Een phishingcampagne waarbij criminelen het bestand xls.html gebruiken voor het stelen van inloggegevens is al meer dan een jaar gaande, zo stelt Microsoft dat de aanvallen analyseerde. De phishingmails die de criminelen versturen doen zich voor als factuur en hebben een bestand met de naam xls.html als bijlage.

"Het gebruik van xls in de bestandsnaam van de bijlage is bedoeld om gebruikers een Excel-bestand te laten verwachten", laat Microsoft weten. Wanneer de ontvanger het bestand opent wordt er een browservenster getoond met een vals inlogscherm voor Microsoft Office 365, met daaronder een onherkenbaar Excel-document. Het inlogvenster kan informatie over het doelwit bevatten, waaronder e-mailadres en in sommige gevallen bedrijfslogo.

In eerste instantie maakten de aanvallers gebruik van plaintext html, maar inmiddels passen ze allerlei encoding toe om detectie van de phishingonderdelen te voorkomen, waaronder het gebruik van Morsecode. Ook stelen de aanvallers nu meer informatie naast gebruikersnamen en wachtwoorden, zoals ip-adressen en locatiegegevens. Volgens Microsoft kunnen deze gegevens bij latere aanvallen worden gebruikt.

Om phishing tegen te gaan adviseert Microsoft voor elk account een uniek wachtwoord en het gebruik van multifactorauthenticatie. Verder dienen organisaties hun personeel voor te lichten over phishingtactieken, aldus het techbedrijf.