Campagne de phishing « Zoom » : comment les cybercriminels falsifient les alertes de la SSA et exploitent ConnectWise ScreenConnect

Les attaques de hameçonnage actuelles exploitent de plus en plus les plateformes SaaS de confiance, les outils de collaboration bien connus et les logiciels informatiques légitimes pour se dissimuler à la vue de tous. En s’intégrant aux flux de travail quotidiens des entreprises et en tirant parti des services auxquels les utilisateurs font déjà confiance, les attaquants compliquent la détection, contournent les contrôles de sécurité de base et augmentent considérablement leurs chances de réussite. L’incident suivant illustre comment cette approche dite « living-off-the-land » est utilisée pour mener à grande échelle des campagnes de hameçonnage extrêmement convaincantes.

En juin 2025, l’ INKY a détecté une campagne de hameçonnage en chaîne qui exploitait l’infrastructure de notification légitime de Zoom pour diffuser des e-mails contenant des liens vers un document Zoom (docs.zoom.us) hébergeant un fichier malveillant à télécharger. Cette campagne visait les bénéficiaires de l’Administration de la Sécurité sociale des États-Unis (SSA) en usurpant l’identité des alertes de la SSA et en tirant parti de la confiance associée aux communications de Zoom.

Protégez-vous contre les e-mails malveillants grâce à Kaseya Inky

Bloquez les attaques de hameçonnage sophistiquées et les menaces par e-mail avant qu’elles n’atteignent les utilisateurs grâce à INKY

Commencer

Une fois que les destinataires avaient cliqué sur le lien figurant dans le document Zoom, on leur demandait de télécharger uneapplication dite «SSA Desktop App », qui était en réalité une version renommée du client d’accès à distance ConnectWise ScreenConnect (anciennement ConnectWise Control). Cette attaque illustre la manière dont les cybercriminels exploitent des plateformes SaaS légitimes (Zoom) et des outils d’assistance à distance (ScreenConnect) pour en faire des logiciels malveillants de type « living-off-the-land ».

The email was sent from “SSA Notify <noreply‑zoomevents@zoom.us>” with the subject line “SSA Alert.” It passed SPF, DKIM and DMARC checks because it was delivered via Zoom’s Events infrastructure, allowing it to bypass unsophisticated email filters. The body of the email included the heading “Earnings Record Review Required” and warned the recipient of a potential discrepancy in their 2025 earnings record. It instructed the recipient to use a desktop or laptop, download a “secure SSA Desktop App” and sign in with SSA credentials. The call‑to‑action was a “VIEW FILE” button linking to a Zoom document hosted at docs.zoom.us. The message was designed to create urgency and used official SSA branding, making the phishing message appear legitimate.

Figure 1 : Un e-mail de hameçonnage ressemblant à une notification Zoom

Utilisation abusive de Zoom Docs pour héberger des liens malveillants

La fonctionnalité de partage de documents de Zoom s'est transformée en un vecteur de diffusion involontaire, permettant à une charge utile de hameçonnage de provenir d'un domaine de confiance et de contourner les contrôles de sécurité de base des e-mails.

Comment Zoom a été détourné de son usage initial

Zoom propose des fonctionnalités telles que Zoom Events et Zoom Docs. Lorsqu’un utilisateur partage un document Zoom Docs, Zoom envoie un e-mail de notification depuis son propre domaine. Les pirates ont exploité ce mécanisme en créant un document Zoom contenant le message de hameçonnage et en le partageant avec leurs cibles. L’e-mail provenant de noreply**‑**zoomevents@zoom.us, il était signé cryptographiquement (SPF/DKIM/DMARC), ce qui lui a permis de contourner de nombreux contrôles de sécurité des e-mails et de paraître légitime.

