Threat Spotlight : la hausse des emails phishing exploitant Adobe InDesign

Les chercheurs en sécurité de Barracuda alertent sur une récente recrudescence des attaques par hameçonnage utilisant Adobe InDesign, un système de publication de documents connu et fiable. Certaines attaques sont ciblées.

Selon les données télémétriques de Barracuda, le nombre d'emails contenant des liens vers Adobe InDesign a été multiplié par près de 30 depuis le mois d'octobre. Le nombre quotidien est passé de 75 à 2 000. Près d'un email sur dix (9 %) contient des liens d'hameçonnage actifs, et environ 20 % supplémentaires renferment un contenu supprimé.

De nombreux liens de hameçonnage repérés par les chercheurs de Barracuda ont le domaine de premier niveau « .ru » et sont hébergés derrière un réseau de diffusion de contenu (RDC) qui agit comme un proxy pour le site source. Cela permet de dissimuler la source du contenu et complique la détection et le blocage des attaques par les technologies de sécurité.

Des attaques avancées ou très sommaires

Certaines des attaques exploitant Adobe InDesign semblent viser des organisations ou des utilisateurs bien précis. Ces emails contiennent des logos de marques légitimes probablement copiés à partir d'autres contenus ou récupérés sur des sites web par les pirates. Les logos sont généralement choisis parce qu'ils sont connus des cibles et qu'elles leur font confiance, ce qui suggère que les pirates ont consacré du temps et des ressources à la création de ces messages.

Les autres attaques sont essentiellement des messages génériques distribués en masse et comportant les logos de OneDrive, SharePoint et Adobe. 

Certains contiennent un texte très simple, rédigé de façon sommaire.

Toutes les attaques adoptent une approche relativement simple et cohérente, invitant le destinataire à cliquer sur un lien qui le redirige vers un autre site, hébergé dans le sous-domaine indd.adobe[.]com mais contrôlé en réalité par les pirates, pour qu'ils puissent réaliser l'étape suivante de l'attaque.

Les raisons de la réussite de ces attaques

Les attaques par hameçonnage continuent d'évoluer et deviennent de plus en plus sophistiquées, déployant différentes techniques et tactiques pour contourner la détection de sécurité et piéger les victimes.

Les attaques exploitant Adobe InDesign ont recours à diverses tactiques pour échapper à la détection et tromper leurs cibles.

• Tout d'abord, elles exploitent un domaine connu et fiable qui n'est généralement pas sur liste de blocage.
• Ensuite, elles peuvent élaborer des attaques de social engineering très convaincantes à l'aide d'un programme de publication.
• Troisièmement, une fois que le destinataire clique sur le lien, il est redirigé vers une autre page web. Ainsi, il n'y a aucun lien URL malicieux connu dans le corps du message que les outils de sécurité traditionnels pourraient détecter et bloquer.
• Enfin, pour les attaques hébergées derrière le réseau de diffusion de contenu, cela contribue à masquer la source malicieux du contenu et entrave davantage la détection et le blocage par les technologies de sécurité.

Comment se protéger

Pour assurer votre protection, il est important de déployer une sécurité des emails sophistiquée, multicouches et alimentée par l'IA, capable de repérer les menaces émergentes ainsi que les menaces connues. 

Celle-ci doit s'accompagner d'une formation régulière des employés à la cybersécurité. Elle doit être mise à jour chaque fois que de nouvelles menaces surgissent, afin que les employés sachent à quoi s'attendre et les mesures à prendre s'ils repèrent un email suspect ou malicieux.

Les données de détection de Barracuda indiquent que certaines attaques par hameçonnage utilisant Adobe InDesign visaient plusieurs employés au sein d'une même organisation. Le signalement et la réponse rapides à de telles attaques peuvent les stopper net.

Barracuda LinkProtect

Barracuda Email Protection propose une fonctionnalité de protection des liens pour empêcher les utilisateurs de cliquer sur une URL malicieuse.

LinkProtect enveloppe chaque lien dans un email qui traverse sa passerelle, et il procède à une analyse chaque fois que l'on clique sur une URL pour déterminer s'il s'agit d'un lien légitime ou malveillant. En outre, la capacité de LinkProtect à agir comme une couche de protection entre l'email et le destinataire est essentielle car elle constitue la dernière ligne de défense en cas de menace nouvelle ou inconnue.