Défenses des e-mails assiégées : les attaques de phishing s'améliorent considérablement

Le rapport de cette semaine indique que les cyberattaquants se concentrent sur la conception d'attaques spécialisées pour contourner la sécurité par défaut de Microsoft présente une évolution alarmante des tactiques de phishing, ont déclaré des experts en sécurité cette semaine.

Les acteurs de la menace s'améliorent pour faire passer les attaques de phishing à travers les points faibles des défenses de messagerie de la plate-forme, en utilisant une variété de techniques, telles que l'obscurcissement des polices au point zéro, la dissimulation derrière les services de messagerie dans le cloud et le retardement de l'activation de la charge utile, par exemple. Ils font aussi plus de ciblage et de recherche sur les victimes.

En conséquence, près d'un e-mail de phishing sur cinq (1 %) a contourné les défenses de la plate-forme de Microsoft et a atterri dans les boîtes de réception des travailleurs en 5, un taux qui a augmenté de 18.8 % par rapport à 2022, selon une étude publiée le 74 octobre par la société de cybersécurité Check Point. Logiciel. Les attaquants ont de plus en plus utilisé des techniques pour passer les contrôles de sécurité, telles que Sender Policy Framework (SPF), et masquer les composants fonctionnels d'un e-mail, comme l'utilisation de polices de taille nulle ou le masquage des URL malveillantes de l'analyse.

Les capacités croissantes des attaquants sont dues à une meilleure compréhension des défenses actuelles, déclare Gil Friedrich, vice-président de la sécurité des e-mails chez Avanan, une société de sécurité des e-mails. acquis par Check Point en août 2021.

« C'est une famille de 10 à 20 techniques, mais elles mènent toutes à l'objectif de tromper les couches de sécurité d'une entreprise », dit-il. "Le résultat final est toujours un e-mail qui semble authentique pour le destinataire mais qui diffère de l'algorithme qui analyse le contenu."

Microsoft a refusé de commenter la recherche. Cependant, la société a averti des techniques avancées tels que hameçonnage par adversaire au milieu (AiTM), qui utilise une URL personnalisée pour placer un serveur proxy entre une victime et le site souhaité, permettant à l'attaquant de capturer des données sensibles, telles que des noms d'utilisateur et des mots de passe. En juillet, la société a averti que plus de 10,000 XNUMX organisations avaient été ciblées au cours d'une campagne AiTM.

Check Point n'est pas le seul fournisseur à avertir que les attaques de phishing s'améliorent. Dans une enquête, la société de sécurité des e-mails Proofpoint a constaté que 83 % des organisations ont subi une attaque de phishing par e-mail réussie, près de la moitié de ceux qui ont subi une telle attaque en 2020. La société de cybersécurité Trend Micro a vu le nombre d'attaques de phishing plus que doubler, augmentant de 137% au premier semestre 2022 par rapport à la même période en 2021, selon l'entreprise. Rapport semestriel sur la cybersécurité 2022.

Pendant ce temps, les services des cybercriminels, tels que le phishing-as-a-service et le malware-as-a-service, encapsulent les techniques les plus performantes dans des offres faciles à utiliser. Dans une enquête auprès de testeurs d'intrusion et d'équipes rouges, près de la moitié (49 %) ont considéré l'hameçonnage et l'ingénierie sociale être les techniques d'attaque avec le meilleur retour sur investissement.

Recherche et reconnaissance informent le hameçonnage

Les attaquants s'améliorent également en raison des efforts déployés par les cyberattaquants pour collecter des informations afin de cibler les victimes par ingénierie sociale. D'une part, ils utilisent les vastes quantités d'informations qui peuvent être récoltées en ligne, explique Jon Clay, vice-président du renseignement sur les menaces pour la société de cybersécurité Trend Micro.

« Les acteurs enquêtent sur leurs victimes à l'aide de renseignements open source pour obtenir de nombreuses informations sur leur victime [et] élaborent des e-mails de phishing très réalistes pour les amener à cliquer sur une URL, à ouvrir une pièce jointe ou simplement à faire ce que l'e-mail leur dit de faire, comme dans le cas d'attaques par compromission de courrier électronique professionnel (BEC) », déclare-t-il.

Les données suggèrent que les attaquants s'améliorent également dans l'analyse des technologies défensives et la détermination de leurs limites. Par exemple, pour contourner les systèmes qui détectent les URL malveillantes, les cybercriminels utilisent de plus en plus des sites Web dynamiques qui peuvent sembler légitimes lorsqu'un e-mail est envoyé à 2 heures du matin, par exemple, mais présenteront un site différent à 8 heures du matin, lorsque le travailleur ouvre le message. .

Améliorations de la défense

De telles techniques non seulement trompent, mais profitent des asymétries entre la défense et l'attaque. Analyser chaque URL envoyée dans un e-mail n'est pas une défense évolutive, déclare Friedrich de Check Point. L'exécution d'URL dans un bac à sable complet, l'analyse des liens à une profondeur spécifique et l'utilisation du traitement d'image pour déterminer les sites qui tentent d'imiter une marque nécessitent une grande puissance de calcul.

Au lieu de cela, les entreprises de sécurité des e-mails déploient une analyse du « temps de clic » pour résoudre le problème.

"Il existe des algorithmes ou des tests que vous ne pouvez pas exécuter sur chaque URL, car le calcul est énorme, il finit par devenir un prix interdit", dit-il. "En faisant cela au moment du clic, nous n'avons qu'à faire les tests sur les URL sur lesquelles les utilisateurs cliquent réellement, ce qui représente une fraction, donc 1% du total des liens dans les e-mails."

En outre, les défenses s'appuient de plus en plus sur l'apprentissage automatique et l'intelligence artificielle pour classer les URL et les fichiers malveillants d'une manière que les systèmes basés sur des règles ne peuvent pas, explique Clay de Trend Micro.

"La gestion des pièces jointes militarisées peut être difficile pour les contrôles de sécurité qui reposent uniquement sur les signatures et ne disposent pas de technologies avancées capables d'analyser le fichier à l'aide de ML ou d'un bac à sable, qui pourraient tous deux détecter bon nombre de ces fichiers malveillants", dit-il. .

Par ailleurs, déclarations précédentes de Microsoft ont noté qu'Office 365 inclut de nombreuses fonctionnalités de protection de la messagerie discutées par d'autres fournisseurs, notamment la protection contre l'usurpation d'identité, la visibilité sur les campagnes d'attaque et l'utilisation d'heuristiques avancées et d'apprentissage automatique pour reconnaître les attaques de phishing affectant l'ensemble d'une organisation ou d'un secteur.