Une attaque de phishing ciblant le fournisseur de messagerie cryptographique MailerLite a permis à des pirates informatiques de se faire passer pour de grandes sociétés du Web3 et de voler plus de 600 000 $ en envoyant des liens épuisant leur portefeuille à des abonnés sans méfiance. Le stratagème a commencé lorsque les employés de MailerLite ont eux-mêmes été victimes d’une attaque de phishing.
TLDR
- Les pirates ont accédé au système de MailerLite grâce à une attaque de phishing ciblant un employé
- Ils ont pu accéder à des comptes liés à la cryptographie et se faire passer pour des entreprises légitimes.
- Des e-mails de phishing ont été envoyés à partir de comptes compromis avec des liens vers des logiciels malveillants qui drainent le portefeuille.
- Les grandes sociétés Web3 comme CoinTelegraph, WalletConnect et De.Fi ont été touchées
- Plus de 600 000 $ de fonds cryptographiques ont été volés lors de l’attaque de phishing.
Le 23 janvier, un représentant du support client de MailerLite a répondu à ce qui semblait être une demande légitime d’un client. Cependant, l’image ci-jointe contenait en réalité une fausse page de connexion Google utilisée pour récolter les informations d’identification de l’employé. Ayant accès au panneau d’administration interne, les attaquants ont augmenté leurs autorisations en réinitialisant le mot de passe d’un utilisateur.
Les pirates se sont concentrés sur les comptes liés aux cryptomonnaies connectés au service de messagerie, accédant à un total de 117 comptes. Même si tous les comptes n’ont pas été exploités, certains des plus grands noms du Web3 se sont retrouvés involontairement transformés en rampes de lancement de phishing. La principale publication cryptographique CoinTelegraph ainsi que les applications de premier plan WalletConnect, Token Terminal et De.Fi ont vu leurs comptes compromis.
En contrôlant les comptes, les attaquants ont pu créer des e-mails semblant provenir d’entreprises légitimes. Les e-mails exhortaient les abonnés à cliquer sur des liens qui conduisaient en fait à un logiciel drainant le portefeuille conçu pour voler des fonds cryptographiques.
En enveloppant leurs tentatives de phishing dans un format familier provenant d’une source fiable, le stratagème a réussi à piéger de nombreuses victimes. Les détectives de la cybersécurité ont retracé le total des vols jusqu’à plus de 600 000 $ provenant des portefeuilles cryptographiques des utilisateurs. Une partie des fonds a été rapidement acheminée via le protocole de confidentialité Railgun pour tenter d’effacer la trace de l’argent. Pourtant, l’analyse de la blockchain a révélé que plus de 580 000 $ pouvaient être attribués à l’arnaque de phishing MailerLite.
L’attaque en plusieurs étapes a tiré parti d’une tactique connue sous le nom de « DNS suspendu ». Même après que les clients ferment leurs comptes MailerLite, les enregistrements DNS reliant les domaines aux serveurs MailerLite restent actifs. Cette vulnérabilité a permis aux pirates d’usurper l’identité de domaines qui n’utilisaient plus le fournisseur de messagerie depuis longtemps.
MailerLite affirme avoir réussi à stopper la violation après avoir détecté l’activité suspecte. Mais l’entreprise admet que plus de 100 comptes clients ont été consultés lors de l’incident, avec des informations personnelles telles que des noms, des adresses e-mail et des données téléchargées exposées.
MailerLite a déclaré qu’ils corrigeaient les failles de sécurité et amélioraient la formation des employés pour empêcher des attaques similaires à l’avenir.
Voir l’article original en anglais
