RaccoonO365 Phishing Network Dismantled as Microsoft, Cloudflare Take Down 338 Domains

RaccoonO365 : Démantèlement d’un Réseau de Phishing

Une opération conjointe entre Microsoft et Cloudflare a permis de démanteler le réseau RaccoonO365, une plateforme de phishing-as-a-service (PhaaS) utilisée par des cybercriminels pour voler des identifiants Microsoft 365. L’action a entraîné la saisie de 338 domaines, perturbant l’infrastructure technique du groupe et coupant l’accès des criminels à leurs victimes.

Points Clés :

• Service d’Abonnement : RaccoonO365 opérait sous un modèle d’abonnement, proposant des outils de phishing faciles d’accès à des criminels peu expérimentés techniquement. Les tarifs allaient de 355$ pour un mois à 999$ pour trois mois.
• Ciblage Élargi : Depuis juillet 2024, plus de 5 000 identifiants Microsoft 365 ont été dérobés dans 94 pays. L’outil a également été utilisé pour distribuer des malwares, notamment des campagnes liées à des thèmes fiscaux.
• Techniques Sophistiquées : Le groupe utilisait des techniques pour contourner l’authentification multifacteur et des outils légitimes comme Cloudflare Turnstile pour se prémunir contre les bots et les automatisations, rendant ainsi les pages de phishing plus furtives. Une nouvelle offre, RaccoonO365 AI-MailCheck, promettait d’accroître la sophistication et l’efficacité des attaques grâce à l’IA.
• Attribution : L’individu identifié comme le cerveau derrière RaccoonO365 est Joshua Ogundipe, basé au Nigeria, qui aurait perçu au moins 100 000$ en cryptomonnaies.
• Réaction des Acteurs : Suite à la saisie, les opérateurs de RaccoonO365 ont annoncé la désactivation des anciens liens et ont proposé des compensations à leurs clients.

Vulnérabilités (non spécifiées par CVE dans l’article) :

• Les attaques exploitent des emails de phishing imitant des marques de confiance (Microsoft, DocuSign, SharePoint, Adobe, Maersk) pour tromper les utilisateurs et les inciter à cliquer sur des liens menant à de fausses pages de connexion.
• La capacité à contourner l’authentification multifacteur (MFA) représente un risque significatif pour la sécurité des comptes utilisateurs.

Recommandations :

• La vigilance accrue des utilisateurs face aux emails suspects, même s’ils semblent provenir de sources fiables.
• La prudence lors de la saisie d’identifiants, en vérifiant attentivement l’URL des sites web.
• L’importance des actions coordonnées entre les acteurs de la cybersécurité pour démanteler les infrastructures criminelles à grande échelle.

Source