Des experts en cybersécurité ont découvert une nouvelle campagne de phishing par code QR, également connue sous le nom de "quishing", qui exploite Microsoft Sway pour héberger de fausses pages de destination et voler des identifiants, des codes d'authentification multi-facteurs (MFA) et des cookies.
Sway est une application de narration numérique basée sur le cloud lancée en 2015 dans le cadre de la famille de produits Microsoft 365. Elle permet aux utilisateurs de créer et de partager des conceptions interactives pour des rapports, des histoires personnelles, des présentations, des documents, et plus encore.
Netskope Threat Labs, une entreprise de cybersécurité, a enregistré pour la première fois l'arnaque au quishing en juillet 2024. La société a détecté une augmentation de 2 000 fois des campagnes de cyberattaques sur Sway, utilisant une série de tactiques pour contourner les solutions de cybersécurité de Microsoft.
Ces barrages de cyberattaques ont principalement ciblé les secteurs de la technologie, de la fabrication et de la finance, en particulier en Asie et en Amérique du Nord.
Table des matières
- Les campagnes de phishing de codes QR de Microsoft ont été initiées à partir d'e-mails, confirme Netskope.
- Les campagnes de phishing par code QR ont profité de Cloudflare Turnstile pour éviter la détection.
- Ce n'est pas la première fois : Microsoft Sway a un historique d'attaques de phishing
- La nature basée sur l'image des codes QR est exploitée pour lancer des campagnes de phishing.
- Les entreprises doivent revoir leurs politiques de sécurité et intensifier la cybersécurité.
Les campagnes de phishing de codes QR de Microsoft ont été initiées à partir d'e-mails, confirme Netskope
Les chercheurs ont découvert que les e-mails envoyés aux utilisateurs de Sway étaient redirigés vers des pages d'atterrissage de phishing hébergées sur le domaine sway.cloud.microsoft. Ces pages de phishing affichaient un faux code QR qui encourageaient les utilisateurs à scanner pour les diriger vers d'autres pages web malveillantes.
Étant donné que l'URL est intégrée à l'intérieur d'une image, les scanners d'e-mails qui ne peuvent scanner que le contenu basé sur du texte peuvent être contournés. De plus, lorsqu'un utilisateur reçoit un code QR, il peut utiliser un autre appareil, tel que son téléphone portable, pour scanner le code, Les chercheurs de Netskope ont observé.
Inciter les utilisateurs à utiliser leurs téléphones portables pour scanner ces codes QR est une stratégie de fraude courante, car la plupart des téléphones sont équipés de mesures de sécurité moins robustes.
Les acteurs malveillants sont susceptibles de contourner les contrôles de sécurité contre le phishing sur les smartphones, car ils ne sont souvent pas équipés de logiciels antivirus ou de solutions de détection et de réponse aux points de terminaison, qui sont généralement présentes uniquement sur les PC.
Depuis la mise en place des mesures de sécurité sur les appareils mobiles, en particulier les téléphones portables personnels, qui sont généralement moins strictes que sur les ordinateurs portables et de bureau, les victimes sont alors souvent plus vulnérables aux abus. chercheurs ajoutés.
Les campagnes de phishing par code QR ont profité de Cloudflare Turnstile pour éviter la détection.
Ce qui rend ces campagnes de hameçonnage beaucoup plus efficaces, c'est l'utilisation de logiciels web de confiance pour paraître plus crédibles et échapper à la détection de leurs tactiques d'escroquerie.
Les chercheurs ont confirmé que ces escrocs utilisaient Cloudflare Turnstile pour cacher leurs pages de destination aux scanners d'URL statiques et aux services de filtrage web. Cela a aidé les escrocs à maintenir une bonne réputation, les rendant indétectables même aux outils destinés à protéger les sites web des bots.
Les cyberattaquants ont également utilisé le phishing transparent, qui utilise des attaques de l'adversaire au milieu. Cette tactique d'escroquerie a volé codes d'authentification multi-facteurs à travers une page qui ressemble à s'y méprendre tout en se connectant simultanément au compte Microsoft légitime de la victime.
