🔍 Contexte

Publié le 4 novembre 2026 par Unit 42 (Palo Alto Networks), ce rapport technique documente trois campagnes de phishing distinctes ayant généré 1 740 détections entre mai et octobre 2026. Les auteurs sont Shawn He Shuang et Keerthiraj Nagaraj.

🎯 Technique commune : contournement de l’analyse DOM

Les trois campagnes partagent une caractéristique clé : elles éliminent tout texte de leurre du DOM HTML pour échapper aux moteurs d’analyse basés sur le contenu textuel. Les leurres sont délivrés via :

  • Images uploadées (prévisualisations)
  • Dessins HTML5 canvas
  • Chemins vectoriels SVG

📊 Campagne 1 — Leurres image via Google Drawings (1 188 détections)

Les victimes reçoivent un lien vers une prévisualisation Google Drawings affichant une carte de vérification de compte d’un retailer en ligne avec un bouton « Continue Verification ». Le DOM de 83 214 octets ne contient aucun mot visible, aucun champ de formulaire, mais charge une image de 1200x630 pixels depuis une URL cloud avec le paramètre =w1200-h630-p.

📊 Campagne 2 — Faux viewer PDF.js avec canvas HTML5 (361 détections)

Un faux visualiseur PDF.js peint un reçu de virement bancaire flou sur un canvas HTML5 de 974x1260 pixels. Le document HTML de 18 666 octets injecte dynamiquement des modules ES (download-dialog.mjs, app.mjs). Un clic sur le bouton déclenche une boîte de dialogue de mot de passe (dialog#password-dialog) pour collecter des identifiants sous prétexte de déverrouiller un PDF chiffré, ou propose le téléchargement d’un payload mobile.

📊 Campagne 3 — QR codes SVG vectoriels pour session hijacking (191 détections)

Une application SvelteKit (__sveltekit_3hl3a) hébergée notamment sur perehod[.]website usurpe l’identité de MAX Messenger. Le DOM de 322 322 octets contient un QR code de 62 532 octets entièrement construit en SVG vectoriel via des formes modulaires dans <defs> et des centaines d’instances g[transform] > use[xlink:href]. Aucune image ni canvas n’est utilisée. Un service worker est enregistré via trustedTypes.createPolicy.

🗂️ Type d’article

Analyse technique et rapport d’indicateurs de compromission produit par une équipe de threat intelligence, visant à documenter des techniques d’évasion et fournir des IOCs exploitables.

🧠 TTPs et IOCs détectés

TTP

  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1598.003 — Phishing for Information: Spearphishing Link (Reconnaissance)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1550.004 — Use Alternate Authentication Material: Web Session Cookie (Lateral Movement)

