Attaques d'hameçonnage HTTPS : Comment les pirates utilisent les certificats SSL pour feindre la confiance

Revenons en 1994. Inutile de sortir votre bipeur ou d'enfiler votre chemise en flanelle. C'est l'année où le premier protocole SSL a vu le jour. Il a été lancé par Netscape pour répondre au besoin croissant de renforcer la sécurité de cette nouvelle invention qu'est l'internet.

Plusieurs versions de SSL plus tard, il s'est transformé en TLS que nous connaissons aujourd'hui. Cependant, comme un mauvais surnom, nous continuons à nous référer à TLS en tant que SSL.

Depuis les premiers jours de l'apparition des navigateurs web, la sécurité des certificats SSL n'a cessé de poser des problèmes. Les cybercriminels adorent mettre en œuvre des escroqueries par hameçonnage en utilisant des certificats SSL et en les faisant passer pour des sites de confiance. Cette escroquerie existe depuis 2005, date à laquelle les premiers témoignages d'hameçonnage à l'aide de certificats SSL ont été publiés.

According to a report by the Anti-Phishing Working Group (APWG) and contributor PhishLabs, in the first quarter of 2021, 83% of phishing sites had SSL encryption enabled. Amazingly, this was the first time that the number plateaued since PhishLabs began the study in 2015.

But organizations can’t use this news as a reason to start letting their guard down against SSL phishing attacks. Especially since phishing threats overall are on the rise with the total number increasing by 22% in the first half of 2021.

Pourquoi les attaquants aiment aller sur SSL phishing

C'est Ronald Reagan qui a inventé le proverbe "faites confiance, mais vérifiez" et c'est particulièrement vrai lorsqu'il s'agit des certificats SSL . Ce petit symbole de cadenas dans le navigateur vous donne l'assurance d'être protégé et de ne pas voir quelqu'un s'enfuir avec tout votre argent. Or, ce sont les cybercriminels qui cherchent à briser cette confiance.

SSL Les certificats HTTPS sont censés protéger tout ce qui est précieux pour un cybercriminel, depuis la date de votre anniversaire jusqu'à celle de votre dernier retrait bancaire. Les sites HTTPS frauduleux sont la porte d'entrée favorite de ces informations pour les pirates qui savent comment donner facilement un faux sentiment de sécurité. Il est relativement simple pour eux de créer un faux site HTTPS avec ce cadenas de confiance dans des attaques qui sont souvent décrites comme "à faible risque et à forte récompense".

Attackers’ M.O. is usually to obtain original SSL certificates for lookalike or typo-squatting domains or plain out stealing SSL certificates. Research from Deloitte found that 91% of all cyberattacks begin with a phishing email to unexpecting victims. They are typically lured to the sites via a link in an email sent from a legitimate address such as a reputable company or well-known person.

In the second quarter of this year, 90.5% of phishing sites used Domain Validated (DV) SSL Certificates. Organization Validated (OV) Certificates were the second most popular among cybercriminals and represented 9.51% of SSL Certificates. DV Certificates probably received top billing because they are easy to acquire and are often free. OV Certificates usually require the domain owner to take more steps to authenticate the site.

Only 11 sites had Extended Validation (EV) Certificates. Those sites were all legitimate sites that had been hacked rather than sites built by attackers who had somehow acquired EV certificates.

Les différents types d'attaques de phishing HTTPS

Sony Pictures est peut-être l'un des exemples les plus connus d'utilisation d'e-mails et de sites similaires pour des expéditions d'hameçonnage. En 2014, ce qui s'est probablement passé, c'est que des pirates ont envoyé de faux courriels d'identification Apple à des employés de Sony. Le personnel qui a cliqué sur le lien de l'e-mail a été dirigé vers un site Web d'Apple qui ressemblait beaucoup au vrai. Les pirates ont alors pu s'infiltrer dans l'entreprise et voler des mots de passe, des identifiants et d'autres données précieuses.

Despite Apple being popular among attackers, it didn’t even make the top ten on Vade’s annual list of the most impersonated brands in phishing attacks. For the third year running the top spot went to Microsoft. It had 30,621 unique phishing URLs. Facebook followed with 14,876 URLs and PayPal, Chase, and eBay rounded out the top five. 

Voici un examen plus approfondi de certains types courants d'attaques de phishing par HTTPS. Ces techniques sont en constante évolution, et nombre d'entre elles sont utilisées en combinaison pour constituer une menace encore plus grande.

• Man-in-the-Middle (MITM) Attack: Attackers eavesdrop on secure conversations between two parties who think they are just communicating with each other and often gain access using expired SSL certificates.
• SSL Stripping Attack: This is a form of the man-in-the-middle attack where hackers will downgrade a web connection from the more secure HTTPS to the less secure HTTP by stripping away the encryption.
• Wildcard Certificates: Attackers use a stolen private key to gain access to a wildcard certificate or they trick the certification authority into issuing it for a fake company.

