Contexte
À 09h14, une alerte de haute priorité s’est déclenchée pour un e-mail entrant suspect envoyé à deux membres de l’équipe finance.
Le message usurpait l’identité d’un fournisseur connu et demandait une confirmation de paiement urgente via un lien intitulé « View Invoice ».
Étapes de l’investigation
- Vérifié la réputation de l’expéditeur et l’alignement SPF, DKIM et DMARC.
- Extrait les URL du corps de l’e-mail et analysé le comportement de redirection en sandbox.
- Passé en revue l’activité des boîtes mail et la télémétrie endpoint des deux destinataires.
- Corrélé les indicateurs avec les flux de threat intel et les détections internes passées.
Constats
Le domaine de l’expéditeur venait d’être enregistré et échouait à l’alignement DMARC.
Le lien intégré redirigeait via deux domaines éphémères avant d’aboutir sur une fausse page de connexion Microsoft 365.
Un utilisateur a cliqué sur le lien mais n’a pas saisi ses identifiants. Aucune exécution de malware n’a été détectée sur les postes.
MITRE ATT&CK
- Initial Access > Phishing: Spearphishing Link (T1566.002)
- Credential Access > Phishing: Input Capture (T1056) (tentative)
IOC (indicateurs de compromission)
| Type | Indicateur | Notes |
|---|---|---|
| Domaine | invoice-secure-check.com | Domaine récemment enregistré, utilisé pour la première redirection |
| Domaine | m365-auth-verify.net | Héberge la fausse page de connexion |
| IP | 185.244.25.91 | Serveur observé lors de la résolution en sandbox |
| Hash | N/A | Pas de pièce jointe dans ce cas |
| URL | hxxps://invoice-secure-check[.]com/open?id=8472 | URL malveillante neutralisée (defanged) |
Chronologie
| Heure | Événement |
|---|---|
| 09:14 | Alerte reçue (expéditeur suspect + motif d’URL) |
| 09:18 | Début de l’investigation dans la console de sécurité e-mail |
| 09:27 | Chaîne de redirection malveillante confirmée en sandbox |
| 09:34 | Message mis en quarantaine, expéditeur et domaine bloqués |
| 09:42 | Utilisateur contacté pour vérification (aucun identifiant saisi) |
| 09:50 | Dossier documenté et clôturé avec des actions de surveillance |
Résultat
Le confinement et le blocage ont été terminés dans la matinée ; le dossier a été clôturé après revue L2, avec une surveillance continue sur la nouvelle logique de détection.
Leçons apprises
- Ajouter un enrichissement automatique de l’âge du domaine pendant le triage pour réduire les vérifications manuelles.
- Compléter le playbook avec une étape dédiée à la vérification des interactions de l’utilisateur.
- Créer un modèle de réponse réutilisable pour les campagnes de phishing visant la finance.
- Technique : la règle de détection aurait pu se déclencher plus tôt si l’âge du domaine (ou la date récente d’enregistrement) était pondéré dans la logique de corrélation : à tester comme condition supplémentaire sur des campagnes similaires.