Phishing

Selon le blog de Check Point, une campagne active de phishing a exploité l’infrastructure de Google Classroom pour diffuser plus de 115 000 emails entre le 6 et le 12 août 2025, visant 13 500 organisations à travers plusieurs régions. Vecteur : Abus de Google Classroom via de fausses invitations à rejoindre des classes, contenant des offres commerciales sans rapport (revente de produits, services SEO). 🎓 Appel à l’action : Redirection vers un numéro WhatsApp afin de déplacer l’échange hors des canaux surveillés par l’entreprise. 📱 Portée : 5 vagues coordonnées en une semaine, ciblant des organisations en Europe, Amérique du Nord, Moyen-Orient et Asie. Objectif tactique : Tirer parti de la confiance accordée aux services Google pour contourner des filtres basés sur la réputation de l’expéditeur. Check Point indique que Harmony Email & Collaboration (SmartPhish) a détecté et bloqué la majorité des tentatives, et que des couches additionnelles ont empêché le reste d’atteindre les utilisateurs finaux. L’éditeur souligne l’augmentation de l’armement de services cloud légitimes, rendant insuffisants certains passerelles email traditionnelles face aux techniques évolutives de phishing. ...

Source: malwr-analysis.com (24–25 août 2025). Contexte: un chercheur décrit une évolution d’une chaîne de phishing Gmail où les attaquants ciblent à la fois les utilisateurs et les défenses automatisées, en insérant un texte d’« injection de prompt » dans la section MIME en clair pour distraire/perturber l’analyse par IA. Leurres et chaîne de livraison 🚨: l’email de phishing imite un avis d’expiration de mot de passe (sujet: « Login Expiry Notice 8/20/2025 4:56:21 p.m. »), envoyé via SendGrid avec SPF/DKIM OK mais DMARC en échec, ce qui a permis de franchir certains filtres. La campagne abuse Microsoft Dynamics pour une redirection de mise en scène, puis bascule vers un domaine attaquant avec captcha (empêchant crawlers/sandboxes) avant la page principale de phishing brandée Gmail. Le kit effectue une requête GeoIP pour profiler l’utilisateur et un beacon télémétrique pour distinguer humains et bots. ...

Source: Microsoft Threat Intelligence et Microsoft Defender Experts — billet technique détaillant, avec exemples et IOCs, l’essor de la technique d’ingénierie sociale « ClickFix » observée depuis 2024. • ClickFix insère une étape d’« interaction humaine » dans la chaîne d’attaque via des pages d’atterrissage qui miment des vérifications (CAPTCHA, Cloudflare Turnstile, faux sites officiels). Les victimes copient-collent puis exécutent elles‑mêmes des commandes dans Win+R, Terminal ou PowerShell. Les charges livrées incluent des infostealers (Lumma, Lampion), des RATs (Xworm, AsyncRAT, NetSupport, SectopRAT), des loaders (Latrodectus, MintsLoader) et des rootkits (r77 modifié). Beaucoup d’exécutions sont fileless et s’appuient sur des LOLBins (powershell.exe, mshta.exe, rundll32.exe, msbuild.exe, regasm.exe). ...

Selon Push (recherche signée par Luke Jennings), une campagne de phishing exploite un tenant Microsoft configuré avec ADFS et de la malvertising pour obtenir des redirections légitimes depuis outlook.office.com vers une page de phishing Microsoft clonée en reverse‑proxy. • Le kit observé est un classique de type Attacker‑in‑the‑Middle (AitM) clonant la page de connexion Microsoft afin d’intercepter la session et contourner la MFA. L’originalité ne vient pas de la page mais de la chaîne de redirections et de l’évasion de détection. ...

Source: ncsc.admin.ch (OFCS/NCSC), communication du 19.08.2025. L’office décrit deux incidents survenus la semaine précédente illustrant l’évolution des méthodes d’ingénierie sociale pour installer des logiciels malveillants, malgré la baisse apparente des signalements de malware au S1 2025 (182 cas, ~0,4%). • Contexte chiffré: au premier semestre 2025, seuls 182 signalements liés aux logiciels malveillants ont été reçus (~0,4%). Le NCSC avance deux lectures: d’un côté, les protections techniques (antivirus, filtres anti‑spam) bloquent davantage; de l’autre, les attaques deviennent plus furtives et passent inaperçues. ...

Selon ravenmail.io (14 août 2025), des acteurs malveillants mènent une campagne de credential phishing en détournant les Cisco Safe Links afin d’échapper au filtrage des emails et de tirer parti de la confiance des utilisateurs. L’article explique comment l’exploitation de l’infrastructure de sécurité légitime fonctionne: les liens potentiellement suspects sont réécrits en « secure-web.cisco.com » par Cisco pour une analyse en temps réel. Des attaquants capitalisent sur la confiance de marque (« secure » + « Cisco ») et sur les contrôles centrés sur le domaine visible, créant un biais de confiance et un contournement des détections. Ils profitent aussi d’un délai de classification des nouvelles menaces pour opérer avant que les destinations ne soient signalées. La logique est similaire aux protections de Microsoft Defender et Proofpoint TAP. ...

Selon Doctor Web, une entreprise d’ingénierie russe a de nouveau été visée par le groupe APT Scaly Wolf, deux ans après une première intrusion. L’éditeur a analysé l’attaque détectée fin juin 2025 et reconstitué la chaîne d’infection, mettant en lumière un backdoor modulaire « Updatar » et l’usage d’outils de post-exploitation standard. • Vecteur initial 📧: début mai 2025, des e-mails « financiers » sans texte contenaient un PDF leurre et une archive ZIP protégée par mot de passe. Le ZIP renfermait un exécutable déguisé en PDF via une double extension (.pdf.exe). Le binaire initial, détecté comme Trojan.Updatar.1 (signature ajoutée le 6 mai 2025), sert de téléchargeur pour les autres modules du backdoor afin d’exfiltrer des données. La nouvelle version de Updatar.1 utilise une « RockYou Obfuscation »: initialisation massive de chaînes RockYou.txt et encodage XOR + décalage aléatoire des chaînes utiles, rendant l’analyse plus difficile. ...

De faux courriels au nom d’Apple circulent actuellement en Suisse, avertissent les polices cantonales de Berne et Zurich. Selon Swiss Cybersecurity, des cybercriminels utilisent une nouvelle campagne de phishing qui prétend rectifier une prétendue facturation erronée d’un abonnement Bumble Premium de 1339 francs suisses. Dans ces messages frauduleux, les victimes sont invitées à cliquer sur un lien afin de réclamer un remboursement. Or, ce lien conduit à un faux site où l’on demande d’abord l’identifiant Apple, puis les coordonnées bancaires. Non seulement les criminels peuvent ainsi débiter les comptes des victimes, mais ils obtiennent aussi un accès direct à leur Apple ID. ...

Selon next.ink, la boutique en ligne Alltricks a subi une compromission de son système d’envoi d’e-mails s’appuyant sur la plateforme Sendinblue (Brevo), entraînant l’envoi de messages de phishing à des clients. L’attaque a exploité le mécanisme de redirection de liens propre aux services d’emailing: des liens au format « r.sb3.alltricks.com » semblaient légitimes car rattachés au domaine d’Alltricks, mais redirigeaient vers d’autres adresses. Des destinataires ont reçu des messages invitant à ouvrir un document OneDrive, renouveler un mot de passe ou ouvrir un fichier Excel. ⚠️ ...

Selon KrebsOnSecurity, des groupes cybercriminels ont délaissé le vol d’identifiants de wallets mobiles pour exploiter des comptes de courtage via des campagnes de phishing sophistiquées, afin de mener des opérations de manipulation boursière « ramp and dump ». Les victimes se retrouvent avec des positions sans valeur, tandis que les attaquants profitent de la hausse artificielle des cours. 🎣 Le chaîne d’attaque démarre par des SMS/iMessage usurpant des plateformes de courtage et redirigeant vers des sites de collecte d’identifiants qui capturent identifiants, mots de passe et codes OTP par SMS. Les comptes compromis servent ensuite à acheter massivement des actions ciblées (souvent des IPO chinoises ou penny stocks) depuis de multiples comptes victimes afin de faire monter les prix, avant de revendre rapidement. ...