Posté le juin 6, 2020 à 12:09

DES HACKERS SE FONT PASSER POUR DES AGENTS VPN POUR LANCER DES ATTAQUES PAR HAMEÇONNAGE SUR OFFICE 365

Comme beaucoup de personnes travaillent désormais à domicile, l’utilisation des VPN a énormément augmenté. En conséquence, les cybercriminels profitent de la popularité croissante des réseaux privés virtuels pour envoyer des emails d’hameçonnage à des utilisateurs peu méfiants.

De nombreuses organisations utilisent la technologie VPN pour que leurs employés puissent se connecter en toute sécurité au portail de l’entreprise et travailler depuis leur domicile. Mais les malfaiteurs l’utilisent désormais comme un vecteur d’attaque, certains d’entre eux envoyant des emails d’hameçonnage pour piéger les employés.

Hier, des chercheurs en sécurité ont découvert que certains hackers se font passer pour des VPN pour envoyer des emails d’hameçonnage ou de phishing afin de tromper les gens et les amener à divulguer leurs identifiants de connexion Microsoft Office 365.

Selon un communiqué d’Abnormal Security, les récentes attaques tentent d’usurper l’identité des expéditeurs d’emails de notification et de les utiliser pour tromper le destinataire.

 « L’attaque consiste à utiliser l’identité d’un membre du support informatique de la société émettrice pour envoyer un e-mail de notification », indique le communiqué.

Le hacker se sert de l’adresse électronique de l’expéditeur pour imiter le domaine de l’entreprise. Cependant, le lien dans l’email d’usurpation d’identité conduit à une nouvelle configuration du VPN pour l’accès à domicile. Bien que le lien semble être lié à l’organisation de la cible, le lien hypertexte redirige l’utilisateur vers un site d’hameçonnage pour obtenir les identifiants Office 365.

Les hackers utilisent un certificat Microsoft authentique

Bien que l’attaque semble provenir de différents expéditeurs et de différentes adresses IP, chaque email a une charge utile identique, ce qui suggère qu’ils proviennent tous du même groupe de hackers.

Selon les rapports des chercheurs en sécurité, la page d’accueil de l’attaque de phishing s’affichait lorsque l’utilisateur ciblé pensait que le message était hébergé sur la plateforme Microsoft.Net. Il présente également des caractéristiques similaires avec le site de connexion d’Office 365.

L’équipe d’Abnormal Security a conseillé les utilisateurs sur la manière de se protéger et de se mettre à l’abri des cybermenaces. L’équipe a déclaré que les utilisateurs devraient être prudents face aux messages leur demandant de changer leur mot de passe. Ils devraient également être prudents face aux messages électroniques provenant d’expéditeurs anonymes, qui demandent aux utilisateurs de cliquer sur des liens pour obtenir une offre ou un service.

Les chercheurs d’Abnormal Security ont également déclaré qu’environ 15 000 cibles ont reçu ce courriel d’hameçonnage.

La page d’accueil des attaquants a également un certificat Microsoft authentique

Les acteurs derrière ces emails d’hameçonnage ont effectué un travail considérable pour s’assurer que leurs emails d’hameçonnage ainsi que les pages de renvoi vers les liens soient très convaincants.

Les attaquants se sont assuré que leur page d’accueil possède un véritable certificat Microsoft en modifiant la plateforme de stockage Azure Blob. La plupart des utilisateurs consultent la certification Microsoft pour savoir si un site web est authentique. Il est donc plus facile de convaincre l’utilisateur puisque la page d’accueil d’hameçonnage possède un certificat Microsoft légitime. Une fois que les utilisateurs voient le certificat légitime, ils seront convaincus d’entrer leurs identifiants Office 365.

Abnormal Security a révélé que la campagne de piratage s’est rapidement étendue et que plusieurs versions des e-mails d’hameçonnage ont été découvertes dans les e-mails des utilisateurs.

En outre, les utilisateurs ne doivent révéler leurs identifiants Office 365 que sur les pages de connexion officielles des domaines outlook.com, live.com et Microsoft.com et nulle part ailleurs.

Microsoft 365 est désormais un accès illimité pour les hameçonneurs

Les emails d’hameçonnage sont le moyen de base par lequel les cybercriminels utilisent l’ingénierie sociale pour implanter des logiciels malveillants. Les hackers se font passer pour des marques et des entreprises populaires pour attirer les personnes qui les utilisent. Et les fraudeurs s’attaquent de plus en plus aux utilisateurs de Microsoft 365 pour les inciter à renoncer à leurs identifiants.

Les identifiants Microsoft office 365 sont très appréciés sur le dark web, car ils peuvent donner à l’attaquant un accès ou une possibilité de lancer une attaque sur le portail de l’entreprise.

Les employés, en particulier ceux qui sont très bien placés dans l’organisation, pourraient avoir accès à des données d’entreprise très sensibles. C’est ce type de cibles que les fraudeurs cherchent toujours à atteindre. Et lorsque l’attaquant réussit à lancer une attaque sur Office 365, il peut leur donner accès au réseau de l’entreprise.

Cette forme d’attaque est très dangereuse car les systèmes de sécurité auront du mal à détecter un hacker qui utilise de véritables identifiants.