https://cyberveille.ch/tags/trust-proxy/ Recent content in Trust Proxy on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-campagne-de-phishing-mondiale-exploitant-l-infrastructure-google-comme-proxy-de-confiance/ Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-campagne-de-phishing-mondiale-exploitant-l-infrastructure-google-comme-proxy-de-confiance/ <h2 id="-contexte">🔍 Contexte</h2> <p>Analyse publiée le 4 septembre 2026 par le KnowBe4 Threat Lab (analystes Prabhakaran Ravichandhiran et Jeewan Singh Jalal). Il s&rsquo;agit d&rsquo;une campagne de phishing active à grande échelle, ciblant des organisations dans les secteurs manufacturier, gouvernemental, financier et associatif à l&rsquo;échelle mondiale.</p> <h2 id="-mécanisme-dattaque">⚙️ Mécanisme d&rsquo;attaque</h2> <p>La campagne repose sur une <strong>chaîne de redirections multi-sauts</strong> exploitant exclusivement des services Google légitimes avant d&rsquo;atteindre l&rsquo;infrastructure attaquante :</p> <ul> <li><code>meet.google.com/linkredirect</code> (open redirect via paramètre <code>dest=</code>)</li> <li><code>www.google.com/url?q=</code> (open redirect Google Search)</li> <li><code>adservice.google.com.ph/ddm/clk/</code> (DoubleClick Marketing Manager, ccTLD Philippines)</li> <li><code>cse.google.com/url</code> (Custom Search Engine open redirect)</li> <li><code>images.google.com.bd</code> / <code>images.google.dj</code> (variantes ccTLD Google Image Search)</li> <li><code>googletagmanager.com/debug/clearcookies?url=</code> (endpoint debug GTM)</li> <li><code>analytics.google.com</code> avec paramètre <code>dl=</code> (endpoint Analytics détourné)</li> </ul> <p>L&rsquo;adresse email de la victime est <strong>encodée en base64 dans le fragment URL</strong> (<code>#</code>), invisible aux logs serveur et aux scanners d&rsquo;URL.</p>