De faux événements OpenAI et SpaceX ont été utilisés pour voler des comptes Microsoft et Google.
La rédaction ·
Des pirates informatiques utilisent de fausses invitations à des événements d'OpenAI, SpaceX et Anthropic pour attirer des employés dans des attaques de phishing, en utilisant deux plateformes de phishing-as-a-service différentes pour voler les identifiants de comptes et les sessions d'authentification Microsoft et Google.
Selon un nouveau rapport de Push Security , les attaquants utilisent des pages d'inscription à des événements convaincantes offrant un accès gratuit à des services d'IA premium et à d'autres récompenses pour inciter les victimes à se connecter avec leurs comptes d'entreprise.
Ce qui rend ces attaques intéressantes, c'est que les mêmes pages d'hameçonnage intègrent deux plateformes d'hameçonnage en tant que service (PhaaS) distinctes, Kali365 et VoidProxy, pour cibler les comptes Microsoft et Google en utilisant différentes attaques d'authentification.
Kali365 mène des attaques de phishing de code d'appareil Microsoft, tandis que VoidProxy agit comme un proxy inverse d'adversaire au milieu (AiTM) pour intercepter les connexions Google et voler les cookies de session d'authentification.
L'attaque contre Microsoft utilise également VoidProxy comme deuxième étape, permettant aux attaquants de capturer les identifiants et les cookies de session après avoir obtenu des jetons d'authentification via Kali365.
Push Security affirme avoir détecté et bloqué les visites sur les pages d'inscription malveillantes à l'événement fin octobre 2026.
Cette campagne fait suite à une campagne similaire documentée par ANY.RUN en juillet, au cours de laquelle des attaquants ont abusé de pages d'événements Zoom légitimes pour promouvoir de faux événements Meta, OpenAI et Anthropic qui ont conduit à des attaques de phishing de code d'appareil et AiTM.
Cofense a également récemment signalé des courriels d'hameçonnage imitant des invitations à des événements Anthropic, distribués via l'infrastructure de messagerie de GoTo Webinar et redirigeant les destinataires vers de fausses pages d'inscription via plusieurs sites web.
Les faux événements liés à l'IA entraînent des tentatives d'hameçonnage de comptes.
Bien que l'on ignore comment les attaquants distribuent initialement les liens d'hameçonnage, Push Security a découvert qu'ils redirigent les victimes vers une page d'inscription à un événement malveillante en utilisant des liens provenant de services de confiance, notamment les raccourcisseurs d'URL Google et Zapier.
Les invitations des versions précédentes de la campagne ont également été distribuées via les systèmes de messagerie de GoTo Webinar ou via des pages d'événements Zoom légitimes.
Push Security indique que les attaquants utilisent deux kits de phishing personnalisés, identifiés sous les noms de ZoomMock et MSDRoot, pour créer de fausses pages d'événements qui redirigent ensuite les victimes vers les services de phishing Kali365 et VoidProxy.
Les chercheurs pensent que les mêmes acteurs malveillants utilisent les deux kits, car ils utilisent une infrastructure partagée et le même ciblage.
La campagne usurpe l'identité d'événements organisés par OpenAI, SpaceX et Anthropic, avec des pages d'inscription conçues pour ressembler à des sites web d'événements légitimes.
Une page d'hameçonnage fait la promotion d'un événement OpenAI intitulé « ChatGPT pour les équipes de marketing social et numérique » qui promet trois mois d'abonnement à ChatGPT Pro aux participants.
Page de phishing d'OpenAI
Une autre annonce fait la promotion d'un événement privé SpaceX le 12 novembre, offrant aux inscrits soit trois mois d'abonnement à Grok Heavy, soit une « action SpaceX ».
Les chercheurs ont également découvert une page d'hameçonnage imitant un événement Anthropic lors d'AWS re:Invent 2026, qui a déjà été supprimée.
Les fausses pages d'inscription indiquent aux visiteurs qu'ils doivent se connecter avec leurs comptes professionnels pour s'inscrire et réclamer les récompenses annoncées.
Avant d'afficher les fausses pages d'inscription, les sites web affichent un CAPTCHA Cloudflare pour « Confirmer que vous n'êtes pas un robot ». Cela empêche les plateformes de sécurité automatisées d'analyser le site d'hameçonnage.
Une fois arrivés sur la page d'inscription à l'événement, les visiteurs voient deux options : « Continuer avec Microsoft » et « Continuer avec Google ».
Lorsque les victimes sélectionnent l'option Microsoft, la page d'hameçonnage contacte la plateforme Kali365 pour générer un code d'authentification d'appareil Microsoft.
Formulaire d'authentification par code d'appareil Microsoft sur un site d'hameçonnage
Une attaque par hameçonnage de code d'appareil se produit lorsqu'un attaquant abuse du flux d'autorisation légitime OAuth 2.0 pour obtenir des jetons d'authentification pour le compte Microsoft Entra de la victime.
Il est alors possible d'utiliser cet identifiant pour accéder aux ressources de l'utilisateur et aux applications SSO connectées, telles que Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian et bien d'autres.
Les attaques par hameçonnage de code d'appareil ont été utilisées par le passé pour le vol de données et les attaques de cyberespionnage .
Le visiteur est invité à copier le code et à le saisir sur le site Web de connexion légitime de Microsoft, où il s'authentifie et approuve la demande.
Cela permet à la plateforme de phishing Kali365 de voler des jetons d'authentification Microsoft sans que la victime ait besoin de divulguer directement son mot de passe.
Une fois l'authentification du code de l'appareil réussie, la page redirige la victime vers une page de connexion VoidProxy Microsoft, où les attaquants peuvent également capturer le mot de passe et le cookie de session de la victime.
Lorsque les victimes sélectionnent l'option d'authentification Google, la page d'hameçonnage ouvre en réalité une fenêtre contextuelle contenant une page de connexion Google provenant de VoidProxy PhaaS.
La plateforme fonctionne comme une plateforme d'attaquant au milieu (AiTM) qui s'interpose entre le navigateur de la victime et la page de connexion de Google, fait office de proxy pour les formulaires de connexion et vole les identifiants, les réponses MFA et les cookies de session.
Les plateformes Kali365 et VoidProxy permettent toutes deux aux attaquants de contourner l'authentification multifactorielle en capturant une session déjà authentifiée ou, dans le cas de l'authentification par code d'appareil, en contournant complètement l'authentification multifactorielle.
Pour se protéger contre ces attaques, les employés doivent éviter de saisir les codes d'authentification des appareils Microsoft fournis par des sites Web inconnus et se méfier des invitations à des événements qui exigent une connexion avec des comptes d'entreprise pour réclamer des récompenses.
Les organisations peuvent également limiter l'authentification par code d'appareil lorsqu'elle n'est pas nécessaire et utiliser une authentification multifacteur résistante au phishing, telle que les clés de sécurité FIDO2, pour aider à prévenir le détournement de session.
Source : bleepingcomputer.com