Le phishing est toujours aussi redoutable, car il mêle de plus en plus souvent des compétences techniques pointues et des connaissances clés de certains ressorts psychologiques humains. Ce faisant, les attaquants les plus chevronnés arrivent assez facilement à inciter leurs cibles à ouvrir un email malveillant avant de les pousser au clic.
Chez Vaadata, nous réalisons régulièrement des campagnes de phishing dans le cadre d’audits d’ingénierie sociale. Aujourd’hui, nous vous ouvrons les coulisses de notre métier afin de vous sensibiliser aux risques de phishing.
Pour ce faire, nous vous présentons dans cet article, le principe du phishing, les éléments permettant d’identifier un email malveillant ainsi que divers scénarios d’attaques pour vous aider à mieux les appréhender. Nous terminerons par les bonnes pratiques et mesures techniques à implémenter pour contrer les attaques de phishing.
Plan détaillé de l’article :
Le phishing est une attaque qui consiste à envoyer des emails malveillants. Bien que cette définition soit assez générique, ce type d’attaque peut grandement varier en fonction des techniques utilisées, du prétexte choisi et de l’objectif final d’un attaquant.
Comme nous le verrons dans la suite de l’article, les possibilités sont légion et les risques en cas d’attaques réussies le sont tout autant.
En effet, les attaques par phishing ne se limitent pas aux emails mal rédigés, qui arrivent bien souvent directement dans nos boîtes de SPAM. Bien au contraire, le phishing a beaucoup évolué, au point de le rendre indétectable par un public non sensibilisé voire des connaisseurs.
Et puis même si certaines personnes détectent l’attaque, il n’est pas toujours simple d’alerter à temps et de la bloquer assez rapidement pour qu’aucune cible ne réalise l’action attendue par l’attaquant : communiquer un mot de passe, exécuter un malware ou un ransomware, etc. En effet, les attaquants ont comme avantage qu’ils n’ont souvent pas besoin d’avoir un taux de succès élevé pour parvenir à leurs fins.
Avant de vous présenter différents scénarios de phishing – pour lesquels les prétextes utilisés peuvent mener à différentes formes de compromission, analysons tout d’abord les différents éléments qui peuvent servir à identifier un email malveillant.
Ces éléments doivent être vérifiés par le destinataire de l’email, certains détails pouvant interpeler.
Il s’agit de la source de l’email, qui est composée de deux éléments : un nom et une adresse email.
Dans un usage normal, il peut s’agir d’un email automatique (Google <noreply@google.fr>, Microsoft <notifications@microsoft.com>), ou d’une personne (John Doe <john.doe@societe-fictive.com>).
Ce qu’il faut retenir :
Ces informations sont utiles pour déceler une forme d’usurpation d’identité, c’est-à-dire lorsqu’un émetteur tente de se faire passer pour une personne (physique ou morale) que vous connaissez, afin de rendre son email crédible.
Pour plus d’informations, vous pouvez consulter notre article dédié : Phishing : comment se protéger du spoofing d’email ?
Néanmoins, attention ! Il existe des cas pour lesquels le nom de domaine peut être véritablement usurpé. En d’autres termes, l’émetteur apparait en tout point (nom et adresse mail) comme étant légitime, alors qu’il s’agit d’une usurpation d’identité. Bien que cela soit devenu relativement rare du fait de protections de base mises en place par les services de mails, il faut garder à l’esprit que cela est possible.
Mais dans tous les cas, si le contenu d’un email demande une action sensible ou inhabituelle (cliquer sur un lien, saisir un mot de passe, télécharger une pièce jointe, etc.), il doit alerter. Peu importe l’émetteur (votre manager), si l’action est sensible, elle ne doit pas être prise à la légère. Dans ce cas, il est nécessaire de demander une confirmation de l’origine de l’email (par téléphone, chat, un autre email, etc.), et de la légitimité de l’action demandée.
Le contenu reste la partie principale de l’email, celle qui est susceptible de rendre l’échange malveillant. Généralement, il contient les éléments suivants : un contexte/une argumentation, des éléments « externes » aux emails (un lien vers un site ou une pièce jointe), et une signature.
Le phishing est une attaque de la famille de l’ingénierie sociale. Cela signifie qu’elle s’appuie sur une dimension psychologique pour piéger ses victimes. C’est pourquoi, le prétexte est l’élément central permettant d’amener la cible à réaliser l’action sensible souhaitée.
