Les cybercriminels exploitent activement la fonctionnalité « Direct Send » de Microsoft 365 pour envoyer des e-mails de Phishing
Cette technique contourne efficacement les solutions de sécurité périmétrique en acheminant les e-mails malveillants via l'infrastructure de confiance de Microsoft 365
Ne nécessite ni identifiants ni jetons, mais uniquement la connaissance du domaine cible et des adresses de destinataires valides
Cela constitue une faille majeure dans les dispositifs de sécurité des e-mails, car cela permet de contourner les filtres de sécurité externes qui analysent les e-mails entrants provenant de sources externes.
Présentation
L'équipe de recherche sur les menaces de Mimecast continue d'observer des campagnes d'e-mails malveillants exploitant la fonctionnalité « Direct Send » de Microsoft 365. Ce vecteur d'attaque permet aux acteurs malveillants d'envoyer des e-mails qui semblent provenir d'utilisateurs internes, sans qu'il soit nécessaire de s'authentifier ni de pirater un compte. Cette technique a gagné en popularité, car elle permet de contourner efficacement les solutions de sécurité périmétrique et tire parti de la confiance que les utilisateurs accordent naturellement aux communications internes. Cette menace émergente constitue une faille critique dans les systèmes de sécurité de la messagerie électronique des organisations utilisant Microsoft 365.
Méthodologie d'attaque
« Direct Send » est une fonctionnalité officielle de Microsoft 365 conçue pour permettre à des appareils, des applications et des services tiers d'envoyer des e-mails directement dans les boîtes de réception des utilisateurs sans authentification. Les pirates exploitent cette fonctionnalité en se connectant au point de terminaison SMTP de Microsoft 365 et en envoyant des e-mails qui usurpent l'identité d'expéditeurs internes. Le processus d'attaque comporte trois étapes clés :
Les attaquants identifient les domaines d'entreprise valides et les adresses e-mail des destinataires grâce à des opérations de reconnaissance.
Ces e-mails sont conçus pour se faire passer pour des utilisateurs ou des services internes de confiance, en imitant souvent des communications professionnelles courantes, telles que des notifications du service informatique ou des annonces des ressources humaines.
Ces e-mails frauduleux sont acheminés directement via l'infrastructure de Microsoft 365, où ils apparaissent comme des messages acheminés en interne.
Contrairement à l'usurpation d'adresse e-mail classique, l'utilisation abusive de la fonctionnalité « Direct Send » ne nécessite aucun identifiant d'authentification, ni nom d'utilisateur, ni mot de passe, ni jeton. Il suffit aux pirates de connaître le domaine de l'organisation ciblée et de disposer d'adresses de destinataires valides. Cette technique est particulièrement efficace, car les e-mails transitent par l'infrastructure de confiance de Microsoft 365, ce qui leur confère une apparence légitime tant aux yeux des systèmes de sécurité que des utilisateurs finaux. L'absence d'exigences en matière d'authentification signifie que les attaquants peuvent usurper l'identité de n'importe quel utilisateur interne sans avoir besoin de compromettre des comptes légitimes.
Partager ceci
Informations sur la campagne
Les organisations sont fortement exposées au vol d'identifiants, au business email compromise et à la diffusion de malware par le biais de ce vecteur d'attaque. La confiance implicite liée aux communications internes augmente le risque que les utilisateurs interagissent avec des contenus malveillants.
Des campagnes récentes ont démontré l'efficacité de cette technique, les auteurs de menaces ayant réussi à récupérer des identifiants et à s'implanter pour effectuer des mouvements latéraux au sein des environnements ciblés. L'utilisation abusive de Direct Send a connu un succès particulier au sein des organisations qui s'appuient fortement sur les communications par e-mail pour leurs activités commerciales.
Bien que les e-mails malveillants envoyés directement ne transitent pas par Mimecast, les campagnes récentes observées contiennent des pièces jointes au format PDF ou DOCX comportant des codes QR, ou encore des pièces jointes HTML fortement obscurcies, qui mènent toutes à des pages de Phishing visant à récupérer des identifiants.
