Un rapport récent publié par la société de cybersécurité Push Security a révélé la détection d'une vaste campagne d'attaques de phishing ciblant les comptes d'entreprises et d'organisations. La campagne repose sur l'envoi de fausses invitations à des événements technologiques arborant des marques de renom telles qu'OpenAI, SpaceX et Anthropic, utilisant des pages d'inscription frauduleuses méticuleusement conçues pour voler les identifiants et les jetons d'authentification des comptes Microsoft et Google.
Les chercheurs ont indiqué que les attaques utilisent des plateformes de phishing en tant que service sophistiquées et intégrées, à savoir Kali365 et VoidProxy, pour exécuter des attaques d'authentification à plusieurs étapes. La plateforme Kali365 se spécialise dans le ciblage des comptes Microsoft via des attaques par codes d'appareil, tandis que la plateforme VoidProxy agit comme un intermédiaire d'attaque qui intercepte les processus de connexion à Google et vole les cookies de session.
Mécanisme d'attaque et exploitation de marques de renom
La campagne attire les victimes via des liens de redirection provenant de services de confiance tels que les réducteurs d'URL de Google et Zapier, en plus d'exploiter les infrastructures de plateformes légitimes comme GoTo Webinar et Zoom lors de phases précédentes. Les pages d'inscription frauduleuses proposent des récompenses attrayantes, telles que l'octroi de trois mois de service ChatGPT Pro ou des parts d'actions fictives de SpaceX en échange de la participation à des événements spéciaux.
Avant d'afficher les pages d'inscription, les sites malveillants utilisent la protection Cloudflare CAPTCHA pour vérifier l'identité des visiteurs et empêcher les plateformes de sécurité automatisées d'examiner les sites. Lorsqu'une victime tente de s'inscrire via son compte Microsoft, la page communique avec la plateforme Kali365 pour générer un code d'authentification d'appareil, ce qui permet aux attaquants d'accéder aux applications connectées à des services tels que Microsoft 365, Salesforce et Google Workspace sans avoir besoin de demander directement le mot de passe.
Qu'est-ce que cette attaque change concrètement ?
La dangerosité de cette campagne réside dans sa capacité à contourner entièrement l'authentification à deux facteurs, soit en interceptant une session d'authentification déjà active, soit en exploitant le flux d'autorisation des appareils OAuth 2.0. Lors du choix de l'option Google, une fenêtre contextuelle s'ouvre via la plateforme VoidProxy pour agir comme un intermédiaire interceptant les identifiants, les réponses d'authentification et les cookies de session.
Pour se protéger de ces menaces, les autorités de sécurité recommandent de faire preuve d'une grande prudence face aux invitations à des événements exigeant une connexion avec des comptes professionnels en échange de récompenses, d'éviter de saisir des codes d'authentification d'appareil provenant de sites inconnus, de limiter l'authentification par codes d'appareil dans les environnements qui ne le nécessitent pas, et d'adopter des clés de sécurité FIDO2 résistantes au phishing.