Un courriel d'hameçonnage, plusieurs techniques d'évasion

Les organisations utilisant de plus en plus de produits de sécurité pour protéger leur courrier électronique des messages, pièces jointes et liens malveillants, les tentatives d'hameçonnage ont dû devenir plus sophistiquées. Il s'agit d'un processus continu dans lequel les attaquants développent de nouvelles techniques qui leur permettent d'échapper aux solutions de sécurité de la messagerie et d'atteindre les utilisateurs finaux.

Nous sommes récemment tombés sur un email de phishing capturé par Datto SaaS Defense qui utilisait de multiples techniques d'évasion, chacune ciblant un mécanisme de détection différent. Ces techniques, combinées entre elles, lui ont permis de contourner de nombreuses solutions de sécurité pour les emails.

Dans ce billet de blog, je vais vous présenter les différentes techniques d'évasion utilisées dans cette attaque, expliquer pourquoi elles permettent à l'attaque de passer inaperçue et suggérer comment elles pourraient être identifiées.

L'attaque et ses techniques d'évasion

L'e-mail lui-même incite l'utilisateur à cliquer sur un lien en l'informant que son mot de passe Office 365 est sur le point d'expirer. L'utilisateur clique sur le lien afin de mettre à jour son mot de passe et arrive sur cette fausse page web de connexion Microsoft :

Examinez attentivement cette page web. Il existe plusieurs techniques d'évasion qui rendent cette page peu suspecte aux yeux des solutions de sécurité pour le courrier électronique.

Evasion de Favicon

Le favicon (l'icône sur l'onglet du navigateur) est un peu différent du favicon actuel de Microsoft. L'attaquant a interverti les carreaux rouges et jaunes et a utilisé du blanc au lieu du noir pour la bordure.

Cela pourrait provoquer des erreurs de correspondance de modèles (une méthode utilisée par les solutions de sécurité pour identifier les pages web d'hameçonnage), en particulier si l'on n'utilise pas les niveaux de gris lors de la comparaison. Cela permet donc à cette attaque d'échapper aux moteurs de détection d'hameçonnage.

Evasion de logo

Le logo Microsoft utilisé dans la fausse page web de connexion est légèrement différent du logo original de Microsoft. Comme vous pouvez le voir sur l'image, le pirate a utilisé une police de caractères similaire, mais pas identique, ainsi que des lettres en gras.

A gauche : le faux logo ; à droite : le vrai logo Microsoft

Cela pourrait provoquer des erreurs dans la correspondance des modèles en supposant que le texte Microsoft est inclus dans le modèle. Cela augmente encore les chances que cette attaque soit manquée par les moteurs de détection d'hameçonnage.

Evasion de formulaire

The page might look like it contains a regular form, but it doesn’t use the actual <form> tag in HTML as a legitimate Microsoft website would. The attackers created the ‘form’ using <div> tags and CSS to look exactly the same, as you can see in the following HTML code.

Many phishing detection engines would scan the HTML looking for a <form> tag in order to investigate the form and reveal credential theft attempts. The fact that the form looks like a legitimate form makes the page unsuspicious to victims. The fact there is no <form> tag in the HTML prevents phishing detection engines from identifying the illegitimate form.

Texte suspect dans les images

Certains moteurs de détection de phishing analysent la page web à la recherche de champs qui demandent le mot de passe de l'utilisateur (typiquement des variations de la phrase 'enter password'). Ils examinent ensuite ces champs pour vérifier s'ils sont légitimes.

Dans cette page web de phishing, les attaquants ont utilisé des images du texte au lieu du texte réel chaque fois que le mot mot de passe était écrit.

Cette méthode peut permettre à l'attaque de contourner les solutions de sécurité du courrier électronique qui analysent la page web à la recherche de tentatives d'hameçonnage, car le moteur de détection ne reconnaît pas le mot "mot de passe" et ne soupçonne donc pas la page d'être utilisée pour la collecte d'informations d'identification.

Champ de saisie déguisé

Une autre technique que les moteurs de détection de phishing peuvent utiliser est l'analyse du HTML pour les champs de saisie, ce qui indique qu'il pourrait s'agir d'une tentative de vol de données d'identification. Dans ce cas, les attaquants ont caché le champ de saisie en créant une div vide avec une image de fond montrant le mot mot de passe. Il s'agit là d'une autre tactique permettant à cette attaque par courrier électronique de contourner les solutions de sécurité pour le courrier électronique.

La capture d'écran suivante montre que le champ 'Input' est en fait une div vide (avec l'id de 'spinput') :

Lorsque l'utilisateur clique sur cette div, une nouvelle div est créée avec l'identifiant 'inpfield'. Cette div sert de champ de saisie de texte dans lequel l'utilisateur peut entrer son mot de passe.

Pour que cela paraisse réel à l'utilisateur, il y a un espace réservé avec le mot "mot de passe". Pour éviter la détection, les attaquants ont ajouté "$shy" entre les lettres du mot "password". De cette manière, les moteurs de détection ne trouveraient pas le mot "password". Il s'agit d'un trait d'union souple qui est invisible dans le code HTML, de sorte que l'utilisateur ne se doute de rien.

En regardant attentivement, on peut remarquer que le mot mot de passe dans le champ 'input' est passé d'une image à un espace réservé après avoir cliqué dessus. Voici à quoi cela ressemble après avoir cliqué sur le faux champ de mot de passe :

Usually, when legitimate webpages use a password field, they use <input> with type password to make the black dots that won’t show the text in the field. In this case, the text is inside the <div> and a JavaScript code is changing the values to be those black dots that the user sees.

Que pouvez-vous faire ?

Le phishing devrait continuer à évoluer et les solutions de sécurité devront suivre le rythme pour empêcher les attaques de phishing d'échapper à leurs moteurs de détection.

Alors que la plupart des solutions de sécurité des e-mails s'appuient sur des données issues de tentatives de hameçonnage connues, Datto SaaS Defense adopte une approche indépendante des données. Datto SaaS Defense détecte les menaces de hameçonnage inédites et inconnues que d'autres solutions ne parviennent pas à repérer, en analysant la composition d'un e-mail, d'une URL et d'une page Web sûrs, plutôt qu'en recherchant des techniques de hameçonnage connues. C'est pourquoi cette attaque en particulier (ainsi que bien d'autres) a été bloquée par Datto SaaS Defense, mais a échappé à d'autres solutions de sécurité des e-mails.

Si vous souhaitez en savoir plus, inscrivez-vous à notre webinaire.