黑客正在使用 Google 窃取 Microsoft 密码

有无数种方法可以窃取密码。从针对 Gmail 用户的复杂 AI 驱动攻击，到无形的黑客威胁和虚假 CAPTCHA 测试。然而，您可能意想不到的是，黑客会部署 Google 来针对 Microsoft 用户，以便访问帐户密码。但是，当涉及到网络安全时，您应该始终预料到意外情况 - 以下是您需要了解的内容。

黑客如何使用 Google 来定位 Microsoft 密码

Malwarebytes 的安全研究人员似乎掌握了发现针对帐户密码的狡猾黑客攻击的诀窍，这些攻击使用恶意广告作为凭据盗窃的垫脚石。我最近报道了 Malwarebytes 高级研究总监 Jérôme Segura 发现的“永久黑客攻击”，黑客如何伪装成虚假的 Google Ads 登录页面来欺骗广告商，然后这些广告商被网络钓鱼以获取他们的帐户凭据。现在，似乎正在进行的类似攻击通过在 Google 搜索中出现虚假广告来针对 Microsoft 广告商帐户。“这些出现在 Google 搜索上的恶意广告，”Segura 说，“旨在窃取试图访问 Microsoft 广告平台的用户的登录信息。

在广告生态系统方面，Google 和 Microsoft 之间正在进行一场商业大战，这已经不是什么秘密了，Microsoft 从 Google 购买广告空间是为了从这些搜索中获得点击。然而，Malwarebytes 研究人员发现，在 Google 上搜索 Microsoft Ads 的赞助结果返回的广告包含通过 Google 严格保护的恶意链接。“我们已经向 Google 报告了这些事件，”Segura 说，我已经联系了 Google 和 Microsoft 寻求声明。

黑客如何逃避检测并最终窃取密码

Segura 讲述了威胁行为者如何“使用不同的技术来逃避检测并丢弃来自机器人、安全扫描程序和爬虫程序的流量”。任何使用 VPN 的人都会被引导到包含虚假营销的“白页”，而“真实”用户会被重定向到需要“你是人类吗”验证检查的伪装页面。最后，他们被重定向到冒充 Microsoft 广告平台登录的恶意域的入口页面。“网络钓鱼页面向用户提供虚假错误消息，诱使他们重置密码，”Segura 警告说，并试图绕过任何双因素身份验证保护。

Segura 表示，这可能只是一座非常令人担忧的冰山一角，Google Ads 和 Microsoft Ads 以外的帐户成为窃取密码的目标。“最近的这些恶意广告活动凸显了通过在线广告进行网络钓鱼的持续威胁，”Segura 总结道，“虽然像 Google 这样的科技公司正在努力解决这些问题，但用户必须保持警惕。

缓解对帐户密码的最新攻击

Segura 推荐以下缓解方法：

·         在输入任何凭据之前，请务必仔细检查浏览器地址栏中的 URL。

·         明智地使用 2FA 验证，在授予他们访问权限之前，您仍然需要注意请求。

·         检查您的广告账户是否有任何可疑活动，例如管理员账户中的更改。

·         如果您遇到可疑广告，请举报它以方便其他用户。

当我上次报道这些类型的攻击时，这些攻击使用恶意广告作为窃取密码的途径，谷歌告诉我，它有一项虚假陈述政策，不允许广告商投放欺骗用户的广告，无论是通过隐瞒有关广告商的业务、产品或服务的信息。Google 有专门的团队来监控侵权行为，并告诉我，作为背景信息，他们知道这些恶意广告活动，并将继续对它们采取执法措施。恶意广告和相关帐户都会受到积极审查，并因此采取适当的措施。