Les chercheurs en cybersécurité de Mimecast ont observé une campagne de malware utilisant Sendinblue (désormais Brevo) pour sa diffusion (référencée en interne sous le nom de MCTO1020). Brevo est une plateforme marketing tout-en-un proposant des outils de messagerie électronique, de SMS, d'automatisation et de gestion de la relation client (CRM) destinés à favoriser l'engagement client. Ces campagnes consistent principalement à utiliser des leurres liés à des problèmes de réservation pour inciter les utilisateurs à cliquer sur des liens qui semblent provenir de booking.com. Cependant, ces liens utilisent le service de redirection Sendinblue/Brevo pour suivre les clics et rediriger les utilisateurs vers des sites malveillants appartenant aux auteurs de cette attaque. Étant donné que la plupart des utilisateurs accèdent à des sites web personnels depuis des appareils d'entreprise, il est important de souligner comment les services personnels sont utilisés pour cibler ces appareils.
Une fois redirigé, l'utilisateur voit s'afficher la page CAPTCHA ci-dessous, qui contient des instructions lui demandant de copier-coller des commandes dans le presse-papiers dans le cadre d'une étape de vérification à effectuer dans l'invite de commande.
Une fois que l'utilisateur aura exécuté la commande, un logiciel de vol d'informations sera téléchargé ; dans ce cas précis, le malware identifié est LummaC, qui cible généralement les identifiants, les données de navigation et les portefeuilles de cryptomonnaies.
Cette campagne, qui utilise Brevo comme moyen de diffusion et de redirection, a été observée pour la première fois début janvier avec des volumes faibles, puis a connu une forte augmentation à la mi-janvier et à la fin du mois. Étant donné que les cibles étaient des hôtels, des chaînes hôtelières, des complexes touristiques, etc., cela correspond au fait que les gens réservent leurs vacances pour l'année à venir bien à l'avance afin de s'organiser.
Nous avons identifié plusieurs attributs dans les campagnes qui ont été ajoutés à nos capacités de détection.
Royaume-Uni, secteur de l'hôtellerie-restauration
URL
admin-booking-service[.]com
adminbokingcapha64578[.]com
booking[.]parner-id-010101743[.]com
commentsvisitor58100[.]world
commentairesvisiteur589360[.]world
concernguest68549[.]com
concernguest74549[.]com
feedbackguest485100[.]world
feedbackguest485121[.]world
feedbackguest48594821[.]world
feedbackguest84560[.]world
page-de-commentaires91293[.]world
issueguest423239[.]world
issueguest495139[.]world
parner-id-010101743[.]com
parner-id1501202500[.]com
reportguest4893921[.]world
reportguest4895921[.]world
roomsattendes999923[.]world
roomsvisitor9934224[.]world
T1566.002 : Phishing : Hameçonnage ciblé (spear phishing) Lien
T1585.002 : Créer des comptes : comptes de messagerie
T1204.002 : Exécution par l'utilisateur : fichier malveillant
T1059.003 : Interpréteur de commandes et de scripts : ligne de commande Windows
T1547.001 : Exécution automatique au démarrage ou à la connexion : clés « Run » du Registre / dossier « Démarrage »
T1027 : Fichiers ou informations obscurcis
T1202 : Exécution indirecte de commandes
T1555 : Identifiants provenant de magasins de mots de passe
T1083 : Découverte de fichiers et de répertoires
T1518.001 : Identification des logiciels : Identification des logiciels de sécurité
T1113 : Capture d'écran
Découvrez comment la plateforme unique de Mimecast peut protéger votre personnel, votre IA et vos données.
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Threat Intelligence1 sept. 2026
Threat Intelligence27 août 2026
