Les experts de Microsoft Defender ont découvert une opération de phishing qui cible les entreprises en se faisant passer pour une activité professionnelle de routine. Nous avons vu récemment que OAuth avait été utilisé à mauvais escient pour des attaques de phishing, et maintenant les pirates informatiques se tournent vers l’abus de certificats légitimes pour accéder à votre PC.
Les victimes reçoivent des e-mails qui ressemblent à des invitations à des réunions, des PDF ou des invites de téléchargement familières, et les liens prétendent mettre à jour des applications telles que Microsoft Teams, Zoom, Google Meet ou Adobe Reader. Lorsqu’un utilisateur clique, le téléchargement arrive sous la forme d’un faux programme d’installation qui déguise le malware en mise à jour légitime.
Un vrai certificat EV, obtenu via une fausse entreprise
La campagne s’appuie sur des fichiers malveillants signés numériquement, ce qui leur donne une couche de confiance en un coup d’œil. Le malware transportait un certificat Extended Validation (EV) délivré à une société appelée TrustConnect Software PTY LTD, et les certificats EV ont tendance à bénéficier de contrôles d’identité plus stricts et de signaux de réputation plus forts.
Les enquêteurs ont conclu que les attaquants n’avaient pas volé le certificat, car ils avaient plutôt créé une fausse identité d’entreprise, construit un site Web convaincant généré par l’IA, puis acheté légitimement le certificat EV pour signer leurs charges utiles.
Persistance sous Windows, puis accès à distance via des outils RMM légitimes
Après son exécution, le logiciel malveillant établit sa persistance dans Windows en se plaçant dans Program Files, en s’enregistrant en tant que service Windows et en ajoutant une clé de registre Exécuter. Il lance ensuite PowerShell codé pour installer des outils légitimes de surveillance et de gestion à distance, notamment ScreenConnect, Tactical RMM et Mesh Agent.
Ces outils apparaissent souvent dans des environnements d’entreprise réels, de sorte que l’activité des attaquants peut se fondre dans les modèles de trafic informatique normaux, et les opérateurs installent souvent plusieurs agents RMM afin de conserver l’accès si les défenseurs en suppriment un.
Monétisation MaaS et pourquoi la révocation ne l’a pas complètement résolu
Les chercheurs affirment que les acteurs ont transféré leurs opérations vers Malware-as-a-Service et louent des logiciels malveillants signés ainsi que l’infrastructure de support pour environ 300 $ par mois en crypto-monnaie. Proofpoint et The Cert Graveyard ont travaillé pour obtenir la révocation du certificat EV le 6 février, mais la révocation n’est pas antidatée, de sorte que les logiciels malveillants déjà signés avec ce certificat peuvent toujours paraître valides pour Windows même après l’événement de révocation.
DocConnect apparaît comme la prochaine évolution
Les attaquants ont commencé à tester une variante plus récente appelée DocConnect, qui comprendrait des panneaux de contrôle améliorés, une meilleure communication en temps réel et de faux écrans Windows Update conçus pour inciter les victimes à faire confiance au flux.
Les chercheurs préviennent que la campagne reste active et exhortent les organisations à considérer les invites de téléchargement inattendues et les liens de « mise à jour » comme à haut risque, même lorsque les fichiers semblent correctement signés.
Microsoft a dévoilé une nouvelle expérience d’intégration de Defender Deployment, et les chercheurs ont également repéré une campagne de phishing se faisant passer pour le site Web de sécurité de Google.
Via Neowin
*️⃣ Lien source :
Experts Microsoft Defender , OAuth a été utilisé de manière abusive pour des attaques de phishing, une nouvelle expérience d’intégration de Defender Deployment, une usurpation d’identité du site Web de sécurité de Google, Neowin ,