De fausses invitations de calendrier inondent les boîtes de réception professionnelles dans le cadre d’une campagne de phishing ciblant les identifiants Microsoft 365. Des chercheurs en sécurité ont identifié plus de 302 386 e-mails malveillants uniques envoyés à plus de 40 000 organisations, les attaques s’intensifiant tout au long du mois d’octobre.
Ces messages déguisent des liens destinés à voler des identifiants en invitations de réunion ordinaires, notamment des demandes Microsoft Teams. Certains arrivent avec des pièces jointes de calendrier au format légitime capables d’ajouter des événements suspects directement à l’agenda d’un utilisateur, ce qui peut maintenir le leurre de phishing visible même après la disparition de l’e-mail d’origine.
Selon les conclusions de Check Point du 15 oct., l’activité s’est fortement accélérée à partir du 25 sept. Les chercheurs ont observé plus de 118 000 e-mails de phishing via des calendriers en septembre et plus de 740 000 au cours des deux premières semaines d’octobre seulement.
Le 8 oct. a été la journée la plus chargée jamais enregistrée, avec près de 200 000 messages. Le système de détection de Check Point a par ailleurs signalé 302 386 e-mails de phishing uniques chez ses clients, provenant de plus de 33 890 domaines d’expédition et de 247 270 adresses d’expédition.
Ces chiffres décrivent l’activité de phishing observée, et non des compromissions de comptes confirmées. Ils correspondent également à des mesures différentes : le nombre de 302 386 représente les e-mails uniques identifiés par la couche de détection de Check Point, tandis que le total d’octobre reflète le volume global de messages.
Comment les fausses invitations de calendrier dérobent les identifiants Microsoft 365
La campagne s’appuie sur des habitudes professionnelles familières. Les employés acceptent régulièrement des invitations à des réunions, suivent des liens de visioconférence et ouvrent des rappels de calendrier sans les considérer comme suspects.
Les attaquants exploitent cette routine au moyen de deux méthodes identifiées par Check Point :
- Pièces jointes ICS malveillantes : L’e-mail contient un fichier de calendrier valide avec une invitation qui dirige le destinataire vers une destination de phishing.
- Liens de réunion déguisés : Un message ressemblant à une invitation Microsoft Teams présente un lien de réunion qui mène en réalité à une page destinée à récupérer des identifiants.
Aucune de ces méthodes n’exige l’exploitation d’une vulnérabilité logicielle de Microsoft 365. L’attaquant utilise les fonctionnalités ordinaires du calendrier pour convaincre quelqu’un de suivre un lien malveillant.
Le grand nombre d’adresses et de domaines d’expédition rend également les listes de blocage simples moins fiables. Bloquer une adresse peut avoir peu d’effet lorsque les invitations suivantes arrivent depuis une infrastructure différente.
L’utilisation abusive des calendriers peut créer un autre problème après la livraison. les chercheurs de Netcraft ont constaté que certains clients de messagerie ajoutent automatiquement les invitations aux calendriers, parfois sans que le destinataire ouvre le message d’origine.
Selon le client et sa configuration, un événement malveillant peut rester visible après la suppression de l’e-mail associé. Un utilisateur peut rencontrer le lien ultérieurement via une notification ou un rappel de calendrier.
D’autres campagnes sont allées encore plus loin.
Netcraft a documenté des attaques EvilTokens qui utilisent des invitations à des réunions pour inciter les victimes à procéder à une autorisation par code d’appareil Microsoft. Au lieu de saisir un mot de passe sur une fausse page de connexion, les victimes peuvent être trompées et autoriser un appareil contrôlé par l’attaquant.
Cette technique est également apparue dans certaines opérations distinctes de phishing Microsoft 365 par code d’appareil qui détournent des processus d’authentification légitimes.
Mimecast a documenté une autre variante impliquant des pièces jointes de calendrier malformées et des codes QR. Ces techniques sont distinctes de la campagne observée par Check Point et ne doivent pas être attribuées aux mêmes attaquants sans éléments probants.
