Le cœur de la stratégie de Morphing Meerkat repose sur l’utilisation des enregistrements MX DNS pour détecter le fournisseur d’email de la victime. La plateforme délivre alors une fausse page de connexion, choisie parmi plus de 100 marques usurpées, personnalisée selon le service de messagerie ciblé. Ces pages sont diffusées dynamiquement via Cloudflare DoH ou Google Public DNS, augmentant considérablement les chances de vol de données d’identification.
Les chercheurs ont également identifié que la distribution de spam provient d’un réseau de serveurs centralisés, principalement hébergés au Royaume-Uni et aux États-Unis. La campagne exploite des failles de redirection ouverte sur des plateformes publicitaires de confiance comme DoubleClick, ainsi que des sites WordPress compromis, pour contourner les filtres de sécurité des emails.
Depuis ses débuts ciblant Gmail et Outlook, la plateforme s’est rapidement développée. Mi-2023, elle prenait déjà en charge plus de 114 designs de marques et proposait des traductions dans plusieurs langues, dont le chinois, le russe et l’espagnol.
La collecte des identifiants volés est réalisée via EmailJS, des scripts PHP, des requêtes AJAX, et même des APIs de bots Telegram. Des mesures anti-analyse, comme le blocage du clavier et du clic droit, l’obfuscation du code et des techniques de camouflage, rendent la détection difficile, même pour les chercheurs chevronnés.
Les organisations sont invitées à renforcer la sécurité DNS, surveiller le trafic DNS chiffré, et limiter l’accès aux services non essentiels afin de se protéger contre cette menace en constante évolution.
Source: HackRead
Le European Cyber Intelligence Forum est un think tank à but non lucratif spécialisé dans le renseignement et la cybersécurité, offrant des services de conseil aux entités gouvernementales. Pour atténuer les menaces potentielles, il est important de mettre en œuvre des mesures supplémentaires de cybersécurité avec l’aide d’un partenaire de confiance comme INFRA www.infrascan.net, ou vous pouvez essayer vous-même en utilisant check.website.