文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

你打出去的“客服电话”，正在把黑客请进公司内网——Microsoft Teams通知成新型钓鱼跳板，回拨型攻击席卷全球企业

他们首先创建大量恶意Teams团队（Team），命名极具迷惑性，如：“PayPal Billing Dispute – URGENT”“Microsoft 365 Security Alert”“HR:...攻击入口不是URL，而是那个看似正规的“客服电话”。“这是一次对‘信任链’的降维打击。”...随后，攻击者会引导受害者：访问一个看似正规的“远程支持门户”（如 support-microsoft[.]cloud）；下载并运行远程控制软件（如AnyDesk、TeamViewer、或定制版ScreenConnect...邮件层：增强Teams通知监控限制Teams外部邀请：在Microsoft 365管理中心配置策略，禁止非组织成员创建团队或邀请用户；监控异常团队命名：通过Microsoft Graph API定期扫描团队名称...，识别含“PayPal”“Billing”“Urgent”等关键词的可疑实体；# 示例：通过Graph API列出所有团队GET https://graph.microsoft.com/v1.0/groups

21110

基于SharePoint信任链的AiTM钓鱼与BEC攻击机理及防御

他们利用受害者的合法身份，向内部财务人员发送伪造的发票，或向外部客户发送更改收款账户的通知，甚至利用受害者的联系人列表进行横向扩散，发起新一轮的钓鱼攻击。...以下是一个基于Python的示例，演示如何利用Microsoft Graph API查询SharePoint共享活动，并基于启发式规则识别异常模式。...= f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token"self.graph_url = "https://graph.microsoft.com...= f"{self.graph_url}/auditLogs/directoryAudits" # 简化示例，实际应使用unifiedAuditLogs# 注：Graph API中统一审计日志的端点可能需要特定权限和不同的查询方式...fetch_sharing_activities函数负责从Microsoft Graph API拉取审计日志（实际部署中需处理分页和API限流）。

9610
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    摘要近年来，攻击者利用Microsoft Entra ID（原Azure AD）的多租户应用注册机制，创建高度仿真的假冒OAuth应用，诱导用户在合法微软授权页面授予高权限（如Mail.Read、User.ReadWrite.All...此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...；应用使用令牌调用Microsoft Graph API。...可通过Microsoft Graph API动态评估权限风险：HIGH_RISK_SCOPES = {'Mail.ReadWrite', 'MailboxSettings.ReadWrite','User.ReadWrite.All...可编写脚本每日比对已知可信应用列表，自动调用撤销接口：def revoke_consent(grant_id, admin_token):url = f"https://graph.microsoft.com

    24310

    基于OneDrive的高级鱼叉钓鱼攻击对C级高管身份安全的威胁与防御机制研究

    设置邮件转发规则：通过Exchange Web Services (EWS) API创建隐藏的邮件转发规则，将含“Board Meeting”、“M&A”、“Q4 Forecast”等关键词的邮件自动转发至外部邮箱...搜索并下载敏感文档：利用Graph API遍历OneDrive与SharePoint中的文件夹，下载包含“NDA”、“Term Sheet”、“Due Diligence”等关键词的文档。...三、现有防御体系的局限性尽管多数企业已部署高级邮件安全网关（如Mimecast、Proofpoint）、端点检测与响应（EDR）系统及多因素认证，但在应对上述攻击时仍存在明显短板。...以下Python脚本利用Microsoft Graph API实现授权审计：import requestsdef audit_oauth_apps(user_token):headers = {"Authorization...": f"Bearer {user_token}"}url = "https://graph.microsoft.com/v1.0/me/oauth2PermissionGrants"response

    23010

    如何实现一个对Springboot项目的监控程序

    当出现问题时，您希望在客户注意到问题之前得到通知，也许您可​​以在客户注意到任何事情之前解决问题。...示例应用程序将是一个具有两个虚拟端点的 Spring MVC 应用程序。 RestController使用两个端点创建一个。端点仅返回一个简单的String....如Prometheus 文档的安装部分所述，有多种安装 Prometheus 的方法。在本节中，您将在 Docker 容器中运行 Prometheus。...填写可以访问Prometheus的URL ，设置 HTTP访问为Browser，点击页面底部的Save & Test按钮。 当一切正常时，会显示一个绿色的通知横幅，表明数据源正在工作。...您可以在右上角更改范围。将其更改为 fe最后 30 分钟。 也可以将自定义面板添加到仪表板。在仪表板的顶部，单击添加面板图标。 单击添加新面板。

    1.2K20

    设备代码钓鱼攻击对Microsoft 365 OAuth授权机制的威胁分析与防御策略

    攻击者通过伪造IT部门通知、安全警报或软件更新提示，诱使用户访问看似合法的指令页面，并要求其在https://microsoft.com/devicelogin 输入一串六位字母数字组合的设备代码。...Graph API，读取邮件、日历、联系人，甚至创建新应用或修改权限。...值得注意的是，此过程中攻击者从未接触用户密码，且所有用户交互均发生在微软域名下，因此传统钓鱼检测工具（如邮件网关URL扫描、浏览器警告）完全失效。...假设攻击者已注册一个Azure AD应用，client_id为“a1b2c3d4-5678-90ef-ghij-klmnopqrstuv”，并申请了以下API权限：Microsoft Graph: Mail.ReadWrite...未来需推动更细粒度的权限委托机制（如Microsoft Graph Delegated Permissions with Scopes Restriction）。另一个挑战是刷新令牌的长期有效性。

