Campagne de Phishing visant à dérober des identifiants sous le couvert de Microsoft Teams, exploitant des ressources de formation légitimes

Présentation de la campagne

L'équipe de recherche sur les menaces de Mimecast a identifié une campagne de Phishing visant à dérober des identifiants, qui utilise à des fins malveillantes des supports de formation légitimes destinés à sensibiliser aux questions de sécurité. Des cybercriminels ont modifié des modèles de simulation de Phishing accessibles au public sur CanIPhish, une plateforme légitime de formation à la sécurité, afin de créer des leurres convaincants sur le thème de Microsoft Teams ciblant les utilisateurs professionnels.

Chaîne d'attaques

La campagne repose sur une approche en plusieurs étapes visant à tirer parti de la confiance que les utilisateurs accordent aux outils de communication professionnels qu'ils connaissent bien :

1. Envoi initial : les e-mails sont diffusés via l'infrastructure de SendGrid à l'aide de comptes piratés

2. Piège d'ingénierie sociale : les destinataires reçoivent ce qui semble être une notification Microsoft Teams concernant une tâche qui leur a été attribuée, consistant à examiner un rapport sur l'ancienneté des créances ( "Aging Report)" lié aux comptes fournisseurs ou à la documentation financière.

3. Utilisation abusive de modèles : des cybercriminels se sont procuré des modèles HTML à partir des exemples de simulation de Phishing accessibles au public sur le site CanIPhish. Ces modèles, initialement conçus pour des formations à la sécurité, ont été modifiés afin de :

• Remplacez les URL de simulation par le domaine malveillant destiné à la collecte d'identifiants
• Personnalisez les noms des entreprises et les coordonnées des destinataires pour les organisations ciblées

Les modèles modifiés conservent les références au compartiment AWS S3 de CanIPhish pour les ressources graphiques (https://caniphish.s3.ap-southeast-2.amazonaws.com/), renforçant encore davantage l'impression de légitimité.

" 4. Capture des identifiants : les utilisateurs qui cliquent sur les boutons « "» (Ouvrir dans Teams), «" » (Ouvrir dans Teams) ou « "» (Ouvrir dans un navigateur) sont redirigés vers la page ci-dessous, où ils doivent cliquer sur un autre lien pour ouvrir le fichier.