Le Quantum Route Redirect Kit : une nouvelle vague d’attaques de phishing ciblées

• Détection humain vs bot : Le kit peut faire la distinction entre le trafic humain réel et les bots ou scanners automatisés. Les utilisateurs réels sont redirigés vers des sites de phishing, tandis que les bots sont envoyés vers des domaines inoffensifs et légitimes (par exemple google.com).
• Phishing ciblé : Une fois qu’un utilisateur réel est identifié, il est redirigé vers une page de phishing conçue pour collecter des identifiants. Ces identifiants donnent accès à des données sensibles de l’entreprise, ce qui en fait une cible de choix pour les attaquants.
• Contrôle centralisé via le tableau de bord Quantum : Les cybercriminels peuvent gérer tous les aspects de leurs campagnes de phishing via un tableau de bord centralisé, leur permettant de suivre l’activité des victimes, de configurer des règles de redirection et d’analyser les journaux des victimes en temps réel.

Au cours de notre enquête, nous avons obtenu l’accès à plusieurs tableaux de bord Quantum actifs, ce qui nous a permis d’examiner les configurations des campagnes, les règles de redirection et les données des victimes. Dans un cas, nous avons observé que 1 052 utilisateurs avaient tenté de visiter un site de phishing. Bien que la configuration du kit ait été quelque peu défaillante - entraînant la classification erronée de nombreux utilisateurs comme bots et leur redirection vers des domaines sûrs - nous avons pu extraire des informations précieuses sur l’infrastructure de l’attaque.

L’infrastructure malveillante découverte est activement bloquée par notre solution SecureDNS.

Notre équipe SOC a également obtenu l’accès à l’intégralité du Quantum Redirect Phishing Kit et l’a analysé en profondeur. Cela a joué un rôle essentiel dans la compréhension de la manière dont les acteurs de la menace différencient les bots des humains, et nous permet de mieux protéger nos clients.

Notre analyse approfondie du Quantum Route Redirect Kit a révélé plusieurs constats critiques :

• Plus de 600 domaines malveillants : Nous avons identifié plus de 600 domaines utilisés dans ces campagnes de phishing. Tous ont été bloqués par SecureDNS afin d’empêcher toute menace supplémentaire pour nos clients.
• Analyse des adresses IP : Nous avons récupéré des journaux d’adresses IP marquées comme « phishées » ou redirigées vers du contenu malveillant. Ces IP ont été croisées avec notre télémétrie interne, et nous pouvons confirmer qu’aucun de nos clients n’a été affecté par ce kit de phishing au moment de notre analyse.
• Mauvaises configurations fréquentes : Le Quantum Route Redirect Kit est souvent mal optimisé et mal configuré, ce qui signifie qu’un nombre important d’utilisateurs ont été incorrectement identifiés comme bots et redirigés vers un domaine inoffensif. Nous avons utilisé ces informations pour affiner davantage nos mécanismes de détection afin que des erreurs similaires n’entraînent aucune menace manquée.
• Ce qui était présenté en ligne comme un kit de phishing hautement sophistiqué s’est avéré être un kit de phishing mal développé.
• Le kit de phishing ne respectait aucune des bonnes pratiques de développement sécurisé, telles que :
  • la protection de l’accès direct aux fichiers de configuration, aux pages d’administration et au code source ;
  • toutes les configurations et les « domaines de phishing » étaient accessibles sans devoir se connecter au panneau d’administration du Quantum Route Redirect Kit.
  • Cette mauvaise optimisation nous a permis d’accéder à une grande quantité d’informations sur le kit de phishing.
• Le kit de phishing a été développé pour « détecter » les bots et les différencier des utilisateurs humains réels.
  La manière dont le code détermine si vous êtes un bot ou non est très simple :
  • La première vérification consiste à voir si vous utilisez un navigateur connu. Par « navigateur connu », on entend un navigateur figurant dans la liste de navigateurs associée au kit de phishing.
  • Ensuite, le code vérifie le type d’appareil utilisé (mobile, Mac, Windows, …).
  • Si l’une de ces conditions n’est pas remplie, vous êtes catégorisé comme « bot ».
  • Cela signifie également que si vous utilisez un navigateur comme Brave, ou tout autre navigateur qui ne figure pas dans la liste, vous serez automatiquement redirigé vers l’URL « bot ».

Bien que les premiers rapports indiquaient que 80 % des victimes des campagnes de phishing basées sur Quantum provenaient des États-Unis, notre enquête a mis en évidence un schéma différent. Nous avons observé un ciblage significatif en Europe de l’Ouest et détecté près de 2 000 adresses IP européennes enregistrées sur ces portails comme ayant établi une connexion avec le kit de phishing.

La plupart ont été détectées comme des bots, et certaines ont été redirigées vers la deuxième étape du cycle de phishing.

Les pays concernés étaient :

• Belgique
• France
• Allemagne
• Suisse
• Autriche
• Pays-Bas

Bien que nous ayons pris des mesures étendues pour sécuriser nos clients, nous vous encourageons également à suivre ces bonnes pratiques afin de réduire davantage le risque de phishing et d’autres cybermenaces :

• Activer l’authentification multifacteur (MFA)
  La MFA est l’un des moyens les plus efficaces de protéger les comptes, même lorsque les identifiants sont compromis.
• Utiliser l’accès conditionnel et des politiques de connexion basées sur le risque (pour les tenants M365)
  Utilisez des politiques pour restreindre l’accès en fonction du comportement de l’utilisateur, de la localisation ou du risque lié à l’appareil, afin de bloquer les accès non autorisés.
• Être prudent avec les liens dans les e-mails ou les SMS
  Méfiez-vous toujours des e-mails ou messages non sollicités contenant des liens. En cas de doute, vérifiez soigneusement le domaine ou rendez-vous manuellement sur le site officiel de l’entreprise pour vérifier si la communication y est également disponible.
• Vérifier les pages de connexion
  Vérifiez toujours l’URL de toute page de connexion avant de saisir vos identifiants. Les pages de connexion M365 authentiques appartiennent toujours à des domaines détenus par Microsoft.
• Maintenir les systèmes entièrement à jour
  Assurez-vous que vos navigateurs, systèmes d’exploitation et logiciels de sécurité sont toujours à jour avec les derniers correctifs.
• Signaler immédiatement les e-mails suspects
  Si vous recevez un e-mail suspect, signalez-le immédiatement au sein de votre organisation.
  Vous pouvez également transférer les messages suspects à [email protected] 

Grâce à nos mesures proactives et à l’analyse continue du Quantum Route Redirect Kit, nous avons réussi à bloquer la majorité des domaines associés à cette menace de phishing, garantissant ainsi la sécurité de votre organisation. Nous continuerons à surveiller et à adapter nos défenses afin de rester en avance sur les menaces émergentes, pour que vous puissiez vous concentrer sur l’essentiel pour votre activité.

Pour plus d’informations ou pour toute question, n’hésitez pas à contacter notre équipe Support via [email protected]