Visitez notre kiosque à CANSEC les 27-28 mai
Un fichier nommé AudioMessage suivi d'un identifiant aléatoire. Un logo audio qui semble légitime. Un clic. Vos identifiants Office 365 viennent d'être compromis et vos courriels sont désormais redirigés vers une boîte Gmail contrôlée par des attaquants. Cette campagne d'hameçonnage révèle une sophistication inquiétante dans le ciblage des cadres supérieurs.
Un appât audio qui cache du JavaScript
Les attaquants distribuent un fichier HTML déguisé en message vocal. Au moment de l'analyse, seulement deux antivirus sur 58 identifiaient ce fichier comme potentiellement douteux. Aucun antivirus commercial majeur ne le détectait comme franchement malveillant. Le fichier contient un script JavaScript encodé qui redirige la victime vers un site de phishing particulièrement convaincant.
Une copie presque parfaite
Le site malveillant reproduit fidèlement l'interface de connexion Office 365. L'élément le plus troublant: le logo de l'entreprise ciblée apparaît automatiquement sur la page, créant une illusion de légitimité presque parfaite. Cette personnalisation suggère que les attaquants ont fait leurs recherches avant de lancer leur campagne. L'URL elle-même, hébergée sur fairfaxpavingpros.com, était considérée comme saine par VirusTotal, contournant ainsi les filtres de sécurité basés sur la réputation.
Un ciblage délibéré
L'analyse des cibles révèle un schéma clair: les victimes étaient principalement des membres de la haute direction. Cette sélection n'est pas le fruit du hasard. Les attaquants choisissent leurs cibles en fonction de leur accès à des informations stratégiques et financières. Une fois les identifiants capturés, ils configurent discrètement des règles de transfert automatique vers des comptes Gmail externes, leur permettant d'intercepter toutes les communications futures sans éveiller de soupçons immédiats.
Conséquences et persistance
Avec un accès complet à la boîte de courriels, les possibilités d'exploitation sont multiples: interception de documents confidentiels, identification de relations d'affaires pour des fraudes ultérieures, envoi de courriels en usurpant l'identité de la victime. Le transfert automatique des courriels garantit une surveillance continue même si la victime change son mot de passe plus tard, tant que la règle de transfert demeure active et invisible.
Le rapport complet détaille le code JavaScript malveillant, la chaîne de redirection et les recommandations pour auditer les règles de transfert existantes dans votre organisation.