L'e-mail de hameçonnage contenait un premier lien vers docs.zoom.us/doc/

Ce document hébergé sur Zoom a constitué la première étape de l'attaque. Il reprenait l'identité visuelle de la SSA et indiquait que l'accès depuis un mobile était restreint, précisant que l'utilisateur devait utiliser un ordinateur de bureau et télécharger une « application de bureau SSA sécurisée » (voir les captures d'écran fournies). Le document Zoom imitait un communiqué officiel, énumérant sous forme de liste à puces les étapes à suivre pour vérifier l'historique professionnel récent et les cotisations fiscales. Il demandait ensuite à l'utilisateur de :

1. Utilisez un ordinateur de bureau ou un ordinateur portable.
2. Téléchargez l'application de bureau sécurisée SSA à partir du lien fourni.
3. Connectez-vous avec vos identifiants SSA.

Un lien hypertexte bleu intitulé « Télécharger l'application de bureau maintenant » redirigeait vers un domaine externe (lawsmith.com/redir2), qui n'est pas affilié à la SSA. Le document Zoom a donc servi de point de relais, redirigeant la victime depuis un domaine Zoom de confiance vers un site malveillant hébergeant le logiciel malveillant.

Figure 2 : Première moitié du document sur le phishing via Zoom

Figure 3 : Deuxième partie du document de hameçonnage concernant Zoom, contenant le lien vers le domaine externe

Cette attaque a été efficace car elle a exploité l'infrastructure légitime de Zoom et a permis d'envoyer des e-mails de hameçonnage depuisl'adresse noreply-zoomevents@zoom.us avec des en-têtes authentifiés. Les victimes ont été amenées à cliquer sur un lien vers un document Zoom, auquel de nombreux utilisateurs et filtres d'URL basiques accordent leur confiance. Le document Zoom redirigeait ensuite les utilisateurs vers un deuxième lien malveillant, illustrant ainsi une technique de hameçonnage de type « ChainLink ».

Le document redirigeait les utilisateurs vers un fichier exécutable nommé « Document‑needs_Signing‑PDF.ClientSetup.exe », que VirusTotal a identifié comme un outil d'accès à distance ConnectWise déguisé en application SSA.

Figure 4 : Résultats de VirusTotal

Fonctionnement de la technique du cheval de Troie « ConnectWise ScreenConnect »

Pour parachever la chaîne d'attaque, la campagne de hameçonnage est passée de l'ingénierie sociale à l'accès à distance en exploitant un outil d'assistance informatique largement déployé et considéré comme fiable dans les environnements d'entreprise.

Un outil légitime détourné pour servir de logiciel malveillant

ConnectWise ScreenConnect (anciennement ConnectWise Control) est un outil de surveillance et de gestion à distance (RMM) utilisé par les équipes d’assistance informatique pour contrôler à distance les terminaux. ScreenConnect offre aux techniciens un contrôle total sur l'ordinateur d'un utilisateur. C'est pourquoi une installation non autorisée peut s'avérer dangereuse, car les attaquants peuvent exécuter des scripts, transférer des fichiers ou installer des logiciels malveillants supplémentaires à l'insu de la victime. Dans le cadre de campagnes de phishing, les cybercriminels incitent souvent les victimes à télécharger un client ScreenConnect renommé et déguisé en facture ou, dans le cas présent, en document de la SSA. Une fois l'installation effectuée, l'attaquant peut se connecter à l'appareil de la victime et exfiltrer des informations sensibles telles que des coordonnées bancaires et des numéros d'identification personnels.

Le bulletin de sécurité de Broadcom a signalé une forte augmentation de l'utilisation malveillante des outils RMM de ConnectWise par les auteurs de ransomware et d'autres acteurs de la cybercriminalité ; les attaquants diffusent des pièces jointes à des e-mails ou des URL malveillantes via les clients ConnectWise, sous la forme de faux documents professionnels ou administratifs, afin de permettre aux cybercriminels d'accéder à distance aux systèmes.

