REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
La campagne étudiée combine plusieurs services Google pour rendre un parcours de phishing plus crédible et plus difficile à filtrer. Le point de confiance décisif reste l’action effectuée à l’arrivée, et non la marque aperçue dans une étape intermédiaire.
Déroulement décrit par la source
- Le rapport décrit une chaîne utilisant plusieurs propriétés Google comme relais de redirection vers des destinations malveillantes.
- Les pages d’arrivée adaptent leur apparence à l’organisation visée, notamment par des logos et des captures de sites.
- Deux parcours sont décrits : la collecte d’identifiants et l’installation trompeuse d’un client ScreenConnect.
Comprendre les mécanismes et les enseignements
- Leçon défensive : une règle qui autorise globalement un domaine très connu peut laisser passer une chaîne dont la destination finale est dangereuse. L’évaluation du lien doit suivre les redirections et comprendre ce que la page demande, sans considérer le premier domaine comme une garantie.
- La personnalisation visuelle peut réutiliser des éléments publics d’une entreprise sans compromettre son site. Les logos et captures d’écran ne prouvent donc pas que le message provient du service informatique ou qu’un acteur a déjà accédé au système de la cible.
Les vérifications défensives utiles
- Conserver les URLs et la chaîne de redirections des messages suspects dans un outil d’analyse adapté. Examiner les paramètres et fragments avec précaution, car ils peuvent contenir des identifiants de destinataires qu’il serait inutile d’exposer dans un rapport largement diffusé.
- Vérifier les demandes de connexion ou d’installation depuis un canal habituel de l’entreprise. Un document attendu devrait pouvoir être retrouvé dans l’application concernée, et une installation d’assistance à distance devrait être confirmée auprès d’un interlocuteur connu.
- Corréler les événements de messagerie avec les connexions de comptes et les nouvelles installations RMM. Distinguer les utilisateurs qui ont reçu le message, ceux qui ont ouvert le parcours et ceux qui ont exécuté une action, afin de proportionner la réponse.
Portée et limites
L’abus décrit ne prouve pas une compromission générale des services Google. La portée d’un parcours observé ne correspond pas nécessairement au nombre d’utilisateurs compromis ; les deux chaînes ne doivent pas être supposées exécutées sur chaque cible.
Rapport original
Bypassing the Gatekeepers: How a Global Phishing Campaign Turns Google's Infrastructure into a Trust Proxy — blog.knowbe4.com.