Microsoft met en garde contre plusieurs campagnes de phishing qui tirent parti des th\u00e8mes d’imp\u00f4t pour d\u00e9ployer des logiciels malveillants et voler des informations d’identification.<\/p>\n
“Ces campagnes utilisent notamment des m\u00e9thodes de redirection telles que les raccourcisseurs d’URL et les codes QR contenus dans des pi\u00e8ces jointes malveillantes et des services l\u00e9gitimes d’abus comme les services d’h\u00e9bergement de fichiers et les pages de profil d’entreprise pour \u00e9viter la d\u00e9tection”, Microsoft dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n Un aspect notable de ces campagnes est qu’ils conduisent \u00e0 des pages de phishing qui sont livr\u00e9es via une plate-forme de phishing en tant que service (PHAAS) Raccoono365<\/a>une plate-forme de crime \u00e9lectronique qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e pour la premi\u00e8re fois d\u00e9but d\u00e9cembre 2024.<\/p>\n Les chevaux de Troie (rats) \u00e0 l’acc\u00e8s \u00e0 distance sont \u00e9galement livr\u00e9s comme Remcos Rat, ainsi que d’autres cadres de logiciels malveillants et post-exploitation tels que Latrodectus, Ahkbot, Guloder et Bruteratel C4 (BRC4).<\/p>\n On estime que l’une de ces campagnes rep\u00e9r\u00e9es par le g\u00e9ant de la technologie le 6 f\u00e9vrier 2025 aurait envoy\u00e9 des centaines de courriels ciblant les \u00c9tats-Unis avant la saison des d\u00e9clarations de revenus qui a tent\u00e9 de livrer BRC4 et Latrodectus. L’activit\u00e9 a \u00e9t\u00e9 attribu\u00e9e \u00e0 Storm-0249, un courtier d’acc\u00e8s initial auparavant connu pour avoir distribu\u00e9 Bazaloader, Icedid, Bumblebee et Emotet.<\/p>\n Les attaques impliquent l’utilisation de pi\u00e8ces jointes PDF contenant un lien qui redirige les utilisateurs vers une URL raccourcie via le changement de nom, les conduisant finalement \u00e0 une fausse page Docuusign avec une option pour afficher ou t\u00e9l\u00e9charger le document.<\/p>\n “Lorsque les utilisateurs ont cliqu\u00e9 sur le bouton de t\u00e9l\u00e9chargement sur la page de destination, le r\u00e9sultat d\u00e9pendait de savoir si leur syst\u00e8me et leur adresse IP \u00e9taient autoris\u00e9s \u00e0 acc\u00e9der \u00e0 l’\u00e9tape suivante en fonction des r\u00e8gles de filtrage configur\u00e9es par l’acteur de la menace”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n Si l’acc\u00e8s est autoris\u00e9, l’utilisateur re\u00e7oit un fichier JavaScript qui t\u00e9l\u00e9charge par la suite un programme d’installation de logiciel Microsoft (MSI) pour BRC4, qui sert de conduit pour le d\u00e9ploiement de Latrodectus. Si la victime n’est pas consid\u00e9r\u00e9e[.]com.<\/p>\n Microsoft a d\u00e9clar\u00e9 qu’il a \u00e9galement d\u00e9tect\u00e9 une deuxi\u00e8me campagne entre le 12 et le 28 f\u00e9vrier 2025, o\u00f9 des courriels de phishing sur le th\u00e8me des imp\u00f4ts ont \u00e9t\u00e9 envoy\u00e9s \u00e0 plus de 2 300 organisations aux \u00c9tats-Unis, en particulier des secteurs d’ing\u00e9nierie, d’informatique et de conseil.<\/p>\n Les e-mails, dans ce cas, n’avaient aucun contenu dans le corps du message, mais pr\u00e9sentaient une pi\u00e8ce jointe PDF contenant un code QR qui indiquait un lien associ\u00e9 au Raccoono365 PHAAS qui imite les pages de connexion Microsoft 365 pour inciter les utilisateurs \u00e0 entrer leurs informations d’identification.<\/p>\n Dans un signe que ces campagnes se pr\u00e9sentent sous diverses formes, les e-mails de phishing sur le th\u00e8me des imp\u00f4ts ont \u00e9galement \u00e9t\u00e9 signal\u00e9s comme propageant d’autres familles de logiciels malveillants comme Ahkbot et Guloder.