Les cybercriminels utilisent des blob-URL pour générer des pages de phishing directement dans le navigateur et ainsi éviter la détection.
Un nouveau rapport de Barracuda révèle que des pirates utilisent une méthode de phishing où les pages ne sont plus hébergées sur des serveurs web traditionnels. Au lieu de cela, les attaquants exploitent des blob-URL : des adresses temporaires que le navigateur crée lui-même et stocke localement. Par conséquent, le contenu de phishing n’existe que pendant la session de navigation de la victime, empêchant les outils de sécurité d’analyser ou de bloquer une URL permanente.
Une caractéristique majeure de cette attaque est le détournement de services Microsoft légitimes. Les victimes sont redirigées via des plateformes de confiance telles que login.microsoftonline.com et Microsoft Teams, ce qui rend l’attaque crédible et réduit la méfiance des utilisateurs. Cela compromet l’efficacité des signaux d’alerte au phishing habituels.
Techniques d’attaque dans le navigateur
L’attaque de phishing se déroule en grande partie au sein du navigateur. Dès que la blob-URL est chargée, un service worker est enregistré. Ce composant du navigateur gère les requêtes réseau et le comportement de la page, permettant aux attaquants de garder le contrôle sans site de phishing réel. Une partie de l’attaque passe par une sandboxed iframe, une fenêtre isolée dans le navigateur qui offre une protection supplémentaire contre la détection.
Le flux de travail de l’attaque est par ailleurs dynamique. Des instructions provenant de l’infrastructure de l’attaquant peuvent modifier le comportement et la destination en temps réel. Ainsi, les systèmes de sécurité ne peuvent pas se fier à des redirections connues ou à des schémas fixes, et l’attaque échappe aux méthodes de détection traditionnelles.
Les attaquants renforcent la crédibilité de leurs e-mails en ajoutant une invitation d’agenda en pièce jointe. Bien que cette pièce jointe ne soit pas malveillante, elle donne à la communication un aspect normal et professionnel, ce qui augmente le risque de réussite du phishing.
Mesures
Barracuda conseille aux organisations de ne plus se concentrer sur le blocage d’URL de phishing connues, mais sur la reconnaissance de comportements malveillants. Il est crucial de surveiller les processus OAuth et les chaînes de redirection pour détecter des destinations inhabituelles. De plus, il est recommandé d’analyser l’activité du navigateur liée aux blob-URL, en particulier lorsqu’elles sont utilisées pour l’authentification.