Phishing Analysis

L’analyse de phishing est une compétence quotidienne en SOC. Chaque email signalé comme suspect par un utilisateur doit être trié rapidement : est-ce du spam inoffensif, une tentative de credential harvesting, ou le vecteur initial d’un ransomware ? Cette note couvre le processus d’analyse de bout en bout.

Types de phishing§

Processus d’analyse§

1. Collecter les artefacts§

En-têtes email : indispensables. Le corps peut être trompeur, les en-têtes sont beaucoup plus difficiles à falsifier.

Artefacts à extraire :

2. Analyser les en-têtes§

Received: from mail-attacker.evil.com (203.0.113.66)
    by mx.company.com with ESMTPS id xyz123
    for <[email protected]>;
    Wed, 15 Jan 2025 09:12:33 +0100

Authentication-Results: mx.company.com;
    spf=fail (sender IP is 203.0.113.66);
    dkim=none;
    dmarc=fail (p=NONE)

Red flags dans les en-têtes :

• SPF/DKIM/DMARC en fail ou none
• Serveur d’origine (Received:) sans rapport avec le domaine affiché
• Reply-To différent du From:
• Timestamps incohérents
• X-Mailer ou User-Agent inhabituel

Outils : MXToolbox Header Analyzer, Google Admin Toolbox, msgconvert (pour .msg → .eml).

3. Analyser les URLs§

Ne jamais cliquer directement. Extraire les URLs du code source HTML.

<!-- Affichage trompeur -->
<a href="https://evil-site.com/login">https://microsoft.com/login</a>

Techniques de masquage courantes :

• Typosquatting : micros0ft.com, rnicrosoft.com (rn → m)
• Homoglyphes : miсrosoft.com (le ‘с’ est un caractère cyrillique)
• Sous-domaine trompeur : microsoft.com.evil.site.com
• URL shortener : bit.ly/xyz123
• Data URI : data:text/html;base64,...
• Redirections chaînées : Google redirect, LinkedIn redirect

Analyse safe :

4. Analyser les pièces jointes§

Ne jamais ouvrir sur un poste de production. Utiliser un environnement sandbox.

Types de pièces jointes à risque :

Analyse sandbox :

# Extraire le hash sans ouvrir le fichier
sha256sum piece_jointe.docm

# Chercher le hash sur VirusTotal
vt file <hash>

# Extraire les macros VBA
olevba piece_jointe.docm

# Analyser un PDF
pdfid document.pdf
pdf-parser --search /JS document.pdf

5. Pivoter sur les IOCs§

Chaque artefact trouvé (IP, domaine, hash, email) peut être pivoté pour trouver d’autres campagnes liées :

• IP source → AbuseIPDB, Shodan, GreyNoise, VirusTotal
• Domaine → Whois (registrar, date de création), PassiveTotal, RiskIQ
• Hash de fichier → VirusTotal, Hybrid Analysis, MalwareBazaar
• Adresse email → Hunter.io, haveibeenpwned, search dans le SIEM
• Techniques MITRE → ATT&CK Navigator pour cartographier la campagne

6. Qualifier et répondre§

Indicateurs d’un email de phishing§

Dans le contenu§

• Urgence artificielle (“votre compte sera bloqué dans 24h”)
• Fautes d’orthographe ou de grammaire inhabituelles
• Demande d’information sensible (mot de passe, numéro de carte)
• Lien qui ne correspond pas au domaine affiché
• Pièce jointe inattendue
• Ton inhabituel pour l’expéditeur supposé

Dans les métadonnées§

• Domaine expéditeur de moins de 30 jours
• SPF/DKIM/DMARC fail
• Serveur d’origine dans un pays inattendu
• En-tête X-Mailer d’un outil d’envoi de masse (PHPMailer, SendGrid si l’entreprise ne l’utilise pas)

Automatisation§

Règles SIEM§

# Pseudo-règle : email avec pièce jointe Office + macro depuis un domaine externe
source=email_gateway
| where attachment_extension IN ("docm","xlsm","pptm")
| where sender_domain NOT IN (internal_domains)
| alert "Macro-enabled attachment from external sender"

SOAR Playbook§

Un playbook phishing typique :

1. Trigger : email signalé par un utilisateur (bouton “Report Phishing”)
2. Enrichissement automatique : extraire URLs/attachments, soumettre à VirusTotal/URLScan
3. Décision : si score VirusTotal > 3 détections → malveillant
4. Réponse : bloquer le domaine dans le proxy, purger l’email de toutes les boîtes, notifier l’utilisateur
5. Clôture : créer un IOC dans la plateforme CTI, fermer le ticket

Références§

• MITRE ATT&CK T1566 — Phishing (technique d’Initial Access)
• MITRE ATT&CK T1566.001 — Spearphishing Attachment
• MITRE ATT&CK T1566.002 — Spearphishing Link
• MITRE ATT&CK T1534 — Internal Spearphishing