L'analyse des fichiers PDF et DOC joints révèle que les auteurs de la menace utilisent des outils automatisés pour générer des leurres convaincants sur le thème des affaires, dans le cadre d'une campagne de Phishing exploitant la fonctionnalité Direct Send de Microsoft. Les pièces jointes au format PDF ont été principalement créées à l'aide de wkhtmltopdf 0.12.6 (Qt 4.8.7), un outil couramment utilisé pour convertir à grande échelle des modèles HTML en fichiers PDF, tandis que les fichiers DOCX ont été générés avec Microsoft Office Word 2007, une ancienne version qui prend en charge des fonctionnalités souvent exploitées à des fins de Phishing, telles que les invites de récupération de fichiers et la compatibilité avec les macros. L'utilisation systématique de ces outils, associée à la création rapide, le jour même, de plusieurs documents thématiques, témoigne d'une approche coordonnée et fondée sur des modèles, conçue pour optimiser la diffusion et contourner les contrôles de sécurité traditionnels.
Analyse HTML
Un exemple intéressant de pièce jointe HTML illustre une technique d'obfuscation poussée utilisant l'obfuscation par homoglyphes. À première vue, le code utilise une single variable à plusieurs reprises, mais il définit et manipule plus d'une centaine de variables, chacune portant un nom composé de trois caractères UTF-8 (Unicode) visuellement similaires. Cette technique, connue sous le nom d'« obfuscation Unicode » ou « obfuscation par homoglyphes », rend l'analyse manuelle extrêmement difficile et peut déjouer de nombreux outils de détection automatisés. Le script évite toute chaîne de caractères lisible ou toute affectation directe. Au lieu de cela, il utilise une série de particularités de JavaScript et d’astuces de coercition de types — telles que !1+[] (qui donne la chaîne « "» : false"), []+{} (qui produit « " » : [object Object]"), et "foo"& " bar" (qui donne toujours 0) — pour générer des entiers et des chaînes de caractères de base. Ces nombres entiers sont ensuite utilisés comme indices de tableau ou pour construire des codes ASCII, qui sont assemblés de manière dynamique dans la charge utile finale à l'aide de fonctions telles que String.fromCharCode. Le code utilise la fonction document.write() afin d'afficher le contenu malveillant, qui redirige l'utilisateur vers un site de Phishing. Tout cela se fait sans qu'aucune chaîne de caractères utile ne figure dans le code statique, ce qui rend l'analyse statique et la détection par signature extrêmement difficiles.
Les autres pièces jointes au format HTML identifiées utilisent principalement une variante des caractères UTF-8 afin de brouiller considérablement le contenu du fichier.
Nouveau guide de l'employé et actualités organisationnelles
Reconnaissance de votre contribution professionnelle – Mise à jour sur la rémunération
Renouvellement obligatoire de vos identifiants de connexion
Confirmation : la prime de fin d’année 2025 a été ajoutée à votre fiche de paie
Action requise : Évaluation des collaborateurs de [Nom de l’entreprise]
Activer le paramètre « Refuser l'envoi direct » : si votre organisation n'a pas besoin de la fonction d'envoi direct, désactivez-la. Dans le Centre d'administration Exchange, activez le paramètre « Refuser l'envoi direct ». Cela permettra d'empêcher toute utilisation non autorisée de la fonctionnalité « Direct Send » en rejetant les e-mails qui tentent d'utiliser cette méthode sans authentification appropriée.
Si votre organisation utilise Direct Send, veuillez suivre ces étapes de filtrage et de configuration afin de vous assurer que seuls les e-mails autorisés sont transmis.
Évaluation environnementale
Avant d'activer cette fonctionnalité, les organisations doivent vérifier si leur environnement comporte des appareils ou des applications qui utilisent le protocole SMTP sans authentification pour des fonctions métier légitimes. Les systèmes existants, les imprimantes, les scanners et les applications métier peuvent nécessiter des mises à jour de configuration pour pouvoir utiliser des méthodes d'envoi authentifiées.
Gardez une longueur d'avance en matière de renseignements sur les menaces
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Abus de la fonctionnalité « Direct Send » de Microsoft 365 : risques de Phishing et recommandations de sécurité | Mimecast
