A Microsoft expandirá, em julho de 2025, o bloqueio de tipos de arquivo considerados arriscados no Outlook Web e no novo Outlook para Windows, reforçando a segurança contra ataques que exploram anexos maliciosos.
Em 10 de junho de 2025, a Microsoft anunciou que começará a bloquear os arquivos com extensão .library‑ms e .search‑ms no Outlook Web (OWA) e no novo Outlook para Windows. O arquivo .library‑ms, usado para definir coleções de pastas e arquivos no Windows, foi explorado este ano em campanhas de phishing contra entidades governamentais e empresas, por meio da vulenrabilidade CVE‑2025‑24054, que expôs hashes NTLM e permitiu ataques de força bruta . Já o protocolo URI .search‑ms vem sendo utilizado desde junho de 2022 em ataques que abusam do Windows Search e do MSDT (CVE‑2022‑30190), provocando execução de código malicioso ao abrir o link.
A Microsoft ressalta que esses tipos de anexos são raros, então a maioria das empresas não será diretamente afetada. Mas, caso os usuários dependam desses formatos, poderão perceber que não conseguem mais abrir ou baixar esses anexos — a menos que sejam autorizados pelo administrador do Exchange.
Dica de prevenção
Treine sua equipe para identificar phishing envolvendo links curiosos ou extensões desconhecidas.
Prefira compartilhar arquivos suspeitos por meio de links seguros (OneDrive ou SharePoint), evitando anexos diretos.
Se essas extensões forem necessárias, configure as regras de OwaMailboxPolicy antes da implantação para autorizar o envio.
Mantenha políticas restritivas de anexos e siga boas práticas de segurança com antivírus e scan de e-mail.
Com essa medida, a Microsoft reforça sua postura de eliminar ferramentas que facilitam ataques via Office e Windows, como já fez com VBA macros, XLM e ActiveX. No cenário atual, bloquear extensões pouco comuns e monitorar anexos suspeitos é essencial. Na LC SEC, oferecemos auditoria de políticas de e-mail, treinamentos anti‑phishing e consultoria em configuração segura do Office 365. Melhore sua defesa agora.
Conheça nossos serviços em lcsec.io