Comprendre l’hameçonnage par invitation au calendrier : comment les pirates exploitent les fichiers .ics et comment vous protéger

Les chercheurs de Barracuda expliquent ce que vous devez savoir sur ce vecteur d'attaque en pleine expansion

Ce qu’il faut retenir

• Les pirates utilisent de plus en plus les invitations au calendrier et les fichiers .ics de confiance pour contourner les défenses traditionnelles contre l’hameçonnage par email.
• Les événements de calendrier malveillants peuvent contenir des liens d’hameçonnage, des codes QR et de fausses demandes professionnelles qui mènent les victimes vers des sites de collecte d’identifiants.
• Pour renforcer la sécurité des emails, les organisations doivent inspecter les fichiers .ics, surveiller l’activité des identités et sensibiliser les utilisateurs au fait que les invitations au calendrier peuvent dissimuler des attaques par hameçonnage.

La plupart des gens pensent que l’hameçonnage se résume à un email malveillant contenant un lien ou une pièce jointe suspecte. Mais de plus en plus, les pirates ne s’arrêtent pas à la boîte de réception et utilisent abusivement des outils professionnels de confiance, notamment les calendriers et les invitations aux réunions.

Pourquoi les pirates utilisent-ils les invitations au calendrier ?

L’hameçonnage moderne par le biais du calendrier est efficace parce que les employés utilisent de plus en plus les calendriers pour les échéances, les rappels, les exigences en matière de formation, les activités de conformité et les annonces de l’organisation. Dans ce contexte, une invitation au calendrier hors réunion paraît tout à fait normale.

Les fichiers d’invitation de calendrier offrent plusieurs avantages aux pirates :

• Les organisations font confiance aux invitations au calendrier.
• Les employés ont l'habitude d'envoyer et de recevoir des demandes de réunion, des notifications de calendrier et des rappels tous les jours.
• Par le passé, les outils de sécurité se sont davantage concentrés sur le corps des emails et les pièces jointes que sur le contenu des calendriers.
• Les invitations au calendrier sont souvent ajoutées automatiquement au calendrier de l’utilisateur avec peu ou pas d’interaction de la part du destinataire, et persistent souvent même si l’email d’origine est supprimé ou mis en quarantaine.
• Les appareils mobiles gèrent fréquemment des notifications de calendrier, ce qui réduit la visibilité de certains contrôles de sécurité axés sur les ordinateurs de bureau.

Fonctionnement des attaques par hameçonnage de calendrier

Les processus métier légitimes, notamment dans les domaines des RH, de la finance, de l’informatique et de la sécurité, utilisent des entrées de calendrier pour des tâches hors réunion : dates limites d’acceptation des politiques, révisions du guide de l’employé, périodes d’inscription à des avantages sociaux, rappels de formation à la conformité, etc.

Une campagne typique commence par un simple email contenant une invitation au calendrier (un fichier .ics). Il est possible que l’email lui-même contienne peu d’informations hormis une ligne d’objet faisant référence à un processus métier habituel tel que :

• Mises à jour des politiques RH
• Révisions du guide de l’employé
• Inscription à des avantages sociaux
• Notifications de conformité
• Actions administratives ou liées à la paie

Lorsque le destinataire ouvre l’invitation, l’application de calendrier affiche du contenu intégré à l’événement lui-même. Ce contenu peut inclure l’image de marque de l’organisation, des instructions, des images ou des codes QR d’apparence légitime, mais qui renvoient généralement la victime vers une fausse page de connexion contrôlée par les pirates. Ce processus est souvent géré par le biais d’une plateforme d’hameçonnage de type Adversary-in-the-Middle (AiTM).

Si l’utilisateur saisit ses identifiants et effectue l’authentification multifacteur (MFA), les pirates peuvent capturer le nom d’utilisateur, le mot de passe et les données de session d’authentification, et les utiliser pour accéder au compte.

Pourquoi les fichiers de calendrier sont des conteneurs d’hameçonnage efficaces

Le format iCalendar (.ics) a été conçu pour permettre le transfert d’informations de planification entre Outlook, Google Calendar, Apple Calendar et d’autres plateformes. Pour prendre en charge cette interopérabilité, les fichiers de calendrier contiennent un large éventail d’informations, notamment :

• Titres d'événements
• Descriptions
• Détails de l'organisateur
• Localisations
• Pièces jointes
• URLs
• Champs de métadonnées personnalisés

Ces fonctionnalités sont utiles à des fins de planification légitimes, mais elles offrent également de nombreuses possibilités d’utilisation abusive.

