Semaine 11 : Des escrocs tentent de tromper les entreprises ainsi que l’OFCS
De plus en plus d’entreprises contactent l’OFCS après avoir reçu par e-mail des factures suspectes. Les messages contiennent généralement une pièce jointe au format ZIP, qui renferme elle-même un fichier HTML. À première vue, la facture affichée dans ce fichier paraît anodine : Aucun lien, rien de suspect, aucun indice de logiciel malveillant. Mais cette impression est trompeuse. La rétrospective hebdomadaire actuelle montre de manière frappante combien d’efforts les escrocs déploient pour dissimuler leurs attaques et inspirer confiance.
Ces dernières semaines, de nombreuses entreprises ont reçu des factures inhabituelles qui ne peuvent pas être clairement associées à une commande ou à une prestation. Les e-mails concernés mentionnent généralement un prétendu numéro de facture et indiquent que le document est joint au message. En réalité, la pièce jointe est un fichier ZIP contenant un unique fichier HTML.
Si l’on décompresse le fichier ZIP et ouvre le fichier HTML qu’il contient, on voit dans de nombreux cas seulement une conversation apparemment inoffensive ou un court extrait d’une correspondance ancienne. À première vue, rien ne semble suspect : il n’y a ni liens cliquables ni fichiers inhabituels, ce qui pourrait facilement laisser penser qu’il s’agit simplement d’un e-mail envoyé par erreur ou mal adressé.
En réalité, l’e-mail ne paraît inoffensif qu’au premier abord. Un examen plus approfondi du code source révèle qu’une connexion est établie en arrière-plan vers un site web externe, où un script JavaScript est hébergé. Ce script n’est toutefois pas toujours exécuté. Les escrocs vérifient d’abord plusieurs conditions – par exemple le système d’exploitation utilisé – et ne livrent le contenu malveillant que si certains critères sont remplis.
Une autre tactique de dissimulation s’ajoute : Le script n’est disponible que pour un nombre limité d’accès. Seules les premières consultations contiennent le code malveillant. Cette méthode complique considérablement l’analyse pour les entreprises et les autorités en cybersécurité, comme l’OFCS. Si aucun logiciel malveillant n’est livré, la méthode des escrocs n’est pas immédiatement détectable et la page concernée ne peut pas être bloquée facilement. De telles techniques sont régulièrement utilisées par les escrocs pour contourner les mécanismes de détection et de défense.
Déroulement de l’attaque
Dans certains cas, l’OFCS a réussi à télécharger et exécuter le JavaScript. Lorsqu’on ouvre le fichier HTML contenant le script malveillant, une page web apparaît, donnant l’impression d’afficher un fichier PDF. Sur ce site, il est indiqué qu’il faut résoudre un CAPTCHA pour accéder au document. Une fois le CAPTCHA correctement rempli, un lien de téléchargement apparaît.
Si le lien de téléchargement affiché est cliqué, le système télécharge à nouveau un fichier ZIP. Cette fois, il ne contient pas un autre fichier HTML, mais directement un script JavaScript. Il s’agit de l’étape finale de l’attaque : Une fois exécuté, le script tente de télécharger et d’installer sur le système des logiciels malveillants supplémentaires depuis Internet.
Pourquoi utiliser un fichier ZIP ?
Le déroulement décrit illustre de manière frappante à quel point les escrocs agissent désormais avec ingéniosité pour contourner les mécanismes de protection techniques et tromper délibérément les utilisateurs. Le fichier HTML apparemment inoffensif, affichant une conversation anodine, sert probablement aussi à tromper les logiciels de sécurité installés en donnant l’impression qu’il s’agit d’un document sans danger.
Malgré cette dissimulation sophistiquée, il existe toutefois un facteur de protection important : Dans un premier temps, les destinataires doivent ouvrir un fichier ZIP. Heureusement, cela en dissuade beaucoup.
Mais pourquoi les escrocs ne placent-ils pas directement le JavaScript dans l’e-mail ? Cela leur permettrait d’éviter le passage par le fichier ZIP et le prétendu CAPTCHA apparaîtrait immédiatement dans le message.
La plupart des programmes de messagerie bloquent justement le JavaScript, car sinon il serait beaucoup plus facile pour les escrocs d’exécuter directement du contenu interactif malveillant dans un e-mail. Cependant, lorsque le fichier HTML est ouvert localement, ce ne sont plus les restrictions du client de messagerie qui s’appliquent, mais les règles beaucoup plus souples du navigateur. Là, le JavaScript est autorisé par défaut, car les sites web modernes fonctionnent à peine sans scripts.
Recommandations
- Examinez attentivement les formats de fichiers : Une facture légitime est presque toujours envoyée au format PDF dans le cadre professionnel. Soyez extrêmement méfiant à l’égard des factures ou pièces jointes reçues sous forme d’archive ZIP et n’ouvrez en aucun cas les fichiers HTML qu’elles contiennent.
- Méfiez-vous des doubles extensions de fichiers : Les fraudeurs utilisent souvent des noms comme « Rechnung.pdf.html » pour tromper les utilisateurs. Activez par défaut l’affichage des extensions de fichiers dans votre système d’exploitation (par exemple dans l’Explorateur Windows) afin de mieux identifier le vrai format.
- Interrompez immédiatement toute action suspecte : Si votre navigateur s’ouvre après un clic sur une pièce jointe et vous demande de télécharger un autre fichier ou d’exécuter un script, arrêtez immédiatement le processus.
- Configurez l’ouverture des fichiers JavaScript (« .js ») avec un éditeur de texte : Paramétrez votre système pour que les fichiers JS s’ouvrent par défaut avec un éditeur inoffensif (comme le Bloc-notes Windows). Ainsi, en cas d’ouverture accidentelle, le code malveillant ne s’exécutera pas mais s’affichera simplement en texte.
- Bloquez les formats de fichiers dangereux au niveau de la passerelle e-mail : Cela inclut les fichiers exécutables ainsi que les archives compressées (ZIP) pouvant contenir des scripts potentiellement dangereux (JS, VBS) ou des fichiers HTML inattendus. L’OFCS a publié sur « GitHub » une liste régulièrement mise à jour des extensions de fichiers potentiellement dangereuses.
- En cas d’exécution accidentelle : Déconnectez immédiatement l’appareil du réseau (désactivez le Wi-Fi, retirez le câble réseau) pour éviter la propagation du logiciel malveillant dans le réseau de l’entreprise.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous: