Des escrocs abusent de Microsoft Azure pour diffuser de fausses alertes Windows dans 80 organisations

📰 Source : Cryptika (relayant CyberSecurityNews.com), publié le 4 novembre 2026. L’enquête est basée sur une investigation de PIXM datée du 2 novembre 2026.

🎯 Contexte de la campagne Entre mars et octobre 2026, des escrocs ont abusé de l’infrastructure Microsoft Azure pour héberger de fausses pages d’alerte de sécurité Windows. Ces pages ont été exposées à des utilisateurs appartenant à 80 organisations. Des nouvelles pages étaient encore créées quotidiennement au 2 novembre 2026, indiquant une opération toujours active. Ces chiffres représentent une exposition aux pages frauduleuses, et non 80 compromissions réseau confirmées.

⚙️ Mécanisme d’attaque L’attaque débute par une publicité sur un site web légitime (via des échanges programmatiques). Le clic redirige vers une page Azure affichant de fausses alertes de type “System Error” et “Windows Firewall”, accompagnées d’un faux chat de support. Un script JavaScript utilise JSONP pour interroger un service central (call.adhelper[.]cc) afin d’obtenir dynamiquement un numéro de téléphone frauduleux selon un paramètre advertising-manager. Un numéro de secours est prévu en cas d’échec de la requête.

Un pixel de tracking enregistre le numéro affiché, la campagne, le site éditeur et l’échange publicitaire, permettant aux opérateurs de relier les appels entrants à des campagnes précises.

📊 Infrastructure et attribution partielle

• Le gestionnaire de numéros a évolué de 3 noms en mai à 4 en juillet 2026, suggérant plusieurs participants.
• Des indices pointent vers des développeurs sinophones : commentaires de code et messages d’erreur en chinois simplifié, page par défaut du panneau serveur BaoTa en chinois, adresse d’enregistrement dans le Hubei (Chine).
• PIXM souligne que les informations d’enregistrement auto-déclarées ne suffisent pas à établir une attribution formelle.
• Le back-end investigué par PIXM couvre l’exposition de 11 organisations ; d’autres opérations utilisent le même kit pour les 80 organisations au total.

📡 Sites éditeurs identifiés comme vecteurs involontaires

• Whitepages, Legacy.com, Us Weekly, MSN, KMBC, WordHippo, Juno webmail, US News & World Report (section santé)
• Ces éditeurs ne sont pas complices ; les publicités transitaient par des échanges programmatiques.

⚠️ Risques immédiats Les escrocs incitent les appelants à installer des logiciels d’accès à distance, à payer pour de fausses réparations, ou à participer à des arnaques de remboursement ou d’usurpation bancaire.

🗂️ Type d’article : Publication de recherche / analyse technique d’une campagne de fraude en ligne active, visant à documenter l’infrastructure, les mécanismes et les indicateurs de compromission associés.

🧠 TTPs et IOCs détectés

TTP

• T1583.006 — Acquire Infrastructure: Web Services (Resource Development)
• T1608.005 — Stage Capabilities: Link Target (Resource Development)
• T1598 — Phishing for Information (Reconnaissance)
• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1036 — Masquerading (Defense Evasion)
• T1219 — Remote Access Software (Command and Control)

IOC

• Domaines : call.adhelper.cc — VT · URLhaus · ThreatFox
• Domaines : adhelper.cc — VT · URLhaus · ThreatFox
• Domaines : aff.adhelper.cc — VT · URLhaus · ThreatFox
• Domaines : adhelper.one — VT · URLhaus · ThreatFox
• Domaines : img.czlbb.site — VT · URLhaus · ThreatFox
• URLs : https://call.adhelper.cc/api/get-phone.php — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 78/100 (haute)

• ✅ cryptika.com — source reconnue (Rösti community) (20pts)
• ✅ 6046 chars — texte complet (fulltext extrait) (15pts)
• ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/4 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 7 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• call.adhelper.cc (domain) → VT (4/92 détections)

🔗 Source originale : https://www.cryptika.com/scammers-use-microsoft-azure-to-host-fake-windows-security-alerts-seen-at-80-organizations/