US-Focused CSuite Phishing Steals Microsoft 365 Sessions and Deploys RMM Tools for Remote Access

Campagne de phishing « CSuite » : compromission d’identités et accès distant

La campagne « CSuite » cible principalement des organisations aux États-Unis (51 % des cas) dans les secteurs de la technologie, de l’industrie, du gouvernement et du conseil. Cette menace se distingue par sa capacité à transformer un phishing classique en une compromission persistante et multidimensionnelle.

Points clés :

• Vecteurs d’attaque : Utilisation de leurres professionnels crédibles (Adobe, DocuSign, Zoom, Microsoft 365, etc.).
• Double finalité :
  • Vol d’identité : Phishing de session Microsoft 365 et dérobade d’identifiants.
  • Accès distant : Installation d’outils de gestion légitimes (RMM) comme ScreenConnect ou Action1 pour maintenir un accès persistant aux postes de travail.
• Conséquences : Prise de contrôle de boîtes mail, fraude financière (détournement de paiement, manipulation de factures), espionnage et propagation latérale au sein de l’organisation.
• Vulnérabilités : L’attaque exploite le facteur humain et l’abus d’outils d’administration légitimes (Living-off-the-land), rendant la détection traditionnelle par signature complexe. Aucun CVE spécifique n’est mentionné, car la menace repose sur le détournement de fonctionnalités et de processus légitimes.

Recommandations :

• Visibilité totale : Analyser la chaîne d’attaque complète (du leurre au script PowerShell et à l’installation de l’outil RMM) plutôt que d’isoler des indicateurs de compromission (IOC) uniques.
• Surveillance proactive : Utiliser des outils d’analyse comportementale (sandbox) pour identifier les comportements suspects, comme l’exécution de scripts (.bat, .vbs) ou l’installation inattendue d’outils de prise de contrôle à distance.
• Renseignement sur les menaces : S’appuyer sur des flux d’intelligence (Threat Intelligence Feeds) pour mettre à jour en temps réel les blocages des infrastructures malveillantes (IP, domaines), compte tenu de la rotation rapide des serveurs des attaquants.
• Contextualisation des alertes : Standardiser les rapports d’incidents pour faciliter le transfert rapide entre les analystes de niveau 1 et les experts en réponse aux incidents, afin de réduire le temps moyen de remédiation (MTTR).

Source