Aller au contenu

Anatomie des attaques de phishing, d'ingénierie sociale et de contournement MFA

1. Objectif du cours

Comprendre les mécanismes psychologiques et techniques des attaques de phishing, savoir identifier les indicateurs techniques et comportementaux, et maîtriser une méthodologie d'analyse adaptée aux campagnes modernes (kits, IA, contournement MFA).

2. Notions et définitions essentielles

  • Phishing : fraude par email/message visant à voler identifiants (login/mdp) via tromperie.
  • Spear phishing : phishing fortement personnalisé ciblant une victime précise (taux de réussite ×10).
  • Whaling : spear phishing visant dirigeants/« gros poissons » pour actions décisionnelles.
  • Smishing / Vishing / Quishing : phishing par SMS, appel vocal, ou QR code.
  • MFA fatigue : harcèlement d'authentification push jusqu'à acceptation par lassitude.
  • OSINT : collecte et exploitation de sources publiques pour personnaliser les attaques.
  • Typosquatting : enregistrement de domaines similaires/typos pour usurper un site légitime.
  • Kits de phishing : outils prêts à l'emploi (templates, scripts, panels) vendus sur le dark web.
  • Reverse proxy (phishing en temps réel) : intermédiaire relayant en direct les identifiants vers le service légitime.

3. Fonctionnement et principes

  • Leviers psychologiques : urgence, autorité, peur, curiosité, confiance — utilisés selon le profil (assistants, clients, communication, dirigeants).
  • Cycle d'attaque : reconnaissance (OSINT) → création d'infrastructure (domaine lookalike, kits) → envoi (emails/SMS/QR) → collecte (pages clonées, redirections) → exploitation (accès, élévation de privilèges) → persistence/exfiltration.
  • Infrastructures : domaines multiples, redirections en cascade, CDN et services cloud légitimes (GitHub Pages, Google Sites) pour masquer l'activité; rotation automatique des domaines.
  • Évasion : texte en image, stéganographie, pièces jointes légitimes avec liens cachés, CAPTCHA frauduleux, utilisation d'IA et deepfakes pour personnaliser massivement et produire contenus indétectables par filtres classiques.
  • Contournement MFA : exploitation humaine (fatigue), reverse proxy relayant codes en temps réel, détournement d'applications légitimes générant notifications push automatiques.

4. Commandes et manipulations

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques

  • Approche multicouche : filtres anti-spam, réputation IP, SPF/DKIM/DMARC, sandboxing des pièces jointes, analyse d'URLs en temps réel.
  • Durcissement MFA : limiter tentatives répétées, géofencing, surveillance comportementale post-authentification.
  • Tuning et équilibre : ajuster seuils pour limiter faux positifs tout en maintenant blocage efficace ; feedback utilisateur pour amélioration.
  • Sensibilisation : simulations régulières (phishing), formation sur MFA fatigue et leviers psychologiques.
  • Veille et partage : monitoring domaines lookalike, feeds de menaces, collaboration CERT-FR et banques, partage d'IOCs.
  • Précaution d'analyse : ne pas visiter directement les URLs suspectes ; utiliser sandbox ou services d'analyse en ligne pour les examiner en sécurité.

6. Points essentiels à retenir pour le TSSR

  • Les attaques exploitent surtout le facteur humain (5 leviers) ; la technique sert la tromperie.
  • Le spear phishing et whaling reposent sur une reconnaissance préalable (OSINT) et sont beaucoup plus efficaces que le phishing massif.
  • Indicators clés : SPF FAIL / absence DKIM / DMARC non configuré, routage incohérent, âge récent du domaine, typosquatting, URLs raccourcies.
  • Les kits de phishing standardisent et accélèrent les campagnes ; repérer signatures communes aide la détection.
  • L'IA et les deepfakes augmentent la crédibilité et la portée des campagnes personnalisées.
  • Le MFA peut être contourné sans « casser » la cryptographie : fatigue, reverse proxy, notifications détournées.
  • Corréler logs (SIEM/UEBA/NDR/EDR) et événements post-authentification est essentiel pour détecter compromissions.
  • La détection combine analyses techniques (en-têtes, URLs) et comportementales (élevations de privilèges, sessions géo-incohérentes).
  • Ne pas cliquer : analyser en-têtes, tester URLs via outils en ligne et documenter IOCs pour la veille.
  • Coopération (partage CTI) et tuning continu améliorent la résilience organisationnelle.

7. Tableau récapitulatif

Élément Caractéristique Risque principal Contremesure clé
Phishing massif Envois larges, non-personnalisés Volume de clics Filtres anti-spam, formation
Spear phishing Haute personnalisation (OSINT) Compromission ciblée Vérif. expéditeur, DMARC, vigilance
Whaling Cible : dirigeants Autorisation de virements Procédures strictes, vérifs secondaires
MFA fatigue / reverse proxy Exploite humain ou relais temps réel Bypass MFA sans casse crypto Limitation push, corrélation SIEM
Kits de phishing Templates & panels prêts Industrialisation des attaques Reconnaissance signatures, blocage domaines

8. Vérifications pratiques

  • Vérifier SPF/DKIM/DMARC dans les en-têtes (SPF: FAIL, DKIM absent signale fraude).
  • Tracer champs "Received" pour géolocalisation des serveurs de routage.
  • Vérifier âge du domaine et date d'enregistrement (domaine récent suspect).
  • Tester URLs dans VirusTotal / URLScan.io / sandbox (ne pas cliquer directement).
  • Examiner certificat SSL, hébergement des images, redirections JavaScript et formulaires pointant vers domaines externes.
  • Rechercher IOCs (domaines, IPs) dans bases ThreatCrowd, AbuseIPDB ; corréler clics sur liens raccourcis.
  • Contrôler logs MFA : demandes répétées, connexions depuis IP géographiquement incohérentes, élévations de privilèges immédiates, sessions prolongées.

9. Flashcards Anki

Quels sont les cinq leviers psychologiques couramment exploités :: Urgence, autorité, peur, curiosité, confiance Quelle différence principale entre phishing classique et spear phishing :: Le spear phishing personnalise l'approche selon la victime Qu'est-ce que le whaling :: Phishing ciblant dirigeants/« gros poissons » pour actions décisionnelles Que désigne le smishing :: Phishing réalisé par SMS Que signifie OSINT :: Recherche, analyse et exploitation des données accessibles publiquement Quel indicateur technique signale souvent un expéditeur non autorisé :: SPF: FAIL Qu'est-ce que la MFA fatigue :: Multiples demandes d'authentification jusqu'à acceptation par lassitude Quel mécanisme permet le phishing en temps réel sans casser le MFA :: Reverse proxy relayant les codes en direct Nommez trois outils cités pour l'analyse d'emails/URLs :: EmailHeader.org, VirusTotal, URLScan.io Que contient un kit de phishing moderne :: Templates HTML, scripts de collecte, panels d'administration