Présentation de la campagne
L'équipe de recherche sur les menaces de Mimecast a identifié une campagne active de collecte d'identifiants utilisant des leurres liés aux ressources humaines, notamment une notification d'intégration d'un nouveau collaborateur, dans le but de dérober des identifiants Microsoft 365. Cette opération utilise des leurres spécifiques à chaque entreprise, faisant référence à de nouveaux employés fictifs qui rejoindraient les organisations ciblées, ce qui crée un sentiment de légitimité qui incite les utilisateurs à interagir. Cette campagne suit un enchaînement d'attaques en plusieurs étapes conçu pour contourner les systèmes de détection automatisés. Les destinataires reçoivent des e-mails annonçant l'arrivée de nouveaux collaborateurs ; le nom de l'entreprise ciblée figure souvent dans l'objet de ces messages afin de renforcer leur crédibilité.
Lorsque les utilisateurs cliquent sur les liens intégrés, ils sont redirigés vers des pages de vérification convaincantes qui affichent des photos de prétendus nouveaux inscrits, ainsi que des tests CAPTCHA conçus pour paraître légitimes tout en empêchant les scanners de sécurité d'accéder à la charge utile finale.
Une fois la procédure de vérification frauduleuse terminée, les victimes sont redirigées vers des pages de Microsoft destinées à récupérer leurs identifiants. Cette infrastructure a été associée à FlowerStorm, une plateforme de « phishing-as-a-service » qui utilise des attaques de type « Adversary-in-the-Middle » (AiTM), spécialement conçues pour récupérer des identifiants et contourner les protections d'authentification multifactorielle.
Cette technique permet aux cybercriminels d'intercepter des jetons d'authentification en temps réel, ce qui leur donne accès à des comptes protégés même lorsque l'authentification multifactorielle (MFA) est activée.
Protection Mimecast
Mimecast a mis en place des capacités de détection renforcées ciblant les techniques spécifiques à cette campagne, notamment l'analyse des fausses implémentations de CAPTCHA.
Indicateurs de compromission (IOC)
Objets courants :
- Bienvenue à notre nouveau collaborateur / [nom]
- [nom de l'entreprise] : Actualité : Nouveau collaborateur / [nom]
Infrastructure de collecte d'identifiants :
- copilotnotewelcomedashboardteamsmst365[.]faraway[.]com[.]de
- https://ctrlcopilotappsmst365[.]gleamed[.]com[.]de
- https://onedriveappsdirectmst365[.]gleamed[.]com[.]de
- http://mailboxselfservicecenter[.]gleamed[.]com[.]de
Objectifs
Plusieurs secteurs semblent concernés, des campagnes montrant qu'il est possible de personnaliser les leurres en y mentionnant le nom d'entreprises spécifiques.
Recommandations
Sensibilisation des utilisateurs à la sécurité :
- Sensibilisez les utilisateurs à la nécessité de vérifier les annonces concernant les nouveaux collaborateurs via les canaux officiels des ressources humaines, plutôt que de cliquer sur les liens contenus dans les e-mails
- Sensibilisez le personnel aux techniques sophistiquées de Phishing utilisant des CAPTCHA et à l'importance de vérifier la légitimité des pages de vérification
- Mener des simulations de Phishing intégrant de nouveaux scénarios d'ingénierie sociale ciblant les nouveaux employés
Recherche de menaces :
