可信域名中的隐藏风险：邮件网络钓鱼攻击中的欺骗性URL重定向
内容提要
电子邮件成为网络钓鱼攻击的主要目标，威胁行为者利用合法平台实施重定向攻击，绕过安全过滤器，利用用户信任传播恶意软件。Google等平台也被滥用。需加强网络钓鱼防护，保持警惕。
延伸解读
开放重定向漏洞：钓鱼攻击的跳板
开放重定向漏洞（CWE-601）允许攻击者将可信网站用作跳板，将用户重定向到恶意站点。由于初始链接来自合法域名，传统安全过滤器难以识别。攻击者常将这类链接嵌入钓鱼邮件，利用用户对知名域名的信任，提高攻击成功率。企业应检查自身网站是否存在此类漏洞，避免被利用。
多重身份验证钓鱼：伪造MFA警报的陷阱
攻击者常伪造多因素认证（MFA）警报邮件，谎称有异常登录，并提供一个“保护账户”的链接。该链接利用开放重定向，将用户引导至伪造的登录页面，窃取凭证。用户需警惕任何要求点击链接进行安全操作的邮件，应直接通过官方应用或网站核实。
恶意软件交付：PDF附件中的JScript威胁
除了窃取凭证，开放重定向还被用于传播恶意软件。例如，以电子发票为主题的邮件附带PDF附件，点击后却下载并执行JScript文件，进而释放WikiLoader等恶意软件。用户应避免打开可疑附件，尤其是来自未知发件人的文件，并确保系统更新以防御此类威胁。
Google服务被滥用：Web Light、通知与AMP
攻击者滥用Google的合法服务进行重定向，如Google Web Light、notifications.google.com和Google AMP。这些域名信誉高，能绕过安全检测。例如，利用AMP URL将用户重定向到托管在repl.co的钓鱼页面。用户需注意，即使链接包含google.com，也可能被操纵，点击前应悬停查看完整URL。
Q&A
什么是开放重定向漏洞？它是如何被用于网络钓鱼的？
开放重定向漏洞（根据MITRE CWE-601）允许Web应用程序接受用户控制的输入，指定指向外部站点的链接并在重定向中使用该链接，从而将用户重定向到不受信任的站点。威胁行为者利用该漏洞，将恶意链接嵌入网络钓鱼邮件中，当用户点击后，会从可信域名自动重定向到攻击者控制的恶意网站，进而窃取敏感信息或传播恶意软件。
为什么利用可信域名进行重定向的网络钓鱼攻击难以被检测？
因为初始链接看起来安全且来自受信任的来源，能够绕过基于已知恶意URL扫描的传统安全措施。威胁行为者还可以采用多重重定向技术，使得跟踪目标URL更加困难。此外，普通用户难以检测重定向，初始URL可能看起来真实，转换到恶意站点时通常很顺利且无法检测。
威胁行为者如何滥用Google平台进行网络钓鱼重定向？
威胁行为者利用多个Google服务作为可信域名进行重定向攻击，包括：Google Web Light（将用户重定向到Cloudflare IPFS中托管的钓鱼网站）、notifications.google.com（自2023年第四季度以来被用于发送以Meta旗下服务为主题的钓鱼邮件）、Google AMP（将用户重定向到托管在repl.co上的钓鱼页面）。
除了窃取凭证，重定向攻击还能造成什么危害？
除了实现网络钓鱼攻击并窃取用户合法凭证之外，威胁行为者还可以利用可信平台和开放重定向来实现恶意软件的感染和交付。例如，以电子发票为主题的电子邮件活动使用PDF附件作为诱饵，点击后下载并执行JScript文件，进而下载并执行WikiLoader恶意软件。
有哪些真实案例展示了开放重定向在网络钓鱼邮件中的利用？
一个真实案例中，威胁行为者模拟多重身份验证（MFA）警报邮件，欺骗用户出现错误登录尝试，并包含一次性安全码。邮件中的链接使用合法域名intelliclicktracking.net作为基地址，但包含一个URL参数指向恶意IPFS站点，该站点托管了伪造的Webmail虚假登录表单。其他被滥用的可信域名包括Microsoft.com、VK.com、Medium.com、Doubleclick.net等。
威胁行为者如何利用搜索引擎进行网络钓鱼重定向？
威胁行为者可以利用Bing等搜索引擎作为网络钓鱼重定向攻击的工具，例如通过Bing跟踪链接重定向Bing搜索URL（如www.bing.com/ck/a?!p=...），将目标用户重定向到托管在Glitch.me上的网络钓鱼登录页面。
