Phishing aux couleurs d’OVH et du Crédit Agricole

Des phishing, depuis l’existence de ZATAZ, j’en ai vu des centaines de milliers. Fournisseurs d’accès à Internet, hébergeur, banques … il y en a pour tous les goûts et toutes les couleurs. Le dernier cas en date est d’une efficacité redoutable : il vise OVH et le Crédit Agricole.

Ce phishing OVH / Crédit Agricole prend une nouvelle tournure en ce qui concerne la mise en place de cette cybermalveillance.

D’abord, le pirate a enregistré le nom de domaine : creditagriccole.com. [La vraie adresse est https://www.credit-agricole.fr/]. Une location effectuée chez GoDaddy le 16 mars 2019. Dix jours plus tard, personne n’a rien vu. Le typosquatting est toujours en place (agriccole] et l’hameçonnage malveillant est lancé.

L’attaque ne vise pas la banque Française mais l’hébergeur Français OVH. Le numéro 1 Européen de l’hébergement voit ses clients visés afin de leur soustraire données de connection à leur espace d’administration, mais aussi et surtout, à leurs données bancaires. A ce nom de domaine s’affiche fièrement un https rassurant.

Bref, beaucoup de détails qui pourront piéger sans aucun problème un internaute peu averti, ou peu regardant sur sa cybersécurité.

Un courriel classique

Le courriel usurpateur est quand à lui classique. Il est tiré d’un kit pirate diffusé dans plusieurs blackmarket que ZATAZ surveille. Les malveillants peuvent choisir plusieurs messages différents, langues … Votre domaine est actuellement hébergé chez Ovh. Notre système de relance a détecté que votre compte est expiré et ceci malgré les relances que vous avez reçues. » Ce texte est le plus utilisé chez les hameçonneurs ciblant les clients OVH.

Les escrocs exploitent un outil dédié. Il permet de fournir l’url de la fausse page. Il offre aussi comme option le choix de la BDD d’adresses mails trouvées et/ou acquises dans le black market qui ciblera les internautes. Le Service Veille à pu repérer, par exemple, une base de données de +76 000 mails appartenant à des clients d’OVH.

BDD qui servira très certainement à ce genre d’arnaque.