    22210

    ConsentFix攻击机制与OAuth授权滥用的防御对策研究

    Graph API读取邮件、发送钓鱼邮件、下载OneDrive文件等。...（二）策略管理层：建立授权生命周期管理定期授权审计：每季度导出全组织应用授权清单，清理未使用或来源不明的应用；实施最小权限原则：推动业务部门使用权限更细的现代API（如Microsoft Graph的delegated...permissions with scopes）；自动化撤销机制：当检测到可疑活动时，自动调用Microsoft Graph API撤销相关应用授权：# 使用Microsoft Graph API撤销用户授权...import requestsdef revoke_consent(user_id, app_id, access_token):url = f"https://graph.microsoft.com/...= f"https://graph.microsoft.com/v1.0/oauth2PermissionGrants/{grant['id']}"requests.delete(delete_url

    19110

    基于Security Copilot的钓鱼邮件智能分拣机制研究

    2 分拣代理的技术架构与工作原理2.1 系统定位与触发机制分拣代理运行于Microsoft云安全基础设施之上，其激活条件为：用户在Outlook客户端点击“报告 > 钓鱼”；或管理员在Defender门户手动提交可疑邮件...上下文关联：查询Microsoft Graph，确认发件人是否为已知联系人、近期是否有类似通信。...例如，对一封伪造Microsoft 365登录通知的邮件，代理返回：“判定为高风险钓鱼邮件。...例如，强制对包含特定关键词（如“W-2”“ACH transfer”）的邮件提升风险权重：# 创建自定义邮件分类规则New-AntiPhishRule -Name "HighRiskFinanceKeywords...Graph API提交反馈import requestsdef submit_feedback(message_id, is_phish, comment):url = f"https://graph.microsoft.com

    25810

    基于浏览器扩展的Microsoft 365钓鱼攻击实时阻断机制研究

    OAuth滥用：攻击者诱导用户授权一个看似无害的第三方应用（如“PDF Viewer”、“Calendar Sync”），该应用请求过度的API权限（如Mail.ReadWrite, Calendars.ReadWrite...无Graph API集成：当前版本不自动撤销会话或令牌，需管理员手动响应。权限范围审慎：扩展需activeTab与storage权限，虽无敏感权限，但仍需用户信任。...禁用旧式认证协议：如Basic Auth、IMAP/POP3，防止凭证被直接用于API调用。配置条件访问策略：限制登录地理位置、设备合规性。...URL解包与沙箱集成：对短链接（如bit.ly）进行递归解析，并在隔离环境中渲染页面以提取真实域名。...与Microsoft Graph API联动：在检测到钓鱼后，自动调用/revokeSignInSessions终结用户所有活动会话。

    25110

    “rnicrosoft.com”不是笔误，是陷阱！新型域名欺诈钓鱼邮件席卷全球企业，安全专家紧急预警

    一封看似来自“Microsoft”的密码重置邮件，正悄然潜入全球数以万计企业员工的收件箱。邮件标题赫然写着：“您的账户存在异常登录，请立即更改密码”，内容排版、配色、Logo 与微软官方通知如出一辙。...例如：真实域名： microsoft.com伪造域名： rnicrosoft.com在邮件客户端预览窗格、手机通知栏或 Outlook 快速查看模式下，用户往往只扫一眼发件人名称（如“Microsoft...提交后，数据通过 AJAX 发送至攻击者控制的 API 端点：// 钓鱼页核心JS片段（简化）document.getElementById('loginForm').addEventListener(...阶段4：横向移动与持久化一旦获得有效凭据，攻击者立即使用 合法工具（如 PowerShell + Azure AD Graph API） 进行内网侦察：# 示例：使用窃取的凭据查询Azure AD用户列表...微软 Defender for Office 365 已集成 Post-breach Detection 功能，可分析用户登录后的异常行为（如大量下载 SharePoint 文件、创建新转发规则）；Google

    21310

    云邮箱钓鱼攻击趋势与企业防御体系重构

    传统钓鱼攻击多依赖伪造发件人地址或嵌入恶意链接，而当前攻击者更倾向于利用平台原生功能（如邮件隔离通知、密码策略提醒、共享文档协作）构建可信上下文，诱导用户主动泄露凭证或授权恶意应用。...短信验证码易受SIM交换攻击；TOTP虽本地生成，但无设备绑定；推送通知（如Microsoft Authenticator）若用户习惯性点击“Approve”，同样失效。...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。...Microsoft Graph API吊销会话示例：import requestsdef revoke_user_sessions(user_id, access_token):url = f"https...://graph.microsoft.com/v1.0/users/{user_id}/revokeSignInSessions"headers = {"Authorization": f"Bearer