Pourquoi la suppression des e-mails de phishing ne suffit pas toujours à éliminer la menace
La réponse traditionnelle au phishing consiste souvent à identifier les e-mails malveillants, à les supprimer des boîtes aux lettres et à bloquer leurs expéditeurs.
Les invitations de calendrier introduisent un autre emplacement où le leurre peut rester présent.
Un événement qui subsiste après la suppression de l’e-mail peut toujours contenir sa description de réunion d’origine, une URL suspecte ou un rappel programmé. Un employé pourrait cliquer sur le lien plusieurs jours après que l’équipe de sécurité estime l’incident contenu.
Cela crée deux tâches de remédiation distinctes : supprimer le message malveillant et vérifier si une entrée de calendrier correspondante existe.
Les équipes de sécurité qui enquêtent sur des comptes Microsoft 365 affectés doivent examiner les calendriers concernés, notamment les événements générés par des invitations externes suspectes. Elles doivent également vérifier si des utilisateurs ont suivi des liens intégrés ou approuvé des demandes d’authentification inattendues.
Les risques diffèrent selon l’attaque. Une fausse page de connexion peut exposer les identifiants d’un utilisateur, tandis qu’une tentative de phishing par code d’appareil peut accorder un accès non autorisé au moyen d’un jeton d’authentification.
Les recherches sur le kit de phishing ARToken montrent comment les attaquants peuvent utiliser les processus d’authentification Microsoft pour conserver l’accès à un compte. Ces recherches portent sur une opération de menace distincte, et non sur un composant confirmé de la campagne de calendriers de Check Point.
Comment les équipes de sécurité peuvent stopper le phishing via les invitations de calendrier
Les défenseurs ont besoin de contrôles qui examinent à la fois les invitations entrantes et les actions entreprises ensuite par les utilisateurs.
Le KnowBe4 Threat Lab a fait état d’une hausse de 49 % du phishing via les invitations de calendrier au cours de la période de six mois couverte par son étude. Son étude recommande d’inspecter le contenu ICS, d’évaluer les liens suspects et d’examiner le traitement automatique des invitations.
Pour les administrateurs Microsoft 365, les mesures pratiques comprennent :
- Inspecter les pièces jointes ICS : Vérifier que les fichiers de calendrier ne contiennent pas d’URL suspectes, de détails inhabituels sur les événements ou de destinations externes.
- Examiner les paramètres du calendrier : Déterminer si les invitations externes sont automatiquement ajoutées aux calendriers des employés et restreindre ce comportement si nécessaire.
- Renforcer la protection des liens : Évaluer les destinations suspectes lorsque les utilisateurs cliquent dessus, et pas uniquement à l’arrivée des messages.
- Surveiller les activités d’authentification : Examiner les connexions inattendues, les demandes suspectes de code d’appareil et les autorisations d’application non autorisées.
- Élargir la réponse aux incidents : Supprimer les événements de calendrier malveillants en plus des e-mails de phishing, puis vérifier si les comptes concernés ont été consultés.
- Former les employés : Encourager les utilisateurs à vérifier les demandes de réunion inattendues par un canal de communication établi avant de suivre leurs liens.
Si des identifiants ont été saisis sur une page de phishing, les intervenants doivent évaluer l’activité du compte, réinitialiser les identifiants compromis, révoquer les sessions suspectes et enquêter sur les modifications non autorisées. Lorsqu’un attaquant a obtenu l’autorisation d’une application, les administrateurs peuvent également devoir révoquer les autorisations concernées.
Le phishing via les calendriers Microsoft 365 ne se limite ni à un seul attaquant ni à une seule méthode de diffusion. Les conclusions actuelles de Check Point établissent l’ampleur du ciblage, mais ne démontrent pas que 40 000 organisations ont été compromises.
Pour les organisations concernées, la réponse immédiate doit couvrir les deux emplacements par lesquels l’attaque peut atteindre les employés : le message d’origine et tout événement de calendrier qu’il a créé.
À lire aussi : Microsoft a récemment démantelé un réseau de phishing distinct lié à plus d’un milliard de messages malveillants, ce qui illustre l’ampleur de l’infrastructure dont disposent les voleurs d’identifiants.