En utilisant la tactique des comptes Microsoft connectés, les utilisateurs pensaient accéder à un site légitime, gagnant ainsi leur confiance et abaissant leur garde dans le processus.
En utilisant des applications cloud légitimes, les attaquants donnent de la crédibilité aux victimes, les aidant à faire confiance au contenu qu'elles fournissent.
De plus, une victime utilise son compte Microsoft 365 sur lequel elle est déjà connectée lorsqu'elle ouvre une page Sway, ce qui peut l'aider à être persuadée de sa légitimité. Les chercheurs de Netskope ont noté.
Ce n'est pas la première fois : Microsoft Sway a un historique d'attaques de phishing
En avril 2020, des acteurs malveillants ont mené une campagne de phishing similaire appelée PerSwaysion, ciblant les identifiants de connexion Office 365 en utilisant un kit de phishing inclus dans une opération de logiciel malveillant en tant que service (MaaS).
Les chercheurs en sécurité de Group-IB ont découvert que la campagne a utilisé Microsoft Sway pour cibler les hauts responsables et directeurs de petites et moyennes entreprises de services financiers, de cabinets d'avocats et de groupes immobiliers.
Plus de 156 identifiants ont été collectés en compromettant leurs e-mails d'entreprise. Au moins 20 de ces comptes de phishing appartiennent à des cadres de diverses entreprises aux États-Unis, au Canada, en Allemagne, à Hong Kong, à Singapour, aux Pays-Bas et au Royaume-Uni.
Les preuves indiquent que les escrocs sont susceptibles d'utiliser les profils LinkedIn pour évaluer les positions potentielles des victimes.
Une telle tactique réduit la possibilité d'une alerte précoce de la part des collègues de la victime actuelle et augmente le taux de réussite du nouveau cycle de phishing. Les chercheurs de Group-IB ont déclaré.
La nature basée sur l'image des codes QR est exploitée pour lancer des campagnes de phishing.
Améliorer les mesures de cybersécurité et les contre-mesures reste l'une des missions principales des entreprises technologiques comme Microsoft et des organisations de logiciels en tant que service qui offrent un générateur de code QR gratuit en ligne.
Au milieu du développement de mesures de cybersécurité plus strictes, cependant, les acteurs malveillants renforcent également leurs campagnes de hameçonnage et leurs contre-mesures. Ils deviennent plus intelligents en exploitant les failles des applications de cybersécurité légitimes contre elles-mêmes.
Comme le montrent ces attaques de phishing sur Sway, la vulnérabilité réside dans les menaces basées sur les images, telles que les codes QR. La plupart des scanners d'e-mails étaient uniquement calibrés pour analyser le contenu basé sur le texte, pas les URL dans les images.
L'utilisation de codes QR pour rediriger les victimes vers des sites de phishing pose certains défis aux défenseurs.
Étant donné que l'URL est intégrée à l'intérieur d'une image, les scanners d'e-mails qui ne peuvent scanner que le contenu basé sur du texte peuvent être contournés. Netskope a rétorqué.
Les entreprises doivent revoir leurs politiques de sécurité et intensifier la cybersécurité.
Les campagnes de phishing en progression incitent les organisations à revoir leurs politiques de cybersécurité en matière de balayage et de filtrage du trafic web et cloud. De meilleures politiques signifient moins de chances pour les employés d'accéder à des sites web malveillants.
À la fois, il est conseillé aux utilisateurs individuels de vérifier les URL avant de cliquer. Mieux encore, saisissez directement le site web dans la barre d'adresse du navigateur pour éviter de tomber dans les pièges d'escroquerie par code QR.
Le phishing basé sur les codes QR est récemment devenu un problème majeur et semble peu susceptible de diminuer. Récemment, la recherche de Cofense a révélé une augmentation de 331 % des signalements de menaces actives liées aux codes QR. Max Gannon de Cofense a dit.
L'abus de Microsoft Sway dans cette campagne souligne davantage que les acteurs de la menace disposent d'un moyen facile et prêt à l'emploi pour contourner de nombreux contrôles de sécurité automatisés - il leur suffit d'abuser d'un service de partage de confiance. Gannon a ajouté.