    22210

    针对政治机构的鱼叉式钓鱼攻击特征与防御体系构建

    研究发现，此类攻击普遍利用合法协作平台（如Microsoft 365、Google Workspace）作为初始入口，并通过OAuth滥用或会话令牌窃取绕过多因素认证。...（2.4）横向移动与持久化获取邮箱访问权后，攻击者常利用“自动转发规则”窃取未来邮件，或通过Graph API读取联系人、会议记录，为下一轮攻击提供情报。...部分样本还部署了基于OAuth应用的持久化后门：POST https://graph.microsoft.com/v1.0/me/mailFolders/inbox/messageRulesAuthorization...（5.1）系统架构前端：Outlook插件，提供举报按钮与可疑链接预览；中台：基于Microsoft Graph API的行为分析引擎；后台：条件访问策略管理与OAuth授权审计模块。...（5.2）关键功能代码示例自动检测并阻断恶意邮件转发规则：from microsoft_graph import GraphClientdef detect_malicious_forwarding(user_id

    20310

    基于OAuth滥用的定向钓鱼攻击与防御机制研究

    2.3 设备码流程（Device Code Flow）滥用在针对Microsoft账户的变体中，UTA0355采用OAuth 2.0设备码流程，该流程原本用于无浏览器设备（如智能电视）的认证。...user_code=ABCD-EFGH&device_code=xyz...一旦用户分享该URL，攻击者即可提取device_code，并在后台轮询Microsoft令牌端点，等待用户在其他设备上完成授权...-DefaultUserRolePermissions @{"permissionGrantPoliciesAssigned" = @()}更精细的做法是创建“应用审批列表”，仅允许特定ISV（如Zoom...Graph API支持查询用户授予的同意记录：GET https://graph.microsoft.com/v1.0/me/oauth2PermissionGrantsAuthorization:...Bearer 企业可开发内部工具，每周自动标记并通知用户确认非必要授权，或直接批量撤销。

    28010

    优雅退出和零停机部署

    您必须记住，「有多个组件订阅终端点的更改，并且它们可能在不同的时间接收到有关终端点更新的通知」。 快速回顾一下创建Pod时发生的情况： Pod被存储在etcd中。 调度器分配一个节点。...所有相关的终端点（对象）都会收到更改的通知。 终端点将新的终端点（IP地址+端口对）添加到它们的列表中。 Kube-proxy收到终端点更改的通知。...Ingress控制器收到终端点更改的通知。控制器将流量路由到新的IP地址。 CoreDNS收到终端点更改的通知。如果服务是无头服务类型，DNS条目将被更新。 云提供商收到终端点更改的通知。...如果服务是type: LoadBalancer类型，新的终端点将被配置为负载均衡器池的一部分。 安装在集群中的任何服务网格都会收到终端点更改的通知。 订阅终端点更改的任何其他操作者也会收到通知。...kube-proxy、Ingress控制器、CoreDNS等都会收到更改的通知。 一些组件（如kube-proxy）可能需要一些额外的时间来进一步传播更改。

    1.1K20

    微软365“设备代码钓鱼”风暴来袭：无需密码，黑客秒控企业邮箱

    一旦用户输入代码并点击“下一步”，系统会要求其使用 Microsoft 365 账户登录——此时 MFA 可能被触发，用户收到短信或 Authenticator 推送通知，并完成验证。...它允许第三方应用在不获取用户密码的前提下，访问用户在其他服务（如 Google、Microsoft）上的资源。...更危险的是，一旦获得 Refresh Token，攻击者可长期维持访问，即使用户更改密码也无效——因为 OAuth 令牌独立于密码体系。...Graph API 窃取数据breakelif token_resp.json().get("error") == "authorization_pending":time.sleep(5)else:...print("❌ 授权失败:", token_resp.text)break一旦拿到 access_token，攻击者即可调用 Microsoft Graph API 执行任意操作：# 示例：读取受害者最近

    30210

    凭证窃取主导下的现代网络攻击链演化与防御体系构建

    尤其在Microsoft 365、Salesforce、Google Workspace等主流SaaS平台中，一旦主账户凭证失窃，攻击者可在数分钟内完成权限提升、邮箱导出、API调用乃至数据外泄，而平均检测延迟仍超过...典型路径如下：钓鱼获取员工凭证（含MFA绕过，如MFA疲劳攻击）；登录云控制台（如Azure AD、AWS IAM）；枚举高权限账户或服务主体；申请或窃取OAuth令牌/会话Cookie；通过Graph...= "https://graph.microsoft.com/v1.0/oauth2PermissionGrants"grants = []next_url = urlwhile next_url:resp...= f"https://graph.microsoft.com/v1.0/oauth2PermissionGrants/{g['id']}"requests.delete(del_url, headers...Graph API /users/{id}/revokeSignInSessions；发送Teams通知至用户及IT支持；创建Jira工单要求用户完成安全培训；更新IAM策略，强制启用FIDO2。

    25210
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券