Les messages d'hameçonnage ciblant USPS enregistrent autant de trafic web qu'USPS lui-même

• Suite à la période des fêtes 2023, les chercheurs d'Akamai ont découvert un nombre important d'activités et de domaines malveillants prétendant être associés à USPS, le service postal des États-Unis.

• Les chercheurs d'Akamai ont comparé cinq mois de trafic DNS vers le domaine légitime, usps[.]com, au trafic DNS vers des noms de domaine illégitimes utilisant le combosquatting. 

• Grâce à cette analyse, nous avons découvert que le nombre de requêtes DNS vers les domaines malveillants identifiés correspondait généralement à peu près au nombre de requêtes vers usps[.]com, et le dépassait même pendant les périodes de pic d'activité.

Les filtres que nous avons appliqués sont assez stricts : Nous n'incluons pas les noms de domaine complets comme us.ps393[.]com ou usps.parceltracker-us[.]com, car ils impliquent le sous-domaine. Pour plus de précision, nous avons collecté uniquement les échantillons les plus évidents qui utilisent la technique de combosquatting.

Nos paramètres stricts nous ont permis d'être extrêmement prudents dans notre analyse. Malgré cela, nous avons observé une quantité extraordinaire de trafic malveillant, ce qui montre à quel point l'impact réel de ces usurpations d'identité est impressionnant. Nous aurions certainement pu collecter beaucoup plus de domaines malveillants qui usurpent l'identité d'USPS, mais il était essentiel d'éviter d'inclure des faux positifs dans cet ensemble de données.

Toutes les statistiques qui suivent sont dérivées de l'échantillon de données disponible pour cette analyse. Ce très grand échantillon n'en reste pas moins un échantillon, qui, en tant que tel, montre des chiffres inférieurs à la réalité. Cela vaut aussi bien pour l'ensemble de données malveillant que pour l'ensemble de données usps[.]com légitime.

Tableau 1 : Domaines malveillants qui ont enregistré la plus grande partie du trafic DNS

En observant les barres bleues de la figure 3, on voit qu'usps-stampservice[.]com a commencé à enregistrer du trafic le 23 novembre, soit un jour avant le Black Friday. Il a été actif jusqu'au 1er décembre, puis a cessé d'enregistrer du trafic. Nous supposons que c'est parce que les cybercriminels ont cessé d'envoyer des SMS aux victimes potentielles à ce moment-là. Le site web a probablement également été fermé à cette époque, car nous ne pouvons pas y accéder actuellement.

Regardons maintenant l'autre domaine : uspspost[.]me (les barres orange de la figure 3). Ce domaine semble avoir ciblé la période de Noël et, curieusement, le 6 décembre. Si le facteur déclencheur était la Saint-Nicolas,cela signifie que la campagne ciblait un créneau très spécifique, car la Saint-Nicolas n'est célébrée que dans quelques endroits aux États-Unis. Cette campagne ciblait peut-être également les clients du Cyber Monday qui s'étaient réveillés un peu tard.

Tableau 2 : Les TLD les plus populaires associés aux domaines de base malveillants

Le TLD [.]com est le plus populaire pour enregistrer de nouveaux domaines. Nous observons près de 4 500 domaines .com uniques dans nos données. Cela n'est pas surprenant car un TLD [.]com peut créer un sentiment de familiarité et de légitimité auprès de victimes potentielles du monde entier.

Le TLD [.]top semble être l'autre TLD préféré des acteurs malveillants. Il arrive en deuxième position avec plus de 3 000 noms de domaine différents. Ce TLD générique est géré par une société de technologie basée en Chine et l'on sait qu'il est utilisé de manière malveillante dans des campagnes d'hameçonnage.

Curieusement, le TLD [.]world n'apparaît pas dans le tableau. C'est parce que pour [.]world, nous avons comptabilisé un total de 170 126 requêtes (un chiffre très élevé, presque autant que [.]com et [.]top), mais 99,5 % d'entre elles ont été faites à usps-post[.]world (rappelez-vous qu'usps-post[.]world était le nom de domaine qui a reçu le plus de requêtes). Nous n'avons trouvé que quelques noms de domaine sous ce TLD.

Tableau 3 : Adresse IP des domaines de base malveillants

Les adresses IP appartenant à QuadraNet ont seulement quelques noms de domaine pointant vers elles, mais elles enregistrent tout de même de grandes volumes de trafic.

Les adresses IP pointant vers Amazon ont un grand nombre de noms de domaine associés, mais chaque domaine est responsable d'une petite quantité de requêtes.

L'explication la plus probable est que nous avons ici affaire à deux attaques d'hameçonnage différentes. Pour l'une d'entre elles, les fraudeurs ont pris la décision de répartir le trafic sur de nombreux noms de domaine différents.  L'autre campagne utilise seulement quelques domaines, qui connaissent chacun un trafic important.

Nous pouvons également examiner ce qui se passe au fil du temps. La figure 7 affiche les mêmes chiffres agrégés par semaine.

Non seulement le trafic est relativement équivalent pendant une journée type, mais certaines semaines, les domaines malveillants reçoivent plus de requêtes qu'usps.com lui-même. Ces pics ont lieu autour de Thanksgiving (Black Friday) et des vacances de Noël, la période de livraison la plus importante de l'année aux États-Unis.

Il semble que les acteurs malveillants soient parfaitement conscients de ces périodes où l'on offre beaucoup de cadeaux et planifient leurs campagnes d'hameçonnage USPS en conséquence. Ce qui est bien sûr tout à fait logique de leur part, car un grand nombre de personnes reçoivent des colis autours de ces dates. De plus, les fêtes de fin d'année sont une période particulièrement chargée pour les gens, ce qui augmente les chances qu'ils fassent des erreurs de négligence qu'ils ne feraient peut-être pas à un autre moment de l'année, par exemple cliquer sur des messages d'arnaque de ce genre.

Nous avons constaté qu'USPS subissait des escroqueries par message, en particulier pendant les périodes de Noël et de Thanksgiving, car l'achat de cadeaux est très fréquent pendant ces périodes.

Le nombre total de requêtes des domaines malveillants est presque le même que celui d'usps[.]com, même si l'on ne compte que les domaines incluant explicitement l'acronyme USPS. Bien qu'USPS l'emporte avec 51 % du total des requêtes pour la période de 5 mois examinée dans le cadre de cette analyse, notre méthode de filtrage des données suggère que le trafic malveillant est en réalité largement supérieur au trafic légitime. Nous avons utilisé USPS comme exemple, mais cette technique de combosquatting est utilisée dans le monde entier dans des campagnes d'hameçonnage, et ce pour une bonne raison : elle remporte un succès fou.

Nous avons observé deux approches différentes utilisées par les acteurs malveillants : soit ils répartissent le trafic sur de nombreux noms de domaine différents, soit ils utilisent seulement quelques domaines qui enregistrent chacun un trafic important. Ils agissent peut-être ainsi pour brouiller les pistes : les opérateurs et autres fournisseurs d'hébergement sont conscients de l'omniprésence de ces escroqueries et tentent d'identifier et de supprimer les pages en question. Compte tenu de l'attention accordée pour éliminer ces escroqueries, leurs résultats et nos observations sont encore plus préoccupants.

Nous continuerons à surveiller ces menaces et à en rendre compte, tant pour nos clients que pour la communauté de la sécurité dans son ensemble.