Les pirates ont détourné un serveur de messagerie d’Oxford pour livrer des e-mails malveillants dans le cadre d’une campagne de phishing conçue pour collecter les informations d’identification Microsoft Office 365 auprès de cibles européennes, asiatiques et du Moyen-Orient.

Les attaquants ont également utilisé un domaine hébergé sur un serveur Adobe et utilisé par Samsung lors de l’événement Cyber ​​Monday de 2018.

En tirant parti des marques réputées d’Oxford University, d’Adobe et de Samsung au sein de la même campagne, les attaques des acteurs de la menace avaient tout ce qu’il fallait pour contourner les filtres de messagerie de sécurité de leurs victimes et inciter les victimes elles-mêmes à remettre leurs informations d’identification Office 365.

« L’utilisation de serveurs SMTP d’Oxford légitimes a permis aux attaquants de passer le test de réputation du domaine de l’expéditeur », expliquent les chercheurs de Check Point qui ont découvert la campagne.

« En outre, il n’était pas nécessaire de compromettre les comptes de messagerie réels pour envoyer des e-mails de phishing, car ils pouvaient générer autant d’adresses e-mail qu’ils le souhaitaient. »

Phishing déguisé en messagerie vocale Office 365

La campagne a été repérée par des chercheurs de Check Point au début d’avril 2020 après avoir observé une série d’e-mails suspects se faisant passer pour des notifications de messages vocaux Office 365 manqués.

Pour renforcer l’illusion d’un e-mail légitime, les messages de phishing étaient également ornés d’une notification « Message du serveur de confiance » au-dessus du contenu.

Ces e-mails affirmaient qu’un message vocal entrant attendait dans le portail vocal des cibles, leur demandant de cliquer sur un bouton qui les aurait amenés à la page de leur compte Office 365 où ils pourraient écouter ou télécharger le message manqué.

Une fois que les victimes potentielles ont cliqué sur le bouton Écouter / Télécharger intégré au message de phishing, elles ont été redirigées vers une page de destination de phishing déguisée en page de connexion Office 365.

Redirection utilisée pour filtrer les victimes

« Dans les coulisses, cette redirection consiste …