L'hameçonnage HTTPS et la pandémie COVID-19

Il n'est pas surprenant que les cybercriminels profitent de la pandémie pour lancer des attaques de phishing HTTPS. Ils s'attaquent aux personnes qui traversent une période difficile en utilisant des tactiques d'ingénierie sociale qui les attirent vers des sites web frauduleux vantant tout, des remèdes aux fausses nouvelles. 

SpyCloud analyzed a list of over 136,000 hostnames and fully qualified domain names with COVID-19 or coronavirus themes. It found that 78.4% of the COVID-19-themed domains used HTTP and the rest used HTTPS.

Pandemic-related phishing attempts in June 2021 increased 33% compared to a lull in COVID-19-themed threat campaigns through the spring and early summer of 2021 when virus concerns temporarily waned. The June spike occurred right when Google searches for “Delta variant” was peaking.

There has also been an uptick in companies’ HR departments asking employees to send proof of vaccination (with the birth date!) or personal coronavirus test results via an unsecured form or upload that is ripe for hackers. Another method on the rise is sending phishing emails telling employees they are losing their jobs because of the pandemic.

Due to the pandemic, many companies have pivoted to work-from-home situations. However, organizations have been lacking in enforcing their cybersecurity protocols and employees have been operating at home with little oversight. More than half of IT leaders believe employees have picked up bad cybersecurity behaviors since working remotely.

Remote work has led to an increased reliance on cloud applications. Microsoft Office 365 has been a go-to platform for distributed workers, and it is estimated that Office 365 is used by over a million companies worldwide. The problem is that Office 365 is a favorite among hackers. There has been a high volume of multiple corporate phishing attempts to steal Microsoft Office 365 credentials. Victims are often directed to input their Microsoft login credentials on imposter sites that appear real but lack the proper SSL certificate.

Ou bien les criminels s'attaquent aux filiales de Microsoft, comme Mimecast, son service de gestion du courrier électronique basé sur le cloud. Au début de l'année, Mimecast a affirmé que des attaquants s'en étaient pris au certificat numérique qu'elle fournissait à certains clients pour connecter en toute sécurité ses produits à Microsoft 365. Le certificat compromis était très probablement un certificat SSL de confiance émis pour Mimecast.

Protéger votre entreprise contre le phishing HTTPS

As of February 2021, Google Chrome accounted for around 46% of the overall internet browser market share in the United States. Google reports that over 90% of page loads in Chrome on most operating systems occur over HTTPS compared with HTTP. Starting this year, Google’s Chrome web browser will be rolling out an optional default for “HTTPS-Only Mode.” The new setting will appear as a simple toggle under the settings security page and when set would make HTTP websites inaccessible.

Additionally, Google wants to retire the padlock icon and is considering instead trying a downward-facing chevron/caret that opens a menu to set site permissions and see other site details. In Google’s survey of moderately tech-savvy respondents, only 11% of participants could correctly identify the meaning of the padlock icon. Some thought it was the bookmark icon or the site’s favicon. And this problem is just one more layer in people’s understanding that just because a site has HTTPS, it doesn’t mean that it is guaranteed to be trustworthy.

La formation à la cybersécurité de votre entreprise comporte probablement une section sur les attaques par hameçonnage, mais vérifiez bien qu'elle couvre spécifiquement le hameçonnage lié au protocole HTTPS. Pendant longtemps, les employés ont supposé que s'ils voyaient le symbole du cadenas, ils savaient que la page qu'ils visitaient était sûre. Sensibilisez-les aux cybermenaces du protocole HTTPS afin de mieux protéger votre organisation contre les tentatives d'hameçonnage utilisant des certificats SSL .

Voici quelques conseils simples à partager avec votre entreprise :

• Si un employé reçoit un courriel suspect contenant un lien, demandez-lui de téléphoner ou d'envoyer un courriel (pas de réponse) à la personne concernée et de lui demander si c'est elle qui l'a envoyé. Cela vaut pour les personnes à l'intérieur et à l'extérieur de l'organisation.
• Examinez attentivement l'URL du site web et vérifiez s'il y a des fautes d'orthographe ou un domaine erroné, comme l'utilisation de .gov au lieu de .com. Conseillez-leur de taper l'URL directement dans leur navigateur au lieu de cliquer directement sur le lien.
• Apprenez à l'employé à survoler le lien pour vérifier si la destination est correcte. Insistez sur le fait que la personne ne doit que survoler le lien et non cliquer dessus, même s'il semble s'agir d'un site sûr.
• Évitez d'utiliser des certificats de type "wildcard" sur les systèmes de production, ce qui augmente le risque et la surface d'attaque en cas de compromission d'un serveur ou d'un certificat.