- Les cybercriminels profitent de la période des fêtes pour se faire passer pour des services légitimes d'invitation à des fêtes, tels que Punchbowl, afin de diffuser des outils de surveillance et de gestion à distance (RMM).
- Ciblant principalement les entreprises américaines des secteurs de la finance, des services professionnels (comptabilité, droit) et de l'immobilier
- Les liens contenus dans ces fausses invitations redirigent les utilisateurs via Google Sites et HubSpot vers le téléchargement du logiciel client ScreenConnect RMM
Threat intelligence
Les invitations aux fêtes de fin d'année fournissent des outils d'accès à distance
Points clés
Présentation de la campagne
L'équipe Mimecast Threat Research a identifié une campagne en cours qui profite de la période des fêtes pour diffuser des outils d'accès à distance dissimulés sous forme d'invitations à des fêtes de fin d'année. Plus de 2 300 domaines ont été identifiés comme cibles, principalement aux États-Unis, avec une concentration notable en Australie. Cette technique s'appuie sur des schémas bien connus d'usurpation d'identité de services d'invitation légitimes, tels qu'Evite et Punchbowl, afin de diffuser à la fois des pages de Phishing visant à obtenir des identifiants et des malware. La campagne actuelle s'inscrit dans la continuité de cette stratégie et cible plus particulièrement le volume croissant de communications relatives aux événements de fin d'année organisés par les entreprises.
Déroulement de l'attaque
L'attaque commence par l'envoi d'e-mails provenant de Business Email accounts légitimes mais piratés, ce qui confère immédiatement une grande crédibilité au message. Ces comptes piratés appartiennent souvent à des prestataires de services tiers de confiance, tels que des cabinets comptables, des cabinets d'avocats ou des consultants en gestion. Les destinataires reçoivent ce qui semble être une véritable invitation à une fête ou à un événement de fin d'année. L'e-mail contient un lien censé fournir des informations sur l'événement ou des options pour confirmer votre présence.
Lorsque vous cliquez dessus, le lien déclenche une chaîne de redirections en plusieurs étapes conçue pour échapper à la détection. Dans certaines campagnes, on constate que les utilisateurs sont redirigés via Google Sites ou le service d'engagement de HubSpot, ce qui masque encore davantage la destination malveillante. Dans d'autres campagnes, on constate qu'une page d'accueil invite l'utilisateur à cliquer sur le bouton « Télécharger le fichier », ce qui lancera le téléchargement. Les pages de destination finales hébergent des programmes d'installation du client ScreenConnect RMM, présentés comme des fichiers à télécharger pour des invitations à des fêtes.
