https://cyberveille.ch/tags/browser-based-attack/ Recent content in Browser-Based Attack on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 10 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-10-phishing-navigateur-blob-urls-et-redirections-microsoft-pour-masquer-les-pages-malveillantes/ Thu, 10 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-10-phishing-navigateur-blob-urls-et-redirections-microsoft-pour-masquer-les-pages-malveillantes/ <h2 id="-contexte">🔍 Contexte</h2> <p>Source : Barracuda Networks (fr.blog.barracuda.com), publié le 9 septembre 2026. Les chercheurs de Barracuda ont analysé une campagne de phishing innovante qui abandonne le modèle classique de la page hébergée sur un serveur au profit d&rsquo;une architecture entièrement résidente dans le navigateur de la victime.</p> <h2 id="-mécanisme-dattaque">⚙️ Mécanisme d&rsquo;attaque</h2> <p>La chaîne d&rsquo;attaque repose sur plusieurs composants enchaînés :</p> <ol> <li><strong>Email DocuSign-themed</strong> envoyé à la victime avec une pièce jointe de type invitation calendrier (fichier <code>.ics</code> ou similaire), pointant vers un endpoint <strong>Microsoft OAuth légitime</strong></li> <li>Un <strong>paramètre de redirection crafté</strong> route l&rsquo;utilisateur vers <strong>Microsoft Teams</strong></li> <li>Microsoft Teams charge une ressource externe hébergée sur <strong>cdn.bloom[.]io</strong></li> <li>Le navigateur convertit ce contenu en <strong>blob URL</strong> (URL temporaire pointant vers du contenu stocké en mémoire locale)</li> <li>La <strong>blob URL</strong> rend la page de phishing localement dans le navigateur</li> <li>Des <strong>service workers</strong>, des <strong>iframes sandboxées</strong> et une infrastructure backend gèrent le workflow de phishing et la navigation de l&rsquo;utilisateur</li> <li>Une <strong>configuration C2 cachée</strong> révèle que la page fait partie d&rsquo;une plateforme de phishing managée, opérable et modifiable en temps réel</li> </ol> <h2 id="-caractéristiques-distinctives">🎯 Caractéristiques distinctives</h2> <ul> <li><strong>Aucune page de phishing hébergée</strong> : le contenu malveillant n&rsquo;existe que dans la session navigateur de la victime, rendant impossible le blocklist préalable</li> <li><strong>Infrastructure Microsoft légitime</strong> tout au long de la chaîne (login.microsoftonline.com, Microsoft Teams), réduisant les signaux d&rsquo;alerte visibles</li> <li><strong>Contrôle dynamique</strong> via des mécanismes de messagerie navigateur, permettant aux opérateurs de modifier les destinations et comportements en temps réel</li> <li><strong>Leurre de légitimité</strong> via la pièce jointe calendrier, imitant une communication professionnelle ordinaire</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>analyse technique</strong> publiée par un éditeur de sécurité, visant à documenter une technique de phishing émergente et à sensibiliser les équipes de sécurité aux nouvelles méthodes d&rsquo;évasion basées sur le navigateur.</p>