Dans le tour d'horizon de cette semaine, CTI examine comment les cybercriminels exploitent la technologie AMP (Accelerated Mobile Pages) de Google pour contourner les mesures de sécurité des e-mails et accéder aux identifiants de connexion des employés. Nous allons maintenant examiner comment des acteurs malveillants exploitent une faille dans les services de messagerie et les serveurs SMTP de Salesforce pour lancer une campagne de hameçonnage sophistiquée visant des comptes Facebook. Enfin, CTI se penche sur un rapport établissant un lien entre l'acteur russe BlueCharlie et près de 100 nouveaux domaines.
1. Des cybercriminels exploitent Google AMP pour mener des attaques de hameçonnage difficiles à détecter
Selon Cofense, un nombre croissant de campagnes de hameçonnage exploitent le protocole AMP pour contourner les mesures de sécurité des e-mails. Ces campagnes intègrent des URL Google AMP dans des e-mails de hameçonnage et tirent parti de la bonne réputation du domaine Google.
Google AMP : présentation générale
Google AMP est un framework HTML open source permettant de créer des sites web optimisés pour les appareils mobiles. Les pages Web apparaissent dans les résultats de recherche Google et peuvent également utiliser le cache AMP de Google et Google Analytics pour suivre les interactions des utilisateurs. Les pages Web créées via Google AMP sont initialement hébergées sur une URL Google AMP, telle que google.com/amp/s/or ou google.co.uk/amp/s/.
Les cybercriminels hébergent désormais des pages Web malveillantes en utilisant le chemin d'accès AMP de Google dans leurs e-mails de hameçonnage, dans le but de dérober les identifiants de connexion des employés. Étant donné que ces URL sont hébergées sur des domaines Google légitimes, il peut s'avérer difficile pour les outils de sécurité des e-mails de détecter le caractère malveillant de ces e-mails.
Cette tendance consistant à exploiter abusivement Google AMP dans le cadre de campagnes publicitaires semble s'être accentuée en mai et persiste depuis lors dans le paysage des menaces. Cofense a constaté un changement de stratégie sur 15 juin, lorsque l'adresse google.co.uk a été utilisée dans les URL Google AMP. Le principe général reste le même, mais l'URL est hébergée sur le domaine de premier niveau de Google UK. Parmi les URL AMP de Google analysées par Cofense, 77 % étaient hébergées sur google.com, tandis que les autres l'étaient sur le domaine de premier niveau britannique de Google.
Les acteurs malveillants ont recours à une combinaison de TTP
Les cybercriminels ont recours à cette nouvelle tactique AMP de Google, qu'ils associent à des méthodes éprouvées qui renforcent l'efficacité d'un e-mail de hameçonnage.
Les techniques, tactiques et procédures (TTP) suivantes ont été observées dans divers e-mails de hameçonnage qui utilisent des URL Google AMP comme liens intégrés :
- Domaines de confiance : La stratégie AMP est efficace car elle héberge une URL sur un domaine de confiance tel que Google. Cela complique l'analyse automatisée et rend difficile le blocage de ces sites.
- E-mails de hameçonnage basés sur des images : Bon nombre des e-mails observés par Cofense dans le cadre de cette campagne sont basés sur des images, ce qui signifie qu’ils ne contiennent pas de corps de message traditionnel, mais une image au format HTML. Ceux-ci peuvent être plus difficiles à détecter que les e-mails contenant uniquement du texte, car l'image peut introduire davantage de bruit dans l'en-tête.
- Redirection d'URL : La redirection d'URL est une tactique très courante visant à perturber l'analyse des e-mails, en particulier lorsqu'une même chaîne d'attaque de phishing comporte plusieurs redirections. Dans un cas observé par Cofense, la redirection était hébergée sur Microsoft.com tout en redirigeant également vers le domaine AMP de Google. Cela a conféré une légitimité fallacieuse supplémentaire.
- CAPTCHA Cloudflare : L'utilisation abusive du CAPTCHA est également devenue une tactique anti-analyse très répandue, comme on a pu le constater lors de la campagne de hameçonnage visant Google AMP. Le service de sécurité des noms de domaine légitimes nécessite une intervention manuelle avant d'accéder à l'URL malveillante finale.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L'utilisation d'URL Google AMP dans les campagnes de hameçonnage constitue sans aucun doute une évolution et démontre une fois de plus que les cybercriminels cherchent sans cesse à perfectionner leurs techniques. »
« Les URL Google AMP ont toutes le même chemin d'accès ; les bloquer reviendrait à restreindre l'accès à toutes les URL Google AMP légitimes, ce qui compliquerait la protection contre les e-mails de hameçonnage. » « Le fait de signaler ces domaines ou d'émettre des alertes à leur sujet peut s'avérer utile, mais il s'agit avant tout de sensibiliser les utilisateurs aux dernières menaces de hameçonnage. »
2. Des pirates informatiques exploitent les services de messagerie de Salesforce dans le cadre d'une campagne de hameçonnage ciblée sur Facebook
Des pirates informatiques exploitent actuellement une vulnérabilité de type « » dans les services de messagerie de Salesforce ( (s'ouvre dans un nouvel onglet),, ) ainsi que dans les serveurs SMTP afin de lancer une campagne de hameçonnage sophistiquée visant les comptes Facebook.
