全意识培训的必要性。
“直到他们已经被破坏登录的所有者实现了捕获的Office 365用户登录到攻击者的用处是唯一有价值的和他们的密码更改，”斯图Sjouwerman，安全培训公司的创始人兼首席执行官KnowBe4公司，告诉SiliconANGLE。“因此，就像任何一次良好的攻击一样，网络犯罪分子希望建立持久性-使目标保持对他们的访问能力。”
他补充说，好消息是，用户仍然需要掉入最初的网络钓鱼电子邮件，要求他们单击恶意链接。他说：“让用户接受持续安全意识培训的组织知道，他们的用户已被教会如何轻松地发现此类未遂攻击，而不会落入他们的视线。”