Campagne de collecte d'identifiants sur OneDrive de l'université

Présentation de la campagne

L'équipe de recherche sur les menaces de Mimecast a identifié une opération de collecte d'identifiants ciblant le personnel et les enseignants d'universités et d'écoles de sciences de la santé en Australie et aux États-Unis. Cette campagne utilise un modèle de prestation de service de confiance : les messages proviennent d’une notification de partage de fichiers OneDrive dont le nom d’affichage est « Jesse Lee », tandis que le véritable expéditeur SMTP est un compte Outlook individuel (outlook_024EE0F96AD209F4@outlook.com).

Chaque vague utilise un document leurre spécifique à l’établissement, hébergé sur le même tenant OneDrive personnel contrôlé par les attaquants (024ee0f96ad209f4). Les documents arborent l’identité visuelle de l’établissement ciblé et invitent les destinataires à ouvrir un lien présenté comme un document SharePoint sécurisé. En cliquant sur ce lien, les victimes sont redirigées via l’infrastructure de redirection de l’attaquant avant d’accéder à une page de connexion Microsoft très réaliste hébergée sur un domaine n’appartenant pas à Microsoft.

Le volume reste relativement faible, ce qui correspond davantage à une opération ciblée ou semi-ciblée qu’à un spam de masse. Cependant, la campagne touche plusieurs institutions, réutilise un même expéditeur et un même compte OneDrive, et présente des indices d’injection de métadonnées de liste dans le texte des notifications.

Déroulement de la campagne

Étape 1 : e-mail de notification de partage OneDrive

Les destinataires reçoivent un message correspondant au modèle standard de partage OneDrive de Microsoft. L’objet suit le schéma « Jesse Lee a partagé “” avec vous ». Le corps du message fait référence à un document Word portant le nom de l’institution ciblée.

Le corps de la notification comprend une ligne descriptive secondaire (par exemple : « MSPAS, PA-C, directeur de programme, vous a envoyé un fichier ») qui semble personnalisée en fonction du groupe auquel appartient le destinataire.

 

                                                   [Figure 1 : Notification de partage OneDrive]

Étape 2 : Document OneDrive aux couleurs de l’établissement

En cliquant sur le lien de partage, un document Word s’ouvre sur onedrive.live.com, sous le compte personnel de l’attaquant. Le document reproduit le logo de l’établissement cible et indique que l’organisation a partagé un document sécurisé via Microsoft SharePoint. Un lien hypertexte bien visible intitulé « OUVRIR LE DOCUMENT » intègre la chaîne de redirection destinée à la collecte d’identifiants.

  [Figure 2 : Document leurre aux couleurs de l’établissement hébergé sur le compte OneDrive de l’attaquant 024ee0f96ad209f4]

Étape 3 : Redirection via zmact[.]us

Le lien intégré pointe vers zmact[.]us avec des paramètres de requête incluant tenantKey=WG0SL5 et une URL de retour falsifiée référençant /connect/authorize/callback avec client_id=Portal. Le redirecteur renvoie un code HTTP 302 vers l’hôte final de l’hameçonnage. 

Étape 4 : Vérification Cloudflare sur loq[.]broadpath[.]us

Les victimes sont redirigées vers loq.broadpath[.]us, qui présente un défi géré par Cloudflare (« Vérification de sécurité en cours »). Cette couche filtre les scanners automatisés et les sandbox avant que la page de saisie des identifiants ne s’affiche.

[Figure 3 : Page de vérification Cloudflare sur loq.broadpath.us]

Étape 5 : Fausse page de connexion à Microsoft 365

Une fois le test de sécurité réussi, les victimes accèdent à une page d’autorisation de type OAuth Microsoft hébergée sur loq.broadpath[.]us sous le chemin /common/oauth2/v2.0/authorize. La page imite la connexion à Entra ID avec des paramètres conformes aux kits de capture d’identifiants et de jetons de type AiTM.