Les pirates peuvent placer du contenu d’hameçonnage dans les descriptions d’événements, intégrer des liens dans les champs de localisation, inclure des pièces jointes malveillantes ou utiliser du contenu au format HTML pour créer des communications d’aspect interne très convaincantes. Comme ce contenu réside dans les métadonnées du calendrier plutôt que dans le corps de l’email, certains contrôles de sécurité peuvent ne pas l’inspecter de manière aussi approfondie.

L’utilisation des codes QR aide également les pirates à contourner la détection traditionnelle axée sur les liens.

Au lieu de présenter une URL visible, la destination est intégrée dans une image. Les outils de sécurité ne décodent pas toujours automatiquement le contenu des codes QR, les utilisateurs ne peuvent pas facilement inspecter la destination avant de s’y rendre, les appareils mobiles accèdent souvent à des liens en dehors des environnements de bureau surveillés et les chaînes de redirection peuvent dissimuler la destination finale de l’hameçonnage.

Ce « pivot mobile » est particulièrement précieux pour les pirates, car il éloigne l’activité du poste de travail dans l’organisation et des contrôles de sécurité associés.

Ce que les équipes de sécurité doivent rechercher

Pour qu’une solution de sécurité des emails soit efficace, elle doit offrir une visibilité sur l’ensemble de la chaîne d’attaque, pas seulement sur le point de livraison de l’email.

Les indicateurs utiles sont les suivants :

• Indicateurs d’email, tels qu’un contenu d’email minimal, des expéditeurs externes, des pièces jointes .ics inattendues, une urgence RH ou informatique et une nouvelle infrastructure d’envoi.
• Indicateurs d’agenda, tels que du contenu HTML enrichi dans les invitations, des images ou des codes QR intégrés, des liens masqués dans les champs d’événement, des incohérences de l’organisateur et une utilisation excessive de champs X- personnalisés.
• Indicateurs d’identité, tels que des connexions à partir d’appareils non familiers, une activité MFA inattendue, des événements d’authentification risqués, la création d’une session peu de temps après la livraison d’une invitation, une activité de consentement OAuth et des indicateurs de réutilisation de jetons.
• Indicateurs de persistance, tels que l’emplacement où le fichier de calendrier demeure après la suppression de l’email d’origine, sa mise en quarantaine ou son déplacement vers le dossier de courrier indésirable.

Comment les organisations peuvent se protéger

Traitez les invitations au calendrier comme du contenu actif et inspectez les fichiers .ics avec le même niveau d’attention que pour des pièces jointes traditionnelles.

Cette démarche doit inclure l’analyse des champs de métadonnées de calendrier, l’analyse des liens intégrés et des pièces jointes, l’inspection du contenu rendu en HTML, ainsi que le décodage des codes QR et l’analyse des URL résultantes.

Si un fichier .ics malveillant est détecté, il est important de s’assurer que la réponse aux incidents supprime à la fois le message de livraison et l’entrée de calendrier associée dans les boîtes email affectées.

Renforcez la sécurité des identités. Parmi les mesures recommandées, citons la mise en œuvre d’une MFA résistante à l’hameçonnage telle que FIDO2 ou WebAuthn, l’introduction de stratégies d’accès conditionnel, la surveillance des sessions et les capacités de révocation rapide, ainsi que les mesures visant à détecter les comportements de connexion suspects et l’utilisation abusive des jetons.

Améliorez la sensibilisation des utilisateurs. Les utilisateurs doivent comprendre que les invitations au calendrier peuvent être malveillantes, qu’ils doivent se méfier des codes QR dans les événements de calendrier et vérifier toute notification inattendue concernant les RH, la paie ou les politiques. Les utilisateurs doivent être particulièrement vigilants lorsque du contenu ne concernant pas une réunion, tel que des documents de politique, est partagé sous la forme d’un fichier .ics.

Conclusion

Les invitations au calendrier ne sont plus seulement des outils de planification. Les pirates les utilisent de manière croissante comme des vecteurs d’hameçonnage parce qu’elles bénéficient de la confiance des utilisateurs, peuvent échapper à la détection traditionnelle axée sur les emails, et persistent souvent bien après la disparition du message d’origine.