- Des cybercriminels exploitent les services de partage de fichiers SharePoint pour voler des identifiants
- Chaîne d'attaque en plusieurs étapes utilisant des comptes compromis et des techniques de contournement sophistiquées
- Ces campagnes nécessitent une interaction de type « Ctrl + clic » pour contourner les analyses de sécurité automatisées
- Fausse vérification CAPTCHA de Cloudflare précédant le vol d'identifiants Microsoft 365
- Charge utile finale hébergée sur l'infrastructure de workers.dev
Threat intelligence
Abus du partage de fichiers SharePoint avec contournement du CAPTCHA
Points clés
Présentation de la campagne
L'équipe Mimecast Threat Research a identifié une campagne active de collecte d'identifiants qui exploite la fonctionnalité de partage de fichiers de Microsoft SharePoint pour mener des attaques de Phishing. L'attaque commence par l'envoi d'e-mails provenant de comptes Microsoft 365 piratés, ce qui confère une crédibilité immédiate à ces messages malveillants. Les destinataires reçoivent ce qui semble être des notifications légitimes de partage de documents SharePoint, provenant souvent de contacts connus au sein de leur organisation ou de leur réseau professionnel. Cette approche d'ingénierie sociale augmente considérablement les chances d'obtenir une réaction de la part des utilisateurs.
Ce qui distingue cette campagne, c'est la mise en œuvre d'une technique de contournement inédite qui oblige les utilisateurs à maintenir la touche Ctrl enfoncée tout en cliquant sur le bouton « "VIEW DOCUMENT" ». Cette instruction, en apparence anodine, empêche les outils de sécurité automatisés de suivre la chaîne d'attaques. La demande s'affiche sous la forme suivante : « "VEUILLEZ MAINTENIR LA TOUCHE CTRL DE VOTRE CLAVIER ENFONCÉE ET CLIQUER SUR « AFFICHER LE DOCUMENT » POUR Y ACCÉDER," », imitant ainsi les fonctionnalités de sécurité courantes des navigateurs. À la suite de cette première interaction avec SharePoint, les utilisateurs sont redirigés vers une séquence d'attaques minutieusement orchestrée. L'étape suivante affiche une fausse page de vérification CAPTCHA de Cloudflare présentant l'adresse ". Encore une étape avant de continuer..." avec la case à cocher « "Verify you are human » (Vérifiez que vous êtes un humain)".
Cette technique fait écho à des méthodes sophistiquées de Phishing basées sur les CAPTCHA, décrites dans des études antérieures sur les menaces, dans lesquelles les attaquants tirent parti de la familiarité des utilisateurs avec les processus de vérification légitimes pour préserver leur crédibilité. La dernière étape redirige les utilisateurs vers une page de collecte d'identifiants Microsoft 365 très réaliste, hébergée sur l'infrastructure Cloudflare Workers via le domaine workers.dev.
