Une campagne de phishing g\u00e9n\u00e9ralis\u00e9e a \u00e9t\u00e9 observ\u00e9e en tirant parti de faux documents PDF h\u00e9berg\u00e9s sur le r\u00e9seau de livraison de contenu Webflow (CDN) dans le but de voler des informations sur les cartes de cr\u00e9dit et de commettre une fraude financi\u00e8re.<\/p>\n
“L’attaquant cible les victimes \u00e0 la recherche de documents sur les moteurs de recherche, ce qui entra\u00eene un acc\u00e8s \u00e0 un PDF malveillant qui contient une image CAPTCHA int\u00e9gr\u00e9e avec un lien de phishing, les conduisant \u00e0 fournir des informations sensibles”, a d\u00e9clar\u00e9 Jan Michael Alcantara, chercheur de Netkope Threat Labs, Jan Michael Alcantara dit<\/a>.<\/p>\n L’activit\u00e9, en cours depuis la seconde moiti\u00e9 de 2024, implique que les utilisateurs \u00e0 la recherche de titres de livre, de documents et de graphiques sur des moteurs de recherche comme Google pour rediriger les utilisateurs vers des fichiers PDF h\u00e9berg\u00e9s sur le CDN WebFlow.<\/p>\n Ces fichiers PDF sont int\u00e9gr\u00e9s avec une image qui imite un d\u00e9fi CAPTCHA, ce qui fait que les utilisateurs qui cliquent dessus sont amen\u00e9s sur une page de phishing qui, cette fois, h\u00e9berge un v\u00e9ritable CloudFlare Turnique Captcha.<\/p>\n Ce faisant, les attaquants visent \u00e0 pr\u00eater au processus un placage de l\u00e9gitimit\u00e9, trompant les victimes en pensant qu’ils avaient interagi avec un contr\u00f4le de s\u00e9curit\u00e9, tout en \u00e9luant la d\u00e9tection par des scanners statiques.<\/p>\n Les utilisateurs qui compl\u00e8tent le v\u00e9ritable d\u00e9fi CAPTCHA sont par la suite redirig\u00e9s vers une page qui comprend un bouton “T\u00e9l\u00e9charger” pour acc\u00e9der au document suppos\u00e9. Cependant, lorsque les victimes tentent de terminer l’\u00e9tape, on lui a servi un message contextuel leur demandant de saisir leurs d\u00e9tails de carte personnelle et de cr\u00e9dit.<\/p>\n “En entrant les d\u00e9tails de la carte de cr\u00e9dit, l’attaquant enverra un message d’erreur pour indiquer qu’il n’a pas \u00e9t\u00e9 accept\u00e9”, a d\u00e9clar\u00e9 Michael Alcantara. “Si la victime soumet les d\u00e9tails de leur carte de cr\u00e9dit deux ou trois fois de plus, elle sera redirigea vers une page d’erreur HTTP 500.”<\/p>\n Le d\u00e9veloppement intervient alors que Slashnext a d\u00e9taill\u00e9 un nouveau kit de phishing nomm\u00e9 Astaroth (\u00e0 ne pas confondre avec un malware bancaire du m\u00eame nom) qui est annonc\u00e9 sur les march\u00e9s t\u00e9l\u00e9grammes et cybercriminaux pour 2000 $ en \u00e9change de six mois de mises \u00e0 jour et de contournement des techniques.<\/p>\n Comme les offres de phishing-as-a-service (PHAAS), il permet aux cyber-escrocs la possibilit\u00e9 de r\u00e9colter les informations d’identification et les codes d’authentification \u00e0 deux facteurs (2FA) via des pages de connexion fausses qui imitent les services en ligne populaires.<\/p>\n “Astaroth utilise un proxy invers\u00e9 de style Evilginx pour intercepter et manipuler le trafic entre les victimes et les services d’authentification l\u00e9gitimes comme Gmail, Yahoo et Microsoft”, chercheur en s\u00e9curit\u00e9 Daniel Kelle dit<\/a>. “Agissant comme un homme dans le milieu, il capture les informations d’identification de connexion, les jetons et les cookies de session en temps r\u00e9el, en contournant efficacement 2FA.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Les-pirates-utilisent-un-astuce-CAPTCHA-sur-les-PDF-CDN.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n