Abus de redirection d'URL Trustpilot

23 juillet 2024

Points clés

• Utilisation abusive de l’infrastructure Trustpilot et SendGrid
• Principalement axé sur les industries des services professionnels, scientifiques et techniques
• L'objectif premier était de voler les informations d'identification des destinataires les plus susceptibles de les vendre à des fins lucratives.
  
   

Le 17 juin 2024, les chercheurs en menaces de Mimecast ont observé une nouvelle campagne de phishing utilisant Trustpilot pour rediriger des URL. La campagne a débuté brusquement le 17 juin, et des enquêtes ont révélé que cela était dû aux URL Trustpilot, générées par Sendgrid. Après examen, il semble qu'il s'agisse d'un événement de courte durée et de grande ampleur visant à rediriger les utilisateurs ciblés vers une page de phishing permettant de récolter des informations d'identification. Le graphique ci-dessous met en évidence l'activité associée à cette campagne.

Avant son utilisation active, la technique, ainsi que d’autres caractéristiques de style et de distribution, semblent avoir été minutieusement testées à l’aide de comptes d’utilisateurs compromis, garantissant ainsi la délivrabilité. Entre les pics de campagne, des tests et des validations supplémentaires ont été effectués afin de garantir le succès des livraisons. Les e-mails de phishing ont été envoyés principalement via Microsoft 365 compromis et le fournisseur de services de messagerie KDDI. Une répartition des fournisseurs de services de messagerie utilisés est présentée ci-dessous.

Objectifs:

Principalement axé sur les États-Unis, plusieurs secteurs, mais important dans les services professionnels, scientifiques et techniques 

CIO :

Redirections Trustpilot :

• hxxps://link.trustpilot.com/ls/click?upn=u001.7TXFvnJF4GMbcQqVAhZRa8-
  2FKsqcJJrXM5PriJjesPuYjvEDhc4u61YqxKeokTY4adTcM_r0aPuFam2OijKUCcDq4d
  NJZTUPWa70WxFXUt4Msr1TPSXE1rqhpUHZ9AfnLVE6EA5EXtoQpyf-2FfWDBC
  1bYEh6lTSdqycNmiUr9TST70VnC6S62SKSCraCoxe-2FU3kuJmXhYEm3koA34a-2BKr8dbNto67EZttUffEOZA127cGFwkK7I-2BydN9Q8sxLLQwLmx3MnDCb8PeVy
  5rZSTzAzzTz901Q-3D-3D

Cliquez ici pour accéder à la liste complète des redirections Trustpilot

Hôtes de redirection :

• info.ubergeek[.]tv
• phyditis[.]ru

Cliquez ici pour accéder à la liste complète des hôtes de redirection

TTPs :

• T1586.002 - Comptes compromis : comptes de courrier électronique
• T1566.002 - Phishing : lien d'hameçonnage ciblé
• T1583.006 - Acquérir une infrastructure : services Web
• T1608.005 - Capacités de la scène : Lien cible