En août 2022, LastPass révélait avoir été victime d’une série d’attaques. Bien que l’entreprise ait dans un premier temps caché l’ampleur de l’affaire, la réalité était sombre. Un très grand nombre d’informations avaient été volées, y compris des coffres-forts d’utilisateurs. Des données normalement chiffrées, mais les normes appliquées par LastPass n’étaient alors pas celles recommandées pour des informations aussi sensibles que les mots de passe. Un comportement largement critiqué par les chercheurs en sécurité.

En début d’année dernière, LastPass informait qu’une autre attaque avait eu lieu. Ciblant cette fois l’un des membres du personnel, elle avait permis l’infiltration de sa machine et le vol d’un coffre-fort d’entreprise. L’attaque était basée sur l’ingénierie sociale. Plus récemment, en février, une fausse application LastPass a été supprimée par Apple sur l’App Store. La semaine dernière, l’un des employés de LastPass a été victime d’un appel audio utilisant un deepfake de la voix du PDG de l’entreprise, Karim Toobba.

LastPass reste une cible de choix. Et pas seulement la société : ses clients aussi.

Nouvelle campagne visant les utilisateurs

Les 15 et 16 avril, une partie des clients a été ciblée par une campagne tablant largement sur l’ingénierie sociale.

La victime est d’abord appelée par un numéro commençant par 888. Là, un message lui annonce que son compte a été consulté depuis un nouvel appareil. Il peut faire « 1 » pour autoriser l’accès ou « 2 » pour le bloquer. Dans l’espoir, bien sûr, qu’elle fasse « 2 », en réaction à la crainte engendrée d’un piratage de ses mots de passe.

Lorsqu’elle presse « 2 », la victime se voit informée qu’un conseiller de clientèle va la rappeler. Peu après, le téléphone sonne, avec une personne se présentant effectivement comme un conseiller. L’appel est passé depuis un numéro usurpé, avec une voix dont l’accent était décrit comme américain. La victime se voit alors expliquer qu’elle va recevoir un email qui contiendra un lien de réinitialisation du compte.

L’email arrive bientôt, avec le fameux lien. La victime clique dessus et arrive sur un site se finissant par « help-lastpass[.]com ». Il s’agit d’un site frauduleux, conçu pour copier l’apparence du vrai. Si la personne entre son mot de passe, le ou les pirates le récupèrent et s’en servent pour accéder au compte. De là, ils peuvent modifier toutes les informations, dont le mot de passe bien sûr, mais également le téléphone de contact et l’adresse email.

Dans son annonce, LastPass indique avoir « travaillé dur » pour mettre fin à cette campagne de phishing, notamment en intervenant sur les domaines liés. Les utilisateurs sont invités à transmettre tout ce qui leur parait louche à l’adresse [email protected], qu’il s’agisse d’appels, de SMS ou d’emails.

En arrière-plan, un kit de piratage bien conçu

L’aspect particulier de cette campagne est qu’elle est alimentée par un kit d’hameçonnage nommé CryptoChameleon. Il a été découvert en février par la société de sécurité Lookout. C’est d’ailleurs elle qui a averti LastPass de la campagne en cours.

LastPass rappelle qu’un kit d’hameçonnage « est un logiciel d'hameçonnage en tant que service qui permet aux acteurs de la menace de créer facilement de faux sites SSO [Single sign-on, ou authentification unique, ndlr] ou d'autres sites de connexion à partir d'une marque frauduleuse (y compris des graphiques et des logos) afin d'imiter un site ou une entreprise pour laquelle l'acteur de la menace cherche à collecter des informations d'identification ».

Il s’agit d’une solution clé en main, conçue pour faciliter le phishing, en préparant toute la chaine de ce qui correspondrait, en temps normal, à un flux d’utilisation habituel. Le schéma est toujours le même, avec pour objectif ultime de faire venir la victime sur un site ressemblant trait pour trait à ce que l’on s’attend à voir. Si les pirates réussissent, le mot de passe est volé et la galère commence.

Lookout a découvert ce site il y a quelques mois. L’éditeur en a publié un billet de blog expliquant le fonctionnant et pointant ses nouvelles capacités.

Des cibles multiples

Selon les explications de Lookout, le kit initialement découvert semble avoir été conçu pour cibler les plateformes de cryptomonnaies et la FCC (Federal Communications Commission) via des appareils mobiles. Ses cibles se sont cependant multipliées rapidement.

Selon l’entreprise, Binance et Coinbase ont été ciblées ainsi que leurs utilisateurs, ainsi que ceux de Gemini, Kraken, ShakePlay, Caleb & Brown et Trezor. Plusieurs services de courriel, de stockage des mots de passe et d’authentification unique (SSO) ont également été pris pour cibles : LastPass, AOL, Gmail, iCloud, Okta, Outlook, Twitter et Yahoo.