<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que les cha\u00eenes d’infection AHKBOT dirigent les utilisateurs vers des sites h\u00e9bergeant un fichier Microsoft Excel malveillant qui, en ouvrant et en permettant aux macros, t\u00e9l\u00e9chargements et ex\u00e9cute un fichier MSI afin de lancer un script AutoHotKey, qui t\u00e9l\u00e9charge ensuite un module d’\u00e9cran pour un serveur distant.<\/p>\n La campagne Guloader vise \u00e0 tromper les utilisateurs en cliquant sur une URL pr\u00e9sente dans une pi\u00e8ce jointe de messagerie PDF, ce qui entra\u00eene le t\u00e9l\u00e9chargement d’un fichier zip.<\/p>\n “Le fichier zip contenait divers fichiers .lnk configur\u00e9s pour imiter les documents fiscaux. Si elle est lanc\u00e9e par l’utilisateur, le fichier .lnk utilise PowerShell pour t\u00e9l\u00e9charger un fichier PDF et .bat”, a d\u00e9clar\u00e9 Microsoft. “Le fichier .bat \u00e0 son tour a t\u00e9l\u00e9charg\u00e9 l’ex\u00e9cutable Guloader, qui a ensuite install\u00e9 des remcos.”<\/p>\n Le d\u00e9veloppement intervient des semaines apr\u00e8s que Microsoft a mis en garde contre une autre campagne Storm-0249 qui a redirig\u00e9 les utilisateurs vers des sites Web de faux sites Web Windows 11 Pro pour livrer une version mise \u00e0 jour du malware Latrodectus Loader via l’outil d’\u00e9quipe rouge Bruteratel.<\/p>\n “L’acteur de menace a probablement utilis\u00e9 Facebook pour g\u00e9n\u00e9rer du trafic vers les fausses pages de t\u00e9l\u00e9chargement de Windows 11 Pro, car nous avons observ\u00e9 des URL de r\u00e9f\u00e9rences Facebook dans plusieurs cas”, Microsoft dit<\/a> Dans une s\u00e9rie de messages sur X.<\/p>\n “Latrodectus 1.9, la derni\u00e8re \u00e9volution du malware observ\u00e9e pour la premi\u00e8re fois en f\u00e9vrier 2025, a r\u00e9introduit la t\u00e2che planifi\u00e9e de persistance et ajout\u00e9 la commande 23, permettant l’ex\u00e9cution des commandes Windows via ‘cmd.exe \/ c.’ ‘<\/p>\n La divulgation suit \u00e9galement une augmentation des campagnes qui utilisent des codes QR dans des documents de phishing pour masquer les URL malveillants dans le cadre d’attaques g\u00e9n\u00e9ralis\u00e9es destin\u00e9es \u00e0 l’Europe et aux \u00c9tats-Unis, entra\u00eenant un vol d’identification.<\/p>\n “L’analyse des URL extraites des codes QR dans ces campagnes r\u00e9v\u00e8le que les attaquants \u00e9vitent g\u00e9n\u00e9ralement d’inclure des URL qui pointent directement vers le domaine de phishing”, Palo Alto Networks Unit 42 dit<\/a> dans un rapport. “Au lieu de cela, ils utilisent souvent des m\u00e9canismes de redirection d’URL ou exploitent Redirection ouverte<\/a> sur des sites Web l\u00e9gitimes. “<\/p>\n Ces r\u00e9sultats interviennent \u00e9galement \u00e0 la suite de plusieurs campagnes de phishing et d’ing\u00e9nierie sociale qui ont \u00e9t\u00e9 signal\u00e9es ces derni\u00e8res semaines –<\/p>\n Pour att\u00e9nuer les risques pos\u00e9s par ces attaques, il est essentiel que les organisations adoptent des m\u00e9thodes d’authentification r\u00e9sistantes au phishing pour les utilisateurs, utilisent des navigateurs qui peuvent bloquer les sites Web malveillants et permettre la protection du r\u00e9seau pour emp\u00eacher les applications ou les utilisateurs d’acc\u00e9der \u00e0 des domaines malveillants.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Microsoft-met-en-garde-contre-les-attaques-de-messagerie-sur.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n