Les chercheurs en cyber de KnowBe4 ont découvert une nouvelle campagne de phishing capable de reconnaître le système d'exploitation de la victime, pour adapter son attaque en temps réel et faire de gros dégâts.
Exclusivité Clubic. L'inquiétante campagne de phishing repérée par le KnowBe4 Threat Lab et dont on a pris connaissance en exclusivité bouscule avant tout les habitudes des cybercriminels. Elle ne se contente pas d'un courrier électronique générique envoyé en masse. Comme une arnaque classique, elle se matérialise avec avec un faux e-mail d'alerte qui signale une connexion suspecte, sauf que l'attaque détecte ensuite le système d'exploitation de la victime pour adapter son piège au cas par cas. Sur certains profils, l'arnaque va même jusqu'à faire intervenir un pirate bien réel, capable d'échanger en direct avec sa cible pour lui soutirer un code de sécurité.
Un phishing qui inquiète, car il reconnaît votre appareil avant vous
Tout commence donc de façon assez banale, avec un e-mail reçu par la personne ciblée, mail qui prétend provenir d'iCloud et qui alerte d'une connexion suspecte depuis un appareil Windows ou autre. C'est le genre de message pensé pour générer un réflexe de panique plutôt qu'une réflexion posée. Mais un simple clic sur le lien déclenche déjà les prémisses de l'arnaque : la victime est discrètement redirigée plusieurs fois de suite, d'un site à un autre, un peu comme si on la faisait passer par plusieurs portes avant d'arriver dans la bonne pièce. Au passage, et vous allez à quel point c'est redoutable, un filtre automatique vérifie qu'il s'agit bien d'une personne réelle, et non d'un logiciel de sécurité venu inspecter le site, avant de la laisser accéder à la fausse page qui lui est destinée.
Avant même d'afficher quoi que ce soit à l'écran, l'infrastructure interroge discrètement l'appareil de la victime pour connaître son système d'exploitation. Sur Windows, la victime tombe sur une fausse page d'« accès sécurisé à un document », qui l'invite à installer un petit utilitaire pour pouvoir le consulter. Ce fichier n'est autre qu'un outil d'administration à distance parfaitement légitime, habituellement utilisé par les services informatiques, mais ici détourné pour offrir aux attaquants un accès complet à la machine.
Sur Mac, iPhone ou iPad, le scénario est classique, avec une fausse page de connexion iCloud, quasi indiscernable de l'originale, chargée de récupérer les identifiants Apple au passage. Pour les autres profils, Android, Linux et compagnie, la mécanique se corse, cette fois avec une fausse page façon Microsoft 365, certes, mais avec ici un être humain qui prend la main en direct pour finaliser l'arnaque.
Quand un humain prend le relais derrière l'écran
Ce circuit réservé aux profils non-Apple est sans doute le plus préoccupant des trois. Les identifiants qui y sont saisis partent instantanément vers un opérateur connecté via Telegram, capable d'interagir avec la victime en temps réel. Il a pour objectif de la faire patienter juste assez pour récupérer le fameux code de double authentification, voire la pousser à valider elle-même une demande de connexion, jusqu'à ces faux écrans Microsoft qui affichent, sans ciller, « nous vous appelons, merci de répondre ». Une technique dite « Adversary-in-the-Middle », qui met à mal la plupart des protections MFA classiques, notifications push comprises.
Les chercheurs ont aussi appris que cette infrastructure ne se limite pas à imiter iCloud. Les mêmes briques techniques servent aussi bien à cibler Microsoft 365, Google, des portails d'authentification unique d'entreprise que des plateformes RH. Un véritable kit prêt à l'emploi, que les cybercriminels peuvent visiblement recycler selon la cible visée, presque comme un produit commercial.
L'attaque sait également se faire discrète face aux défenses habituelles des entreprises. En s'appuyant sur des redirections hébergées chez des acteurs légitimes et reconnus, elle parvient à contourner les passerelles de sécurité e-mail, les analyseurs de liens automatisés et même certains environnements de sandboxing censés détecter ce type de comportement malveillant.
Des chiffres étonnants, et une certaine fragilité côté Apple
KnowBe4 nous indique que plus de 250 clics ont été comptabilisés en seulement 48 heures, provenant à chaque fois de vraies personnes et non de robots ou d'outils de sécurité venus tester le lien, majoritairement aux États-Unis. Ce chiffre paraît modeste, mais rappelons qu'une campagne de phishing n'a plus besoin de viser des millions de boîtes mail pour faire des dégâts. En ciblant juste ce qu'il faut et en s'adaptant à chaque victime, les attaquants obtiennent des résultats (un meilleur taux de conversion) qu'une campagne massive et générique aurait mis bien plus de temps à atteindre.
Détail douloureux pour Apple, plus de 65 % des victimes utilisaient un appareil de la marque à la pomme. C'est surprenant, car les Mac et iPhone ont longtemps eu la réputation d'être moins exposés aux virus et aux arnaques que les PC Windows, une idée reçue tenace chez de nombreux utilisateurs. Cette campagne prouve le contraire, avec des pirates qui n'ont plus besoin de cibler un système en particulier puisqu'ils s'adaptent à tous, Apple compris, et ce sont ici les utilisateurs qui se pensaient les plus tranquilles qui ont le plus mordu à l'hameçon.
Pour KnowBe4, cette campagne confirme bien que le phishing générique, envoyé en masse à des millions d'adresses au hasard, cède peu à peu la place à des attaques bien plus malines, capables de s'ajuster en quelques millisecondes selon l'appareil utilisé, le profil de la victime, et même les outils de sécurité censés les arrêter. Une évolution qui rappelle une chose simple : aucun système, aussi réputé fiable soit-il, ne suffit à lui seul à mettre quelqu'un à l'abri d'un clic malheureux.
