Le service de recherche sur les menaces de Mimecast a observé que des acteurs malveillants utilisaient SharePoint et Google Drive pour partager des fichiers contenant des liens vers des sites malveillants. L'appât prend principalement la forme d'un appel d'offres visant à obtenir des identifiants via un kit de phishing hébergé.
Vous trouverez ci-dessous un exemple tiré de cette campagne, qui utilise un compte O365 compromis. Dans la plupart des cas, les domaines proviennent de secteurs d’activité spécifiques liés à la cible, ce qui augmente la probabilité que l’utilisateur final interagisse avec l’e-mail.
L’e-mail contient un lien « Cliquez ici pour consulter le projet » utilisé pour obtenir plus d’informations sur l’appel d’offres. En cliquant sur ce lien, les utilisateurs sont redirigés vers la page d’un dossier SharePoint contenant un fichier, ce qui est inhabituel car ce sont généralement les « fichiers » eux-mêmes qui constituent l’appât, ce qui rend cette technique unique.
Cette couche supplémentaire de dissimulation vise à contourner les solutions de sécurité. De plus, la présence de plusieurs fichiers dans le dossier rend l’appât plus crédible, ou permet à l’acteur malveillant de gérer ses campagnes en utilisant des dossiers sans avoir à partager directement un fichier.
Dans cet exemple de campagne, un dossier a été créé sur la page SharePoint liée à une véritable entreprise, le propriétaire présumé du fichier étant associé à cette même organisation. Une fois dans le dossier, l’utilisateur doit interagir avec la page pour accéder au fichier.
En cliquant sur le fichier, un PDF flou s’affiche, invitant l’utilisateur à cliquer sur un lien pour se connecter à son compte Microsoft afin d’accéder au fichier.
Les pages de hameçonnage présentent une structure d’URL similaire : hxxps://[NOM].[store/online/site]/?[8 caractères], ce qui a été observé sur des pages de hameçonnage achetées sur « NakedPages ». Dans certaines campagnes, des pages de captcha sont ajoutées afin d’augmenter le nombre d’interactions utilisateur nécessaires pour atteindre la page de hameçonnage finale – parfois jusqu’à 7. Cette technique est désormais très couramment utilisée par les cybercriminels pour échapper à la détection.
Ce type de technique ne se limite pas aux services Microsoft ; voici un exemple utilisant Google Drive, avec une mise en page et une page finale de collecte d’identifiants très similaires :
Lors de l’analyse de l’exemple concernant Google Drive, une page d’erreur s’est affichée, fournissant un peu plus de détails sur la campagne : on y observe un échec de licence provenant vraisemblablement de « NakedPages ».
Des informations supplémentaires sur la page font référence à nkp.relay-proxy-i2p.com. I2P est une couche réseau axée sur la confidentialité et destinée à la communication anonyme. Cela suggère que la page de hameçonnage tentait de se connecter à un relais ou à un proxy I2P, probablement pour exfiltrer des données ou communiquer de manière anonyme.
Une enquête plus approfondie révèle que nkp.relay-proxy-i2p.com n’est actif que depuis peu et qu’il redirige vers FlokiNET. FlokiNET est un hébergeur web connu pour proposer des services mettant fortement l’accent sur la confidentialité et la liberté d’expression, souvent utilisés par des militants et des journalistes, mais les acteurs malveillants tirent également pleinement parti de ces services. Mimecast a observé un changement récent dans l’hébergement, indiquant que les acteurs malveillants font davantage tourner leur infrastructure afin d’éviter la détection et les mesures de suppression.
Les serveurs de noms de nkp.relay-proxy-i2p.com sont gérés par Njalla, ce qui constitue un autre élément intéressant. Njalla est un service d’enregistrement de domaines qui met l’accent sur la confidentialité et l’anonymat en protégeant l’identité des propriétaires de domaines. Pour ce faire, il agit en tant qu’intermédiaire entre le registraire et le propriétaire du domaine : il enregistre le domaine en votre nom, tout en préservant la confidentialité de vos informations personnelles.
À l’échelle mondiale, tous les secteurs d’activité
Sites de collecte d'identifiants
Objets des e-mails (il existe plusieurs variantes)
Découvrez comment la plateforme unique de Mimecast peut protéger votre personnel, votre IA et vos données.
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Threat Intelligence1 sept. 2026
Threat Intelligence27 août 2026
