Clé à emporter
- Les attaquants à l'origine d'un logiciel malveillant voleur de mots de passe utilisent des méthodes innovantes pour amener les gens à ouvrir des e-mails malveillants.
- Les attaquants utilisent la boîte de réception piratée d'un contact pour insérer les pièces jointes chargées de logiciels malveillants dans les conversations par e-mail en cours.
-
Les chercheurs en sécurité suggèrent que l'attaque souligne le fait que les gens ne devraient pas ouvrir aveuglément les pièces jointes, même celles de contacts connus.
Cela peut sembler étrange lorsque votre ami se lance dans une conversation par e-mail avec une pièce jointe à laquelle vous vous attendiez à moitié, mais douter de la légitimité du message pourrait vous éviter des logiciels malveillants dangereux.
Les détectives de sécurité de Zscaler ont partagé des détails sur les acteurs de la menace utilisant de nouvelles méthodes dans le but d'éviter la détection, pour faire circuler un puissant logiciel malveillant de vol de mot de passe appelé Qakbot. Les chercheurs en cybersécurité sont alarmés par l'attaque, mais pas surpris que les attaquants affinent leurs techniques.
"Les cybercriminels mettent constamment à jour leurs attaques pour essayer d'éviter d'être détectés et, en fin de compte, d'atteindre leurs objectifs", a déclaré Jack Chapman, vice-président de Threat Intelligence chez Egress, à Lifewire par e-mail. "Donc, même si nous ne savons pas exactement ce qu'ils vont essayer ensuite, nous savons qu'il y aura toujours une prochaine fois, et que les attaques évoluent constamment."
Pirate de quartier convivial
Dans son message, Zscaler passe en revue les différentes techniques d'obscurcissement que les attaquants utilisent pour amener les victimes à ouvrir leur e-mail.
Cela inclut l'utilisation de noms de fichiers attrayants avec des formats courants, tels que. ZIP, pour inciter les victimes à télécharger les pièces jointes malveillantes.
Obfusquer les logiciels malveillants est une tactique populaire depuis de nombreuses années maintenant, a partagé Chapman, affirmant avoir vu des attaques cachées dans de nombreux types de fichiers différents, y compris des PDF et tous les types de documents Microsoft Office.
"Les cyberattaques sophistiquées sont conçues pour avoir les meilleures chances possibles d'atteindre leurs cibles", a déclaré Chapman.
Fait intéressant, Zscaler note que les pièces jointes malveillantes sont insérées en tant que réponses dans les fils de discussion actifs. Encore une fois, Chapman n'est pas surpris par l'ingénierie sociale sophistiquée en jeu dans ces attaques. "Une fois que l'attaque a atteint la cible, le cybercriminel a besoin d'eux pour agir - dans ce cas, pour ouvrir la pièce jointe de l'e-mail ", a expliqué Chapman.
Keegan Keplinger, responsable de la recherche et des rapports chez eSentire, qui a détecté et bloqué une douzaine d'incidents de campagne Qakbot rien qu'en juin, a également souligné l'utilisation de boîtes de réception de messagerie compromises comme point culminant de l'attaque.
"L'approche de Qakbot contourne les contrôles de confiance humaine, et les utilisateurs sont plus susceptibles de télécharger et d'exécuter la charge utile, pensant qu'elle provient d'une source fiable", a déclaré Keplinger à Lifewire par e-mail.
Adrien Gendre, Chief Tech and Product Officer chez Vade Secure, a souligné que cette technique avait également été utilisée dans les attaques Emotet de 2021.
"Les utilisateurs sont généralement formés pour rechercher des adresses e-mail usurpées, mais dans un cas comme celui-ci, inspecter l'adresse de l'expéditeur ne serait pas utile car il s'agit d'une adresse légitime, bien que compromise", a déclaré Gendre à Lifewire dans un discussion par e-mail.
La curiosité a tué le chat
Chapman affirme qu'en plus de tirer parti de la relation préexistante et de la confiance établie entre les personnes impliquées, l'utilisation par les attaquants de types de fichiers et d'extensions courants rend les destinataires moins méfiants et plus susceptibles d'ouvrir ces pièces jointes.
Paul Baird, Chief Technical Security Officer UK chez Qualys, note que même si la technologie devrait bloquer ces types d'attaques, certaines passeront toujours inaperçues. Il suggère que tenir les gens au courant des menaces actuelles dans une langue qu'ils comprennent est le seul moyen de freiner la propagation.
"Les utilisateurs doivent se méfier et être formés, car même une adresse e-mail de confiance peut être malveillante si elle est compromise", a convenu Gendre. "Cela est particulièrement vrai lorsqu'un e-mail contient un lien ou une pièce jointe."
Gendre suggère aux utilisateurs de lire attentivement leurs e-mails pour s'assurer que les expéditeurs sont bien ceux qu'ils prétendent être. Il souligne que les e-mails envoyés à partir de comptes compromis sont souvent courts et directs avec des demandes très directes, ce qui est une bonne raison de signaler l'e-mail comme suspect.
Ajoutant à cela, Baird souligne que les e-mails envoyés par Qakbot seront normalement écrits différemment par rapport aux conversations que vous avez habituellement avec vos contacts, ce qui devrait servir d'autre signe d'avertissement. Avant d'interagir avec les pièces jointes d'un e-mail suspect, Baird vous suggère de vous connecter avec le contact en utilisant un canal séparé pour vérifier l'authenticité du message.
"Si vous recevez des e-mails [avec] des fichiers que vous n'attendez pas, alors ne les regardez pas", est le simple conseil de Baird. "L'expression "La curiosité a tué le chat" s'applique à tout ce que vous recevez par e-mail."