Pour ce faire, l’attaquant peut s’appuyer sur différents leviers : la notion d’urgence, afin d’empêcher la victime de prendre du recul et d’agir de manière précipitée (« il faut le faire avant la fin de journée » ; la notion anxiogène de sécurité, qui déclenche là encore des réactions à la fois rapides et non réfléchies (« Suite à la découverte d’une fuite de données en provenance de votre compte utilisateur… »).
L’argument peut reposer sur un caractère exceptionnel pour justifier l’action demandée, sans quoi celle-ci pourrait sembler à la fois inhabituelle et incongrue.
Pour plus d’informations, vous pouvez consulter notre article dédié : Analyse d’un phishing : 8 ressorts psychologiques
Les liens sont utilisés pour rediriger les utilisateurs vers un site externe. Ne faites pas confiance a priori à ce site, même s’il ressemble en tout point à une plateforme qui vous est familière : il peut s’agir d’un clone.
Comme pour l’émetteur, le nom de domaine est un bon indicateur pour connaître la véritable « identité » du site. Mais comme pour l’émetteur également, les attaquants peuvent user de stratégies pour tromper les utilisateurs (nom de domaine proche, utilisation de sous-domaines, etc.).
Les pièces jointes peuvent être tous types de fichiers. Bien que des protections empêchent la plupart des fichiers malveillants d’être envoyés par email, il existe des méthodes permettant de les contourner.
Heureusement, dans la plupart des cas, soit il ne s’agit pas de fichiers « ordinaires » (comme un fichier .txt ou .docx), soit ils demandent à l’utilisateur de réaliser une ou plusieurs actions suspectes pour pouvoir fonctionner (accepter l’ouverture malgré un message d’alerte, suivre une procédure d’ouverture inhabituelle, etc.).
D’autres éléments peuvent être présents dans l’email. Par exemple : l’objet, une signature, un historique d’emails (dans le cas d’une réponse ou d’un transfert de mail), etc.
Ces éléments ne présentent pas un risque en soi, et peuvent, au contraire, permettre d’attirer l’attention sur le caractère frauduleux d’un email. Une signature différente ? Un objet non conforme aux notifications habituelles ? De même, des éléments indirects comme les tournures de phrases, l’utilisation du tutoiement/vouvoiement, peuvent interpeller.
Ce qu’il faut retenir :
Nous avons vu jusqu’à maintenant les éléments visibles à l’utilisateur, c’est-à-dire ceux qui lui sont utiles et donc directement affichés. Il faut savoir qu’il existe d’autres éléments dans l’email reçu, bien qu’ils ne soient pas visibles directement.
Il s’agit d’éléments techniques qui peuvent être utilisés notamment pour identifier l’origine de l’email (le serveur, le pays, etc.). En cas de suspicion d’un email frauduleux, il peut donc être pertinent de le transférer à l’équipe technique afin qu’ils puissent analyser ces différents éléments.
En partant de deux exemples d’attaques par phishing, nous allons à présent mettre en pratique l’analyse des différents éléments de l’email afin d’identifier les indices de malveillance.
Pour détailler la mise en place des scénarios, nous allons nous placer du point de vue de l’attaquant. Cela nous permettra de présenter les différentes étapes de création de l’attaque, et notamment les méthodes de collecte d’informations permettant de construire un email de phishing crédible et pertinent.
Ce premier exemple est tout simplement une simulation d’attaque par phishing. Cet exercice – appelé « audit d’ingénierie sociale » – permet de mettre à l’épreuve les collaborateurs d’une entreprise dans différentes situations.
Pour notre exemple, nous allons considérer l’attaquant en condition boite noire. Cela signifie qu’aucun élément (information interne, accès à une plateforme, liste des collaborateurs, adresses email, etc.) n’est fourni à l’auditeur. Cette condition est la plus proche d’une attaque externe réelle.
Dans le cadre d’audits d’ingénierie sociale, il peut également être pertinent de réaliser les attaques dans des conditions appelées « boite grise » ou « boite blanche ». Dans ces cas de figure, l’entreprise auditée fournit tout ou partie des informations qui peuvent être utilisées pour les scénarios. Par exemple, fournir la liste exhaustive des collaborateurs ainsi que leurs adresses email permet de s’assurer que l’intégralité des effectifs a bien été testée. Un autre exemple pourrait être la désactivation du filtre anti-spam, afin de bien cibler le test sur les comportements humains, et non sur les équipements techniques.
