Les chercheurs du Threat Labs de Netskope ont publié une nouvelle analyse sur plusieurs campagnes de phishing qui utilisent de fausses invitations à des réunions pour diverses applications de visioconférence, notamment Zoom, Microsoft Teams et Google Meet. Les pirates incitent les utilisateurs professionnels à exécuter la charge utile en prétendant qu’une mise à jour logicielle obligatoire est nécessaire pour participer à l’appel vidéo, redirigeant les victimes vers des domaines typosquattés, tels que zoom-meet.us.
Tribune Threat Labs de Netskope – La charge utile, déguisée en mise à jour logicielle, est un outil de surveillance et de gestion à distance (RMM) signé numériquement, tel que Datto RMM, LogMeIn ou ScreenConnect. Ces outils permettent aux cybercriminels d’accéder à distance aux terminaux des victimes et d’obtenir un contrôle administratif total sur ces derniers, ce qui peut conduire au vol de données ou au déploiement de malwares plus destructeurs.
Les chercheurs ont pu exposer les éléments suivants à l’issue de leurs tests :
- Les campagnes de phishing exploitent l’environnement hautement sécurisé des communications d’entreprise en imitant les pages d’accueil de Google Meet, Microsoft Teams et Zoom. Ces leurres génèrent un sentiment d’urgence chez la victime à rejoindre un appel programmé, la conduisant vers une page de phishing parfaitement reproduite.
- Les acteurs malveillants invitent les victimes à installer des mises à jour logicielles obligatoires pour participer à la vidéoconférence, ce qui conduit au téléchargement de la charge utile.
- Les attaquants déploient des agents RMM signés numériquement, notamment Datto RMM, LogMeIn et ScreenConnect, afin d’obtenir un accès administratif à distance. En exploitant des logiciels légitimes, ils contournent la nécessité d’utiliser des outils malveillants personnalisés, qui pourraient déclencher des contrôles de sécurité.
Le Threat Labs de Netskope poursuit sa surveillance de cette campagne de phishing active, qui exploite la fréquence élevée des réunions virtuelles. En utilisant de fausses invitations à des vidéoconférences, les cybercriminels exploitent la « mise à jour logicielle obligatoire » comme un puissant levier psychologique pour contraindre les utilisateurs à exécuter des charges utiles malveillantes. Cette chaîne d’événements sophistiquée conduit au déploiement d’outils légitimes de surveillance et de gestion à distance (RMM) signés numériquement. En obtenant ainsi un accès administratif, les pirates contournent les filtres de sécurité traditionnels et s’installent durablement pour mener des actions post-exploitation graves, allant de la collecte de données sensibles à la diffusion massive de ransomwares.
