Campagne d'hameçonnage via des partages de fichiers SharePoint
Une nouvelle technique d'hameçonnage récemment observée permettrait à des acteurs malveillants de récupérer les identifiants de connexion à la messagerie de leurs victimes.
Description
Contexte technique et détails de la vulnérabilité
Des liens de partage SharePoint légitimes sont utilisés pour tromper les utilisateurs, les rediriger vers un faux site d'authentification et collecter leurs identifiants de connexion. La tentative d'hameçonnage commence par la réception d'un lien de partage SharePoint invitant l'utilisateur à consulter un fichier. En accédant à ce lien, l'utilisateur doit saisir son adresse électronique puis un code à usage unique (OTP) reçu dans sa boîte de réception, ce qui renforce la crédibilité du procédé. Une fois l'accès obtenu, le fichier contient un second lien redirigeant vers une fausse page de connexion Microsoft, où l'utilisateur est invité à saisir son mot de passe Microsoft, récupéré par les acteurs malveillants. Après la saisie d'un mot de passe valide, l'utilisateur est automatiquement redirigé vers le site Twitter. Les acteurs malveillants obtiennent ainsi les identifiants de l'utilisateur, peuvent accéder à sa boîte de réception et mener d'autres activités malveillantes.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des données ;
- Vol d'informations sensibles.
Systèmes affectés
Produits, composants et versions concernés
- Systèmes et comptes de messagerie ciblés par la campagne d'hameçonnage via les partages de fichiers SharePoint.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Vérifier l'expéditeur d'un courriel avant toute action ;
- Éviter de cliquer sur des liens suspects reçus par courriel ;
- Vérifier systématiquement l'URL des pages de connexion avant de saisir ses identifiants ;
- Bloquer les URL et domaines associés à cette campagne d'hameçonnage ;
- Activer la double authentification partout où c'est possible pour l'accès à la messagerie.
INDICATEURS DE COMPROMISSION :
- alrci[.]mspfzcorel[.]name
- hxxps[://]mspfzcorel[.]name?HeLlrAog&sa=D&sntz=1&usg=AOvVaw1dSgeQPOQoukXBg6pZwdkQ#?1187507008Family=
- nrqmhd[.]mspfzcorel[.]name
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.