IOC

  • Domaines : perehod.website — VT · URLhaus · ThreatFox
  • Domaines : visualizadordepdf.com — VT · URLhaus · ThreatFox
  • Domaines : faq-log-trezor-io.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : io-trezorstrtt.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : jjenimi.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : telegram-6q70dzzf.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : htxx-lgon.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : pub-434abe86553e4c99b30d1c3be588c762.r2.dev — VT · URLhaus · ThreatFox
  • Domaines : profound-bubblegum-158420.netlify.app — VT · URLhaus · ThreatFox
  • Domaines : proviweb-d8764.firebaseapp.com — VT · URLhaus · ThreatFox
  • Domaines : ky8032162.cc — VT · URLhaus · ThreatFox
  • Domaines : verdepy-online.firebaseapp.com — VT · URLhaus · ThreatFox
  • Domaines : moltravi-zekun39471628.vercel.app — VT · URLhaus · ThreatFox
  • Domaines : submid-cotact136336.vercel.app — VT · URLhaus · ThreatFox
  • Domaines : spark-login.vercel.app — VT · URLhaus · ThreatFox
  • Domaines : solflare-mnemonic-to-keystore.pages.dev — VT · URLhaus · ThreatFox
  • Domaines : comcast-account.gitbook.io — VT · URLhaus · ThreatFox
  • Domaines : gmininilogenix.gitbook.io — VT · URLhaus · ThreatFox
  • Domaines : pub-fc87556782e141d88f0d4c70cc8e88ef.r2.dev — VT · URLhaus · ThreatFox
  • URLs : https://docs.google.com/drawings/d/1PkpYjKXZjijUIdTtGzC3gKAGrWM3SjTq89FJ6OZ9ULg/preview?JggAl — URLhaus
  • URLs : https://docs.google.com/drawings/d/1c8Beah-y6ykV4egbSfLqakuNr7rjk-etkS0Ee7ksdXY/preview?ZIB95 — URLhaus
  • URLs : https://docs.google.com/drawings/d/1pUWFVJkJJpoYqky3hzHMEMjb0bkAYM0NlgvxZYj4wik/preview?BcHpH — URLhaus
  • URLs : https://docs.google.com/drawings/d/1Lk8u8kvrgxHgjfoHl1NWcKp8sad3fCy4KcXzwLTEMyU/preview?uqrMX — URLhaus
  • URLs : https://docs.google.com/drawings/d/1d-rGOT7crc2txZ7vE_9xgsXXZNnIhbcaVbeH20YFNbI/preview — URLhaus
  • URLs : https://docs.google.com/drawings/d/1ufGqPEuWZK1uV__uSDP4gK84vgXJH3BTYw6WjIlbou0/preview?TNfEP — URLhaus
  • URLs : https://docs.google.com/drawings/d/1PjyZt0ZxiDFRo-FcrG5yB6bxeCyGfqHKqiIyUKidABI/preview?gbu6F — URLhaus
  • URLs : https://docs.google.com/drawings/d/1TrpKcBwrCxukLb1ajrMpkVhXjrr8N2exw-8Mv_AsYSw/preview — URLhaus
  • URLs : https://visualizadordepdf.com — URLhaus
  • URLs : https://faq-log-trezor-io.pages.dev — URLhaus
  • URLs : https://io-trezorstrtt.pages.dev/index.php?route=checkout/checkout — URLhaus
  • URLs : https://jjenimi.pages.dev/index.php?route=checkout/checkout — URLhaus
  • URLs : https://telegram-6q70dzzf.pages.dev — URLhaus
  • URLs : https://htxx-lgon.pages.dev — URLhaus
  • URLs : https://pub-434abe86553e4c99b30d1c3be588c762.r2.dev/f1nanc1al-sh33tsv2.3.html?centre= — URLhaus
  • URLs : https://profound-bubblegum-158420.netlify.app/ingreso.html — URLhaus
  • URLs : https://proviweb-d8764.firebaseapp.com — URLhaus
  • URLs : https://www.ky8032162.cc/index.html?shareName=www.ky804234.cc — URLhaus
  • URLs : https://perehod.website — URLhaus
  • URLs : https://verdepy-online.firebaseapp.com/cbmob/personas/index.html — URLhaus
  • URLs : https://moltravi-zekun39471628.vercel.app — URLhaus
  • URLs : https://submid-cotact136336.vercel.app — URLhaus
  • URLs : https://spark-login.vercel.app — URLhaus
  • URLs : https://solflare-mnemonic-to-keystore.pages.dev — URLhaus
  • URLs : https://comcast-account.gitbook.io/comcast-account-docs — URLhaus
  • URLs : https://gmininilogenix.gitbook.io/us/ — URLhaus
  • URLs : https://pub-fc87556782e141d88f0d4c70cc8e88ef.r2.dev/OfficialDocumentHandling.html — URLhaus
  • Fichiers : download-dialog.mjs
  • Fichiers : app.mjs
  • Fichiers : service-worker.js
  • Fichiers : start.CP8bQY5P.js
  • Fichiers : app.BHnh9mMq.js
  • Chemins : /vendor/pdfjs/web/pdf_viewer.css
  • Chemins : /_app/immutable/entry/start.CP8bQY5P.js
  • Chemins : /_app/immutable/entry/app.BHnh9mMq.js

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • PDF.js (faux viewer) (other)

🟡 Indice de vérification factuelle : 58/100 (moyenne)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 7964 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 54 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/6 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • perehod.website (domain) → VT (4/92 détections)

🔗 Source originale : https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/HEAD/2026-11-04-Phishing-Campaigns-Using-Graphics-Based-Lures.txt