Comme aucune information n’est connue à l’avance, l’attaquant doit donc lui-même collecter des données utiles à un scénario de phishing : c’est ce que l’on appelle « phase de reconnaissance ».
Elle doit permettre à minima d’obtenir :
Pour notre exemple, disons que notre cible est la société fictive appelée « société fictive », et que son site vitrine se trouve être « www.societe-fictive.fr ».
Le premier point – la création d’une liste de cibles – peut être réalisé de la manière suivante : d’abord, trouver au moins une adresse email de la société grâce aux moteurs de recherches ou à des sites spécialisés (par exemple : https://hunter.io/search), puis extrapoler cette adresse email aux autres personnes identifiables, via LinkedIn notamment.
Dans notre exemple, on pourrait par exemple obtenir la chose suivante :
Pour le second point – identifier un axe d’attaque – différentes méthodes existent afin de cartographier les différents éléments mis en place ou utilisés par l’entreprise.
Pour éviter les détails techniques, admettons ici que l’attaquant a pu découvrir le sous-domaine « webmail.societe-fictive.fr », une page d’authentification au service Outlook de Microsoft.
Le webmail est un point d’entrée important pour un attaquant, car obtenir un accès permet de consulter des informations sensibles (emails internes), et, bien souvent, de pouvoir obtenir des accès à une multitude de plateformes (en utilisant les fonctionnalités de « mot de passe oublié »).
L’objectif de l’attaque pourrait donc être celui-ci : obtenir les mots de passe des collaborateurs afin d’accéder à leurs boites email.
Maintenant que nous possédons une liste de cibles et un axe d’attaque, il nous faut développer un scénario crédible permettant de dérober les identifiants des utilisateurs.
Le contexte que nous avons imaginé est le suivant : le responsable technique de l’entreprise envoie un mail à l’ensemble des collaborateurs, leur indiquant que les comptes Microsoft ont été mis à jour et que cela demande à chacun de se reconnecter. L’email contient un lien vers le webmail en question.
Du point de vue de l’attaquant, cela demande donc :
Voyons le résultat :
Plutôt convaincant, non ? Avec un peu de vigilance, les cibles peuvent cependant déceler le caractère malveillant de l’email.
Analysons les différents éléments qui peuvent permettre de détecter l’attaque :
En effet, afin d’usurper l’identité du responsable informatique, l’attaquant a acheté un nom de domaine proche de l’original.
Sachez que, dans ce type de scénario, le fait d’avoir cliqué sur le lien n’occasionne pas forcément d’impact (bien qu’il soit recommandé de ne pas le faire). Il n’est donc pas trop tard, lorsque la page se sera ouverte, de renoncer à saisir son mot de passe.
Cela peut d’ailleurs être un bon déclencheur : lorsque vous cliquez sur un lien, que vous pensez faire référence à une plateforme habituelle, et qu’à la suite de ce clic, il soit nécessaire de saisir vos identifiants de connexion, alors vous devez douter de l’identité du site.
Vous pouvez vérifier (attentivement) l’URL dans votre navigateur. Mieux, il est conseillé d’ouvrir cette page par vos propres moyens (via une recherche Google ou à partir de vos favoris par exemple) plutôt que de cliquer sur le lien.
Maintenant que nous avons vu comment un attaquant pouvait récupérer des identifiants sensibles avec un simple email et un prétexte bien senti, nous allons analyser un autre exemple, tiré de l’actualité cette fois-ci, où l’objectif de l’attaquant est de faire télécharger un malware aux victimes de l’attaque.
Nous sommes au début du mois de mars 2020 aux États-Unis, des milliers de personnes – travaillant principalement dans le domaine de la santé – reçoivent un email semblant provenir de « Mobility Research Inc. » et leur demandant de télécharger une application pour contribuer à la lutte contre le Coronavirus.
La société « Mobility Research Inc. » existe bel et bien mais pour rendre la chose encore plus crédible, l’email mentionne le projet « Folding@home » qui propose, en temps normal, un logiciel de calcul que les participants au projet peuvent installer afin d’effectuer des calculs scientifiques et contribuer ainsi à la recherche de vaccins potentiels.
Jusque-là rien de très suspect me direz-vous, d’autant plus que « Folding@home » gagne en visibilité et en popularité en ce début pandémie, et c’est bien normal !