 

                                [Figure 4 : Page de collecte d’identifiants sur un domaine non Microsoft]

Volume et calendrier

Mimecast a observé une activité sur une période de cinq jours (du 20 au 24 juin 2026), les envois se concentrant sur trois jours :

Toutes les vagues observées proviennent de la même adresse d’expéditeur. Chaque établissement est ciblé par un document leurre distinct sur le compte OneDrive partagé, envoyé par petites salves (quelques minutes par vague) plutôt que sous forme de spam continu à haut volume.

Métadonnées de notification personnalisées

Bien que les e-mails SMTP proviennent d’un seul compte Outlook, le texte visible des notifications de partage varie. Les lignes de description secondaires (par exemple, les titres des directeurs de programme) semblent adaptées au groupe de destinataires, conformément aux métadonnées d’annuaire extraites et injectées dans le modèle de notification OneDrive.

Analyse technique

Réutilisation du compte OneDrive

Tous les documents leurres partagent le même identifiant personnel OneDrive 024ee0f96ad209f4, qui correspond à la chaîne hexadécimale intégrée dans l’adresse de l’expéditeur.

Indicateurs du kit de phishing

• Paramètre de redirection tenantKey=WG0SL5 sur zmact[.]us
• Une URL de retour (returnUrl) de type OAuth falsifiée pour ressembler au callback du portail Entra ID (client_id=Portal, response_type=id_token, scope=openid)
• L’hôte final sert la ressource /common/oauth2/v2.0/authorize sur l’infrastructure de l’attaquant
• Défi géré par Cloudflare sur le redirecteur

Protection Mimecast

Mimecast a identifié des attributs associés à cette campagne, notamment l’utilisation abusive de services de confiance, l’infrastructure de redirection et le phishing via le chemin OAuth sur des domaines non Microsoft. L’équipe de recherche sur les menaces continue de surveiller l’apparition de nouveaux documents d’appât, de nouvelles institutions ciblées et la rotation de l’infrastructure sur les clusters zmact[.]us / broadpath[.]us.

Cibles :

Indicateurs de compromission (IOC)

 

Recommandations

Formation à la sensibilisation des utilisateurs

• Sensibilisez les employés à considérer les notifications de partage OneDrive non sollicitées comme non fiables jusqu’à ce que l’adresse de l’expéditeur soit vérifiée
• Insister sur le fait que les partages légitimes de documents universitaires proviennent de domaines organisationnels, et non de comptes grand public @outlook.com
• Demandez aux utilisateurs de vérifier la barre d’adresse du navigateur après avoir cliqué sur des liens vers des documents ; la page de connexion Microsoft doit se trouver sur login.microsoftonline.com
• Alertez en priorité le personnel de l’enseignement supérieur travaillant dans les domaines du recrutement, des études doctorales, de l’administration des soins infirmiers, du sport et des sciences de la santé

Recherche proactive de menaces

• Recherchez dans les journaux de messagerie les messages provenant de outlook_024EE0F96AD209F4@outlook[.]com ou dont l’objet correspond à « Jesse Lee shared »
• Recherchez dans les journaux des proxys Web et DNS les mentions de zmact[.]us, broadpath[.]us et les chemins OAuth sur des hôtes non Microsoft
• Examiner les journaux de connexion Entra ID à la recherche d’authentifications anormales impliquant loq[.]broadpath[.]us ou de tentatives GetCredentialType ayant échoué provenant d’adresses IP hors campus

Conclusion

Cette campagne illustre comment les opérateurs spécialisés dans la collecte de identifiants combinent l’utilisation de services de partage de fichiers cloud de confiance, des leurres à l’effigie des établissements et des listes de cibles spécifiques à certains programmes pour compromettre les boîtes mail universitaires à petite échelle. Les équipes de sécurité de l’enseignement supérieur doivent considérer les notifications de partage sur le cloud grand public comme un vecteur à haut risque et donner la priorité à la détection tant au niveau des e-mails qu’au niveau des redirections post-clic.