新型钓鱼攻击将 Microsoft 365 的直接发送功能武器化

据外媒报道，网络安全研究人员近日发现新型钓鱼攻击，滥用Microsoft 365的 "直接发送 "功能绕过SPF、DKIM和DMARC等传统邮件安全协议。攻击者通过受害者自身邮件基础设施路由恶意邮件，伪装成可信内部通信。该攻击采用双向量载荷：1)HTML诱饵：伪装为音频播放器，通过无效图像标签触发Base64解码的恶意JavaScript。2)SVG文件：利用安全系统对图像文件的信任，嵌入多层混淆的JavaScript。