Autopsie d’un kit de phishing et de son camouflage

Un kit de phishing est un ensemble d'outils informatiques conçu pour automatiser et simplifier la création d'attaques par hameçonnage (phishing). Ces kits sont souvent vendus ou partagés entre pirates sur des forums clandestins. Ils permettent à des personnes peu techniques de lancer des campagnes de fraude en ligne, comme le vol de données personnelles ou l'accès à des comptes protégés. Dans cet article, les auteurs analysent un kit spécifique ciblant les comptes Outlook protégés par une authentification à deux facteurs (ou double authentification), une couche de sécurité supplémentaire qui demande un code envoyé par SMS ou généré par une application avant de valider une connexion. L'objectif de ce kit est de contourner cette protection en interceptant les données saisies par la victime sur une fausse page imitant le site officiel d'Outlook.

L'attaque décrite dans l'article utilise une technique appelée adversary-in-the-middle (AiTM), ou attaque de l'homme du milieu en français. Cette méthode consiste à intercepter les communications entre deux parties, comme un utilisateur et son service de messagerie, sans que ni l'un ni l'autre ne s'en aperçoive. Dans ce cas précis, le kit de phishing redirige la victime vers une page web frauduleuse qui ressemble à s'y méprendre à la page de connexion d'Outlook. Lorsque la victime saisit ses identifiants et son code de double authentification, ces informations sont immédiatement transmises aux pirates, qui les utilisent pour accéder au compte réel. Cette technique n'est pas nouvelle : elle était déjà documentée en 2022, mais elle reste efficace car elle exploite la confiance des utilisateurs dans l'apparence des sites officiels.

Le kit de phishing étudié pèse seulement 10 ko et contient du code malveillant conçu pour échapper aux détections des antivirus et des systèmes de sécurité. Les auteurs expliquent que les pirates utilisent des techniques de camouflage pour rendre le code indétectable. Par exemple, certaines fonctions sont écrites à l'envers ou cachées dans du code binaire illisible pour un humain. Une fois déployé, le kit génère une fausse page Outlook qui demande à la victime de se connecter. Si cette dernière saisit ses identifiants et son code de double authentification, ces données sont transmises aux pirates via un serveur contrôlé par eux. Le kit est conçu pour cibler spécifiquement les comptes Microsoft 365, la suite bureautique en ligne de Microsoft, qui inclut Outlook.

Les conséquences d'une attaque réussie avec ce type de kit peuvent être graves. Une fois le compte Outlook compromis, les pirates peuvent accéder à l'historique des emails, aux contacts, et même aux documents stockés sur OneDrive, le service de stockage en ligne de Microsoft. Ils peuvent également utiliser le compte pour envoyer des emails frauduleux à d'autres personnes, propageant ainsi l'attaque. Pour les entreprises, cela peut entraîner des pertes financières, des fuites de données sensibles ou des attaques en chaîne contre d'autres services. Les particuliers, bien que moins ciblés que les entreprises, peuvent également subir des préjudices, comme le vol d'informations personnelles ou l'accès à des comptes bancaires si ces derniers sont liés au compte email piraté.