Ces e-mails semblent provenir de Meta, mais leur adresse e-mail appartient en réalité à un domaine Salesforce. Depuis, les chercheurs ont collaboré avec Salesforce afin de résoudre et de corriger cette vulnérabilité.
Détails de la campagne
Guardio Labs a analysé une tentative sophistiquée d'hameçonnage sur Facebook qui exploite une vulnérabilité de Salesforce. Cet e-mail de hameçonnage, très bien conçu, mentionne le nom de la victime et se fait passer pour un e-mail provenant de Meta Platforms. Il comporte également un gros bouton sur lequel est inscrit « Demander un avis », qui redirige la victime vers la page de hameçonnage dans le but de récupérer les identifiants de son compte Facebook.
La page de hameçonnage est hébergée sous la forme d'un jeu sur la plateforme d'applications Facebook, via le domaine apps[.]facebook[.]com. Cela donne l'impression que la page d'assistance fait partie de votre compte Facebook.
Tirer parti de la passerelle de messagerie de Salesforce
La passerelle de messagerie de Salesforce est conçue pour envoyer un volume important d'e-mails à des clients du monde entier. Avant d'envoyer un e-mail, le système vérifie que le nom de domaine qu'il s'apprête à utiliser pour envoyer le message lui appartient bien. Ce domaine apparaîtra à côté du champ « De » et confirme que Salesforce est autorisé à envoyer des e-mails au nom de cette marque.
Une adresse e-mail doit être validée pour pouvoir envoyer des e-mails. En cliquant sur le lien de vérification envoyé dans la boîte de réception de votre choix, vous autorisez Salesforce à configurer l'envoi des e-mails. Une fois l'adresse vérifiée, l'utilisateur peut la sélectionner dans les fenêtres de dialogue d'envoi d'e-mails.
En analysant les en-têtes des e-mails, Guardio s'est rendu compte que le domaine du champ « De » comportait un sous-domaine généré pour chaque compte Salesforce spécifique à l'aide du mot-clé « case ». L'adresse est gérée par l'utilisateur grâce à la fonctionnalité « Email-To-Case » de Salesforce, qui convertit automatiquement les e-mails entrants des clients en tickets exploitables dans Salesforce.
Tirer parti de Salesforce pour renforcer l'adhésion à la marque
En approfondissant leur analyse du processus de validation, les chercheurs ont découvert qu'il était possible de recevoir des e-mails destinés à des adresses spécifiques de salesforce.com et d'accéder à leur contenu via le système de tickets de Salesforce.
Pour reproduire ce fonctionnement, Guardio a commencé par créer un flux « Email-To-Case » qui lui a permis de contrôler entièrement la partie « nom d'utilisateur » de l'adresse e-mail Salesforce. Ils ont choisi « Salesforce » comme nom d'utilisateur, ce qui leur a permis d'obtenir l'adresse e-mail suivante à des fins malveillantes : salesforce@{account_id_hash}.case.salesforce[.]com.
Ils disposaient désormais d'une adresse e-mail qui ressemblait à celles qu'ils avaient déjà vues dans le cadre de campagnes de hameçonnage. Ils ont ensuite validé cette adresse e-mail en tant qu’« adresse e-mail à l’échelle de l’organisation » afin que la passerelle d’envoi massif de Salesforce utilise cette adresse dans le flux officiel de messages sortants.
Après avoir vérifié l'adresse e-mail, ils ont créé une nouvelle adresse e-mail à l'échelle de l'organisation en utilisant l'adresse Salesforce nouvellement générée. Cela a déclenché le processus de vérification qui a envoyé l'e-mail à l'adresse de routage, ce qui a donné lieu à la création d'une nouvelle tâche dans le système. À partir de là, les cybercriminels peuvent mettre en place divers types d'attaques de hameçonnage provenant d'un expéditeur de messagerie salesforce.com. Ces messages ont plus de chances d'atterrir dans la boîte de réception des victimes ciblées, car ils proviennent de Salesforce.
Utilisation abusive du domaine des applications Facebook
Guardio a également constaté des abus concernant le domaine des applications Facebook. Depuis la mise à jour « juillet 2020 », il n'est plus possible de créer des canevas de jeux hérités avec des identifiants d'application au sein de l'écosystème Facebook. Cette campagne, cependant, semblait encore posséder ce pouvoir.
