Mécanisme de camouflage innovant
La société de cybersécurité Kela a détecté une campagne de phishing sophistiquée ciblant les institutions financières, où les attaquants s'appuient sur une technique trompeuse qui empêche les équipes de sécurité et les fournisseurs de services de fermeture de détecter le contenu malveillant. Cette campagne repose sur l'enregistrement des adresses IP des visiteurs ; ainsi, alors qu'un premier visiteur voit une fausse page de connexion bancaire, tout visiteur ultérieur (y compris les outils d'analyse de sécurité) fait face à une page simulant un "compte suspendu" provenant d'un hébergeur, suggérant que le site a déjà été fermé.
Pourquoi cette nouvelle est importante ?
Le danger de cette infrastructure réside dans sa capacité à contourner les mesures de protection traditionnelles. Lorsqu'une équipe de sécurité ou un fournisseur de services signale un site suspect, il le vérifie généralement une nouvelle fois pour confirmer sa fermeture. Dans ce cas, la fausse page apparaît aux enquêteurs, ce qui conduit à classer le domaine comme "inactif" alors que le site continue de cibler de nouvelles victimes. Ce tactique rend difficile pour les équipes de réponse aux incidents l'arrêt efficace de la campagne, car la détection du contenu réel nécessite l'utilisation d'une nouvelle adresse IP pour chaque vérification.
Détails et portée de la campagne
La campagne a débuté en mai 2026 et s'est élargie pour inclure plus de 300 faux domaines, dont 248 ont ciblé environ 189 institutions financières américaines, avec un accent particulier sur les banques régionales de taille moyenne. Les enquêtes ont également montré que la campagne s'étend pour englober des victimes au Royaume-Uni, en Australie et en Nouvelle-Zélande. Les sites utilisent des schémas de nommage basés sur des mots tels que "secure" ou "authorize" suivis du nom de la banque, avec l'émergence d'une nouvelle catégorie utilisant des libellés tels que "help-desk" et "live-support" pour imiter les portails de support technique.
Défis de la confrontation
Kela identifie quatre facteurs qui rendent cette infrastructure difficile à arrêter :
- Format de nommage simple : qui peut être facilement reproduit pour toute institution financière.
- Utilisation de Cloudflare : pour masquer l'emplacement réel de l'hébergement.
- Technique de camouflage : affichage d'une page "suspendu" lors de la deuxième visite pour tromper les analystes.
- Serveurs partagés : qui garantissent la continuité de la campagne même si un seul domaine est fermé.
Les résultats indiquent que la campagne cible principalement les informations d'identification des services bancaires aux entreprises et de trésorerie, et utilise des scripts pour empêcher l'utilisation d'outils de développement dans les navigateurs, ce qui complexifie le processus d'analyse technique du site.