Google alerte sur un groupe de hackers qui vole vos identifiants avec une ruse redoutable

Un nouveau groupe de hackers inonde d'abord votre boîte mail de spam, puis vous contacte sur Microsoft Teams en se faisant passer pour le support informatique. Un simple clic suffit ensuite à leur livrer vos identifiants et le contrôle complet de votre appareil.

Les cyberattaques par ingénierie sociale se multiplient et gagnent en sophistication. Les pirates ne cherchent plus seulement à forcer les systèmes de leurs cibles. Des attaques récentes poussent les utilisateurs Windows à exécuter eux-mêmes des commandes qui installent un malware. Ces méthodes évoluent rapidement, et les outils professionnels du quotidien deviennent de nouveaux vecteurs d'attaque pour les cybercriminels.

Google vient d'identifier un nouveau groupe de hackers baptisé UNC6692. Sa méthode repose sur une arnaque en deux temps ciblant les messageries d'entreprise. Des millions de smartphones Android ont récemment été infectés par des campagnes similaires déployées via des applications du Play Store. Ce collectif, encore peu documenté, utilise des outils sur mesure pour piéger ses victimes et dérober leurs données.

UNC6692 exploite Microsoft Teams pour voler vos identifiants et prendre le contrôle de votre appareil

UNC6692 cible d'abord les messageries de ses victimes en les saturant de milliers de spams. Selon le rapport de Google Threat Intelligence, le groupe contacte ensuite ces mêmes cibles via Microsoft Teams. Il exploite la fonction inter-organisations de l'application pour se faire passer pour le support informatique. Les pirates partagent alors un lien vers une fausse page de diagnostic. La victime est invitée à y saisir son adresse mail et son mot de passe. Une fausse vérification s'affiche pendant que le malware se déploie en arrière-plan. Si la connexion échoue au premier essai, ce n'est pas un accident. Ce dernier programme volontairement cet échec pour récupérer un identifiant valide.

Une fois les données volées, la page déclenche silencieusement l'installation d'un framework malveillant composé de trois outils. SnowBelt est une extension de navigateur qui s'installe discrètement pour maintenir un accès permanent à l'appareil. SnowGlaze établit un tunnel chiffré permettant d'extraire des données vers les serveurs d'UNC6692. SnowBasin est une porte dérobée qui offre aux pirates un contrôle total sur la machine compromise. Lorsque la victime voit apparaître un message de confirmation, les hackers ont déjà sécurisé ses identifiants, l'appareil est alors entièrement entre leurs mains.