Nouvelle menace signalée : Pages Web d'hameçonnage InDesign. Protégez vos identifiants Microsoft 365

L'unité de recherche sur les menaces de Datto a récemment analysé une nouvelle technique de hameçonnage dont nos partenaires MSP doivent prendre connaissance. Bien que ce type d'attaque soit déjà en circulation, il n'avait jusqu'à présent pas été détecté comme une tentative d'hameçonnage. Cette technique repose sur deux éléments clés qui, combinés, la rendent pratiquement indétectable par la plupart des solutions de sécurité : l'attaque exploite la réputation d'hébergement d'Adobe InDesign et le lien malveillant est dissimulé dans une balise iframe. Cette technique étant désormais confirmée comme une tentative de hameçonnage, nous pouvons la signaler pour la première fois et, espérons-le, prévenir toute tentative d'attaque future. 

L'attaque

Comme de nombreuses autres attaques de phishing visant à récupérer les informations d'identification des utilisateurs de Microsoft, cette attaque est envoyée par courrier électronique. Le courriel incite l'utilisateur à cliquer sur un lien afin d'accéder à un document partagé, qui mène ensuite à une page web InDesign légitime hébergée sur indd.adobe.com. Voici quelques exemples de pages de ce type :

Dans les captures d'écran ci-dessus, les boutons "Ouvrir le document" et "Voir le PDF en ligne" contiennent un lien vers un site de phishing qui demande les identifiants Microsoft de la victime afin d'accéder au document, qui ressemble à ceci :

Contrairement à la première page indd.adobe.com que les attaquants peuvent garder en ligne pendant plusieurs jours car elle ne suscite pas de soupçons, cette URL doit changer fréquemment car elle est hébergée dans un domaine moins réputé et peut être identifiée comme une page web d'hameçonnage.

La technique des attaquants

Pour échapper aux solutions de sécurité du courrier électronique, les attaquants ont tiré parti de la plateforme légitime Adobe InDesign :

1. Le domaine indd.adobe.com est un domaine public de confiance. De nombreuses solutions de sécurité basées sur la réputation n'analyseraient pas les URL conduisant à ce domaine ou les analyseraient et concluraient qu'elles sont sûres, parce que l'URL indd.adobe.com est légitime, n'indique rien de suspect et ne demande pas d'informations d'identification. L'hébergement de pages web de phishing dans des domaines publics de confiance tels que GoogleDrive, SharePoint, OneDrive et Dropbox est une astuce connue. Cependant, c'est la première fois qu'elle est réalisée en utilisant le domaine InDesign.
2. La page web est conçue à l'aide d'InDesign, qui présente certaines caractéristiques spécifiques dont les acteurs malveillants ont tiré parti pour échapper aux solutions de sécurité. La caractéristique la plus importante est le fait que les liens sont cachés dans des iframes au lieu d'être étiquetés comme des liens. La plupart des moteurs de détection d'hameçonnage sont conçus pour analyser les URL en html (où les URL sont marqués comme des liens), et n'identifient donc pas les liens dans ces pages web InDesign malveillantes.
3. Un autre avantage de l'utilisation de la plateforme InDesign réside dans ses diverses capacités de conception pour l'ingénierie sociale, qui aident les attaquants à donner l'impression qu'ils le souhaitent (aussi réelle que possible) et à tromper les victimes.
4. De plus, les attaquants n'ont pas inclus l'URL malveillante (celle qui demande les informations d'identification de l'utilisateur) dans l'e-mail lui-même, mais ont plutôt utilisé la page indd.adobe.com comme URL intermédiaire qui semble sûre pour les solutions de sécurité des e-mails.

Comment se protéger

Les escroqueries par hameçonnage deviennent de plus en plus sophistiquées et utilisent des techniques d'évasion de plus en plus avancées. Dans ce cas, les attaquants ont exploité la plateforme InDesign à trois niveaux : en tant qu'hôte de confiance, en tant que plateforme de conception et pour dissimuler l'URL malveillante aux scanners. La combinaison de ces tactiques est ce qui différencie cette attaque des autres et lui permet d'échapper à de nombreuses solutions de sécurité pour le courrier électronique.

Malheureusement, cela rend la vie des organisations qui cherchent à protéger leurs employés et leurs actifs, et des fournisseurs de sécurité qui les aident à le faire, beaucoup plus difficile. Afin de se protéger contre de telles menaces, ainsi que contre d'autres techniques de phishing émergentes, les organisations doivent s'assurer qu'elles utilisent une protection avancée contre les menaces en plus de leur sécurité de base pour les emails - une solution de sécurité qui peut protéger contre toutes les attaques et techniques de phishing, même celles qui ne sont pas encore connues ou couramment utilisées.

C’est là que Datto SaaS Defense peut vous aider. SaaS Defense – la solution avancée de protection contre les menaces de Datto pour la suite Microsoft 365 – protège contre le phishing, les ransomwares et d’autres types de logiciels malveillants. La technologie unique de SaaS Defense, indépendante des données, détecte les menaces de phishing inconnues dès leur première apparition, indépendamment des attaques passées ou de la réputation du domaine. Elle ne s’appuie pas sur des logiciels tiers, des signatures ou des rapports sur les logiciels malveillants.

Alors que la plupart des solutions de sécurité nécessitent beaucoup d’attention et de maintenance pour fonctionner efficacement, SaaS Defense fonctionne différemment. Les autres solutions doivent d’abord détecter la menace dans l’environnement réel pour comprendre son fonctionnement avant de pouvoir s’adapter pour la bloquer ; SaaS Defense adopte une approche différente en analysant chaque application de Microsoft 365. Comment cette application est-elle censée fonctionner ? Quelle est la définition des chemins d’exécution corrects et sûrs ? Il s’agit de considérer ces conditions comme l’état normal connu. Si nous détectons un comportement s’écartant de cet état – qu’il s’agisse d’un lien potentiellement malveillant ou de toute autre exécution de code hors norme –, nous identifions cette menace et la bloquons pour l’empêcher d’atteindre l’utilisateur final. Résultat ? Cette solution vous protège, vous, nos partenaires, que la menace soit connue ou inconnue, et vous évite tout le travail de maintenance, de configuration et de gestion requis par les solutions traditionnelles.

Pour découvrir la solution SaaS Defense en action et savoir comment elle peut vous aider à protéger vos clients contre les cybermenaces les plus sophistiquées et les plus malveillantes, n'hésitez pas à prendre rendez-vous pour une démonstration avec l'un de nos conseillers.