Oui mais voilà ! Il s’agit en réalité d’une campagne de phishing visant à distribuer en masse, non pas le logiciel de calcul scientifique, mais bien un malware, du nom de « RedLine Stealer ».
Pour information, un « stealer » (ou « infostealer ») est un type de malware dont la fonction principale est l’exfiltration de données à partir des machines infectées.
En particulier, les identifiants de connexion de sites web en tout genre sont les cibles privilégiées de ce type de malware. Dans l’idée, votre navigateur préféré (Chrome ou Firefox) vous a peut-être déjà demandé si vous vouliez « enregistrer ce mot de passe » pour le réutiliser plus tard ? Ce que vous avez peut-être même l’habitude d’accepter ? Sachez que dans ce cas, vos mots de passe sont alors stockés dans les fichiers de cache de votre navigateur.
Et vous l’avez deviné, ce sont ces mêmes fichiers qui seront visés par « RedLine Stealer » si vous avez le malheur de le télécharger, vos identifiants se retrouvant ensuite en vente sur des places de marché (sur le dark web notamment).
Pour la petite histoire, il nous arrive fréquemment de récupérer des mots de passe en clair (donc directement réutilisable et souvent encore valides) à partir de fuite de données attribuables à « RedLine Stealer » lors de nos audits. La menace est donc bien réelle !
Après ce bref aparté, revenons à notre scénario de phishing. Voici à quoi ressemblait les emails reçus durant la campagne de mars 2020 :
Encore une fois, plutôt convaincant ! Prenons néanmoins deux minutes pour activer notre « radar anti-phishing » et passer en revue les indices mentionnés précédemment :
Pour résumer, ce scénario est très crédible et repose, entre autres, sur le fait que la plupart des destinataires ne connaissent pas ou mal la manière dont « Folding@home » distribue son application, les inciter à télécharger un fichier malveillant depuis un service tiers (et tout à fait légitime qui plus est).
Cependant, comme pour un lien malveillant usurpant une plateforme connue, il est préférable de ne pas suivre le lien de téléchargement contenu dans l’email mais de télécharger l’application directement de la source – c’est-à-dire sur le site de « Folding@home » directement.
Comme nous avons pu le voir, le phishing s’appuie à la fois sur des éléments techniques et des comportements humains. De la même manière, les moyens de défense s’organisent également autour de ces deux volets : technique et humain.
Les protections techniques peuvent intervenir à plusieurs niveaux : en amont de l’attaque en empêchant que les collaborateurs ne puissent être confrontés aux emails de phishing ; au cœur de l’attaque, en empêchant les victimes de réaliser l’action sollicitée par l’attaquant ; et enfin en aval, de manière à minimiser l’impact dans le cas où un collaborateur aurait été piégé.
Voyons les principaux éléments qui peuvent être déployés :
Enfin, à mi-chemin entre le volet technique et organisationnel, il faudra veiller à ce que les utilisateurs ne puissent pas réaliser une action qui dépasse le cadre de ses droits et de ce qui est attendu de lui.
Prenons deux exemples :
L’autre volet de la défense contre le phishing – l’humain – s’articule non seulement autour de la sensibilisation individualisée, mais également autour du développement d’une culture d’entreprise adéquate.
D’un côté, les collaborateurs doivent être sensibilisés au phishing – et aux attaques d’ingénieries sociales plus largement – et à leurs risques.
Cette sensibilisation doit être en mesure de :
À cela s’ajoute une forte composante organisationnelle et managériale, de manière à créer un environnement propice à la vigilance, à la transparence et à une bonne réactivité. Ce point est très important, car une part conséquente de l’impact d’une telle attaque est provoquée par l’absence de communication de la part des victimes.
Les victimes ont des raisons légitimes à leur inaction : la honte de ne pas avoir détecté si l’attaque, la peur des conséquences, etc. Elles peuvent donc décider de ne rien dire, ce qui évidemment a des conséquences bien plus graves pour l’entreprise : un mot de passe dérobé reste actif, une machine est compromise sur le réseau, etc.
Afin d’éviter cela et maximiser la collaboration de chacun, nous recommandons de sensibiliser les collaborateurs et les managers au points suivants :
Auteurs : Cédric CALLY–CABALLERO & Benjamin BOUILHAC – Pentesters @Vaadata
