Une nouvelle campagne d’ing\u00e9nierie sociale “\u00e0 diffusion massive” cible les utilisateurs du serveur de messagerie Zimbra Collaboration dans le but de collecter leurs identifiants de connexion pour les utiliser dans les op\u00e9rations de suivi.<\/p>\n
L’activit\u00e9, active depuis avril 2023 et toujours en cours, cible un large \u00e9ventail de petites et moyennes entreprises et d’entit\u00e9s gouvernementales, dont la plupart sont situ\u00e9es en Pologne, en \u00c9quateur, au Mexique, en Italie et en Russie. Il n’a \u00e9t\u00e9 attribu\u00e9 \u00e0 aucun acteur ou groupe de menace connu.<\/p>\n
“Au d\u00e9part, la cible re\u00e7oit un e-mail avec une page de phishing dans le fichier HTML joint”, a d\u00e9clar\u00e9 Viktor \u0160perka, chercheur chez ESET. dit<\/a> dans un rapport. “L’e-mail avertit la cible d’une mise \u00e0 jour du serveur de messagerie, d’une d\u00e9sactivation de compte ou d’un probl\u00e8me similaire et invite l’utilisateur \u00e0 cliquer sur le fichier joint.”<\/p>\n Les messages usurpent \u00e9galement l’adresse d’exp\u00e9dition pour appara\u00eetre comme s’ils provenaient d’un administrateur Zimbra dans le but probable de convaincre les destinataires d’ouvrir la pi\u00e8ce jointe.<\/p>\n Le fichier HTML contient une page de connexion Zimbra adapt\u00e9e \u00e0 l’organisation cibl\u00e9e, avec le champ Nom d’utilisateur pr\u00e9-rempli avec l’adresse e-mail de la victime pour la rendre plus authentique. Une fois les informations d’identification saisies, elles sont collect\u00e9es \u00e0 partir du formulaire HTML et envoy\u00e9es via une requ\u00eate HTTPS POST \u00e0 \u200b\u200bun serveur contr\u00f4l\u00e9 par l’acteur.<\/p>\n Ce qui distingue les attaques, c’est leur capacit\u00e9 \u00e0 se propager davantage. Les vagues de phishing suivantes ont exploit\u00e9 les comptes d’entreprises l\u00e9gitimes pr\u00e9c\u00e9demment cibl\u00e9es, sugg\u00e9rant que les comptes d’administrateur infiltr\u00e9s associ\u00e9s \u00e0 ces victimes ont \u00e9t\u00e9 utilis\u00e9s pour envoyer des e-mails \u00e0 d’autres entit\u00e9s d’int\u00e9r\u00eat.<\/p>\n “Une explication est que l’adversaire s’appuie sur la r\u00e9utilisation du mot de passe par l’administrateur cibl\u00e9 par le phishing, c’est-\u00e0-dire en utilisant les m\u00eames informations d’identification pour le courrier \u00e9lectronique et l’administration”, a not\u00e9 \u0160perka.<\/p>\n Bien que la campagne ne soit pas techniquement sophistiqu\u00e9e, elle mise sur le fait que “les pi\u00e8ces jointes HTML contiennent du code l\u00e9gitime, et le seul \u00e9l\u00e9ment r\u00e9v\u00e9lateur est un lien pointant vers l’h\u00f4te malveillant” qui est int\u00e9gr\u00e9 dans le code source.<\/p>\n “De cette fa\u00e7on, il est beaucoup plus facile de contourner les politiques anti-spam bas\u00e9es sur la r\u00e9putation, par rapport aux techniques de phishing o\u00f9 un lien malveillant est directement plac\u00e9 dans le corps de l’e-mail”, a d\u00e9clar\u00e9 \u0160perka.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/Researchers-Expose-Space-Pirates039-Cyber-Campaign-Across-Russia-and-Serbia.png\")
<\/a><\/center><\/section>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/1692387171_72_Nouvelle-vague-de-campagne-dattaque-ciblant-les-utilisateurs-de-messagerie.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/08\/China039s-APT31-Suspected-in-Attacks-on-Air-Gapped-Systems-in-Eastern.gif\")
<\/a><\/center><\/section>\n