C’est d’ailleurs à travers l’enregistrement d’un nom de domaine suspect lié à Okta – fcc-okta[.]com – que Lookout a découvert le kit. La méthode rappelait celle d’un groupe de pirates nommé Scattered Spider, pour lequel la CISA (Cybersecurity and Infrastructure Security Agency) américaine avait lancé un avertissement peu avant.

Un kit à tout faire (et malin)

Lookout a découvert plusieurs aspects « novateurs » dans la manière dont sont conçues les campagnes automatisées. Par exemple, le site frauduleux est protégé par un captcha conçu à l’aide de hCaptcha. Pour les malandrins, l’ajout de ce mécanisme a deux bénéfices. D’abord, il bloque les tentatives automatiques d’analyse du site, ce qui ralentit sa découverte. Ensuite, il peut fournir une impression de légitimité à la victime, augmentant d’autant l’efficacité de l’attaque.

Second constat, nettement plus grave : le site est conçu pour tenir compte des méthodes modernes de connexion, notamment l’authentification multifactorielle (MFA). Les chercheurs ont ainsi découvert une console d’administration. Ils n’ont pas pu y accéder, mais ont pu voir son code JavaScript et son CSS, permettant de reconstituer « une grande partie de ses fonctionnalités ».

Ils en ont ainsi déduit que chaque fois qu’une victime arrive sur le faux site et entre des informations, une nouvelle ligne apparaît dans un tableau. Une fois l’identifiant et le mot de passe envoyés, le pirate peut alors choisir vers quelle option orienter la victime. Pendant ce temps, la page de connexion demande à cette dernière d’attendre, pendant que le pirate se connecte sur le vrai site avec les informations.

C’est là que le contournement de la MFA intervient. Si le compte est protégé, le pirate peut utiliser de multiples options pour faire afficher chez la victime un nouvel écran avec le facteur supplémentaire. Si c’est un code reçu par email ou SMS, il pourra l’entrer. Un code généré par une application de type OTP (Authenticator) ? Même tarif.

Comme avec le captcha, des informations supplémentaires sont affichées pour faire grimper le niveau de crédibilité de la demande. Dans le cas du code reçu par SMS par exemple, le pirate va montrer les quatre derniers chiffres du numéro de téléphone et demander à la victime si elle souhaite recevoir un code à six ou sept chiffres.

Dans tous les cas, le jeton de connexion est transmis au pirate, qui peut alors s’en servir pour déverrouiller le compte authentique de la victime. Notez que le kit ne semble pas être prévu pour gérer des moyens d’authentification plus sophistiqués comme la biométrie ou les clés d’accès (passkeys). Ces dernières ont justement été conçues pour éviter ce genre de problème.

Et ça marche

D’après les chercheurs, le kit CryptoChameleon a permis avec succès de dérober des informations à une centaine de personnes. Ils disent avoir pu accéder, pendant un court laps de temps, aux journaux situés sur un serveur de contrôle et de commande (C2 ou C&C). « Un pourcentage élevé des informations d'identification collectées par ces sites ressemble à des adresses électroniques légitimes, des mots de passe, des jetons OTP, des URL de réinitialisation de mot de passe, des photos de permis de conduire et bien d'autres choses encore », ajoutent-ils.

L’hébergement a également évolué. En novembre et décembre 2023, les faux sites étaient essentiellement hébergés chez Hostwinds et Hostinger. En janvier et février 2024, ils étaient surtout chez l’hébergeur russe RetnNet (213.178.155[.]194). Selon les chercheurs, les faux sites sont d’ailleurs restés plus longtemps en ligne chez RetnNet. Le 17 février, nouveau déménagement, cette fois chez QWARTA. Le 22 février, rebelote, chez OOO Westcall.

Lookout a pu discuter avec plusieurs victimes. Le schéma était toujours le même, avec une combinaison d’appels téléphoniques et de SMS pour inspirer confiance. Un rôle suffisamment travaillé pour être crédible, une situation apte à générer de la peur (« votre compte a été piraté »), une proposition d’aide. Dans la plus pure tradition de l’ingénierie sociale, comme nous l’évoquions récemment dans notre article sur les risques de détournement des projets open source, dans le sillage de l’affaire XZ Utils.

En dépit cependant des similitudes avec le groupe Scattered Spider, les chercheurs disent avoir repéré assez de différences pour ne pas leur attribuer ces attaques. Ils ont notamment relevé d’importantes différences dans l’infrastructure de contrôle. Rien d’étonnant selon Lookout, les imitations étant courantes dans ce milieu, tout particulièrement quand une méthode se révèle efficace. Et elle semble l’avoir été.