Selon Meta, il est toujours possible de continuer à prendre en charge les jeux hérités développés avant cette mise hors service, ce qui les rend attractifs pour les cybercriminels. Guardio a pris contact avec Meta, et Meta procède actuellement à une analyse des causes profondes afin de déterminer pourquoi les mesures de détection et d'atténuation mises en place n'ont pas fonctionné.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cette campagne contient des liens légitimes vers Facebook et est envoyée via des adresses e-mail Salesforce ; il n’est donc pas surprenant que les chercheurs constatent qu’elle parvient à contourner certaines solutions anti-hameçonnage traditionnelles. »
Guardio résume très bien ces préoccupations :
L'un des aspects préoccupants de cette lutte incessante réside dans l'utilisation abusive de services en apparence légitimes, tels que les CRM, les plateformes marketing et les espaces de travail dans le cloud, pour mener des activités malveillantes. Cela représente une faille de sécurité importante, les méthodes traditionnelles ayant souvent du mal à suivre le rythme des techniques sophistiquées et en constante évolution utilisées par les auteurs de menaces.
3. L'acteur russe BlueCharlie modifie des infrastructures en réaction à des révélations
Recorded Future a établi un lien entre l'acteur malveillant lié à la Russie BlueCharlie (s'ouvre dans un nouvel onglet) et près de 100 nouveaux domaines au cours des derniers mois.
Le groupe procède actuellement à une refonte de son infrastructure en réponse aux révélations publiques (s'ouvre dans un nouvel onglet) concernant ses activités. Bon nombre des TTP observées lors d'opérations récentes s'écartent des activités antérieures du groupe, ce qui laisse entrevoir une évolution.
Qu'est-ce que BlueCharlie ?
BlueCharlie est un acteur malveillant lié à la Russie qui utilise divers noms, notamment Callisto, Star Blizzard, COLDRIVER, TAG-53 et, auparavant, Seaborgium. Elle mène des campagnes de collecte d'informations afin de mener d'autres actions d'espionnage et de mener des opérations de piratage et de divulgation d'informations.
BlueCharlie mène des campagnes persistantes de hameçonnage et de vol d'identifiants, et a tendance à recourir à des sources ouvertes pour effectuer des opérations de reconnaissance avant de s'introduire dans les systèmes. Dans un cas précis, l'auteur de la menace a créé des profils frauduleux sur différentes plateformes de réseaux sociaux afin de mener des opérations de reconnaissance sur les entités ciblées.
Le groupe semble avoir modifié ses méthodes, techniques et procédures (TTP) après que des informations rendues publiques ont révélé l'existence de son infrastructure de collecte d'identifiants.
Structure des noms de domaine
BlueCharlie a récemment modifié la manière dont certains mots sont utilisés dans ses noms de domaine pour adopter une nouvelle structure. Les anciens noms de domaine étaient composés de deux termes séparés par un trait d'union. On peut citer, par exemple, cloud-safety[.]online. Cette activité antérieure reposait sur une structure d'URL de type « trailing » pour les attaques de hameçonnage, ce que Recorded Future n'a pas encore observé dans les activités récentes.
La nouvelle convention de nommage est cohérente et similaire pour l'ensemble des 94 domaines identifiés par Recorded Future. Ces nouveaux domaines portent sur des thèmes liés aux technologies de l'information et aux cryptomonnaies, avec des noms tels que cloudrootstorage[.]com, directexpressgateway[.]com, storagecryptogate[.]com ou pdfsecxcloudroute[.]com.
Les bureaux d'enregistrement de BlueCharlie
Les registraires auxquels BlueCharlie fait appel ont également changé. Auparavant, PorkBun représentait plus de 50 % des registraires de noms de domaine utilisés par BlueCharlie. Au vu de l'activité actuelle, le groupe privilégie très largement le registraire NameCheap.
Systèmes autonomes
Recorded Future a identifié les ASN dans lesquels les adresses IP de BlueCharlie ont été le plus fréquemment détectées, tant pour les activités passées que pour les activités actuelles. D'après des rapports antérieurs du secteur, Stark Industries, MIRhosting et PQ Hosting seraient liés et seraient fréquemment utilisés pour héberger du contenu malveillant ou dans le cadre d'infrastructures d'attaque.
Certificats TLS X.509
Auparavant, il avait été constaté que les domaines BlueCharlie identifiés hébergeaient les certificats TLS X.509 correspondants émis par Let’s Encrypt. Dans le cadre de ses dernières activités, le groupe continue de s'appuyer presque exclusivement sur les certificats Let’s Encrypt. Il y avait toutefois une exception à cette règle concernant le domaine bittechllc[.]net, qui utilisait l'autorité de certification ZeroSSL.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« La dernière fois que l’infrastructure de BlueCharlie a été exposée au grand jour, ils ont adopté de nouvelles TTP et une nouvelle infrastructure. » Compte tenu de cela, il est plausible que les rapports publics de Recorded Future les amènent à réagir de la même manière cette fois-ci. « Le groupe reste fidèle à ses pratiques traditionnelles de hameçonnage, ce qui nous rappelle une fois de plus l'importance de la formation et de la sensibilisation. »
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une conversation.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
