Les organisations de services bancaires et financiers sont la cible d’une nouvelle attaque de phishing et de compromission des e-mails professionnels (BEC) en plusieurs \u00e9tapes, a r\u00e9v\u00e9l\u00e9 Microsoft.<\/p>\n
“L’attaque provenait d’un fournisseur de confiance compromis et s’est transform\u00e9e en une s\u00e9rie d’attaques AiTM et d’activit\u00e9s BEC de suivi couvrant plusieurs organisations”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. divulgu\u00e9<\/a> dans un rapport jeudi.<\/p>\n Microsoft, qui suit le cluster sous son nouveau nom Temp\u00eate-1167<\/strong>a d\u00e9nonc\u00e9 l’utilisation par le groupe d’un proxy indirect pour mener \u00e0 bien l’attaque.<\/p>\n Cela a permis aux attaquants d’adapter de mani\u00e8re flexible les pages de phishing \u00e0 leurs cibles et de voler des cookies de session, soulignant la sophistication continue des attaques AitM.<\/p>\n Le modus operandi est diff\u00e9rent des autres campagnes AitM o\u00f9 les pages leurres agissent comme un proxy inverse pour r\u00e9colter les informations d’identification et les mots de passe \u00e0 usage unique (TOTP) saisis par les victimes.<\/p>\n “L’attaquant a pr\u00e9sent\u00e9 aux cibles un site Web qui imitait la page de connexion de l’application cibl\u00e9e, comme dans les attaques de phishing traditionnelles, h\u00e9berg\u00e9es sur un service cloud”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n “Ladite page de connexion contenait des ressources charg\u00e9es \u00e0 partir d’un serveur contr\u00f4l\u00e9 par l’attaquant, qui a lanc\u00e9 une session d’authentification avec le fournisseur d’authentification de l’application cible \u00e0 l’aide des informations d’identification de la victime.”<\/p>\n Les cha\u00eenes d’attaque commencent par un e-mail de phishing qui pointe vers un lien qui, lorsqu’il est cliqu\u00e9, redirige une victime vers une page de connexion Microsoft usurp\u00e9e et entre ses informations d’identification et ses TOTP.<\/p>\n Les mots de passe et les cookies de session r\u00e9colt\u00e9s sont ensuite utilis\u00e9s pour usurper l’identit\u00e9 de l’utilisateur et obtenir un acc\u00e8s non autoris\u00e9 \u00e0 la bo\u00eete de r\u00e9ception des e-mails au moyen d’une attaque par relecture. L’acc\u00e8s est ensuite abus\u00e9 pour mettre la main sur des e-mails sensibles et orchestrer une attaque BEC.<\/p>\n De plus, une nouvelle m\u00e9thode d’authentification \u00e0 deux facteurs bas\u00e9e sur SMS est ajout\u00e9e au compte cible afin de se connecter \u00e0 l’aide des informations d’identification vol\u00e9es sans attirer l’attention.<\/p>\n Dans l’incident analys\u00e9 par Microsoft, l’attaquant aurait lanc\u00e9 une campagne de spam de masse, envoyant plus de 16 000 e-mails aux contacts de l’utilisateur compromis, tant \u00e0 l’int\u00e9rieur qu’\u00e0 l’ext\u00e9rieur de l’organisation, ainsi que des listes de distribution.<\/p>\n L’adversaire a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de prendre des mesures pour minimiser la d\u00e9tection et \u00e9tablir la persistance en r\u00e9pondant aux e-mails entrants, puis en prenant des mesures pour les supprimer de la bo\u00eete aux lettres.<\/p>\n En fin de compte, les destinataires des e-mails de phishing sont cibl\u00e9s par une deuxi\u00e8me attaque AitM pour voler leurs informations d’identification et d\u00e9clencher une nouvelle campagne de phishing \u00e0 partir de la bo\u00eete de r\u00e9ception de l’un des utilisateurs dont le compte a \u00e9t\u00e9 pirat\u00e9 \u00e0 la suite de l’attaque AitM.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjUiPMb1sJUWHSy0dES4722CWYLQekQ3FcBtdVBXRn-uaaYRJstH1_g_4kLUEhfLEMNmIBeAl5gVtvIOLzGI47i72f4Sm7U5CoplxKa0reRw0Yh2nQpJCqbWrdTiGCaKrlp4dk2gUKPBDB1VG_VtbRIyuQW-RHL8nY_czt9SXV6PgWiu3_THhXy8zl0cQ\/s728-e200\/netspi-728-1.png\")
<\/a><\/center><\/div>\n![\"Phishing](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjkOVECPw0Zqt2jWJ_a9B2XpFbXyXQK8bfjCpkwk6pw24YqRCIBLUgGTh_m7CLAwOWm-a3LbJ_EoMTz3bjusaHsdvePLQ2eRMl37u2xyklG4XVNmjXsbSuNzHK1gZDdZh5s79PH2rDjnjYSccGTvMvXIF6w46RW5lySTsCtZfgHTAwaDFkyvEmOpKnp\/s728-e3650\/phishing.jpg\" "\\"Phishing")
<\/div>\n