ScreenConnect étant un logiciel légitime et signé, de nombreux moteurs antivirus le considèrent comme un logiciel fiable. Les cybercriminels exploitent cette situation pour échapper à la détection, une tactique souvent appelée « living off the land ». Au lieu de déployer des logiciels malveillants sur mesure, ils utilisent des outils fiables pour exercer un contrôle à distance. L'utilisation à des fins malveillantes d'un outil d'administration informatique légitime, combinée à l'ingénierie sociale, offre aux attaquants le double avantage de pouvoir exploiter la confiance des utilisateurs et de contourner les mesures de sécurité.

Résumé de la chaîne d'attaques et de ses répercussions

1. E-mail de hameçonnage initial : une alerte convaincante de la SSA est envoyée depuis l'adresse noreply‑zoomevents@zoom.us avec un objet indiquant un caractère d'urgence. L'e-mail passe les vérifications SPF/DKIM/DMARC et comporte des éléments de l'image de marque de Zoom, ce qui lui permet de contourner les filtres.
2. Lien vers un document Zoom : l'e-mail incite l'utilisateur à cliquer sur « Afficher le fichier », ce qui le redirige vers un document hébergé à l'adresse docs.zoom.us/doc/. Comme cette URL se trouve sur le domaine zoom.us, elle est considérée comme fiable par de nombreux systèmes de sécurité et utilisateurs.
3. Faux document de la SSA : le document Zoom comporte les logos de la SSA et avertit le destinataire que l'accès depuis un appareil mobile est restreint. Il invite l'utilisateur à utiliser un ordinateur de bureau et à télécharger l'« application de bureau sécurisée de la SSA ». Cet appel à l'action renvoie vers un site externe (lawsmith.com/redir2 dans le cas présent), qui héberge le fichier malveillant. Cette chaîne de redirections (Zoom → domaine externe) est connue sous le nom de « ChainLink phishing ».
4. Téléchargement malveillant : le lien externe déclenche automatiquement le téléchargement d’un fichier exécutable déguisé en fichier PDF ou en application SSA (par exemple, « Document‑needs_Signing‑PDF.ClientSetup.exe »). VirusTotal identifie ces fichiers comme « Trojan.ConnectWise/ScreenConnect » ; il s’agit en réalité de clients ScreenConnect préconfigurés pour se connecter à l’attaquant.
5. Installation et contrôle à distance : lorsque la victime exécute le fichier, celui-ci installe ScreenConnect à son insu. Le programme d’installation extrait un fichier Microsoft Software Installer (.msi), le signe avec la signature de l’exécutable principal et utilise msiexec.exe pour installer ScreenConnect. Le client se connecte ensuite à un domaine contrôlé par le pirate sur un port spécifié, ce qui permet à ce dernier de prendre le contrôle à distance du système.
6. Actions post-compromission : Grâce au contrôle à distance, le pirate peut exécuter des commandes, transférer des fichiers, installer des logiciels malveillants supplémentaires (par exemple, des ransomwares) ou voler des données. Il peut manipuler des écrans de services bancaires pour inciter les victimes à effectuer des virements. Les pirates peuvent également se propager vers d’autres systèmes en utilisant le compte de messagerie compromis pour envoyer d’autres e-mails de hameçonnage (hameçonnage latéral).

Conséquences possibles

• Usurpation d'identité et fraude financière : les cybercriminels qui utilisent ScreenConnect s'emparent de données sensibles telles que des coordonnées bancaires, des numéros d'identification personnels et des fichiers confidentiels. Ils peuvent alors effectuer des transactions frauduleuses ou se livrer à des actes d'usurpation d'identité.
• Compromission du réseau : une fois l'accès à distance établi, les attaquants peuvent se déplacer latéralement au sein d'une organisation, installer des outils supplémentaires, mettre en place des mécanismes de persistance et, éventuellement, déployer un rançongiciel.

Bonnes pratiques : conseils et recommandations

1. Sensibilisez les utilisateurs à la prudence face aux invitations non sollicitées à des événements Zoom et aux alertes SSA.

2. Évitez de télécharger des fichiers provenant d'e-mails inattendus.

3. Vérifiez les invitations aux événements Zoom par d'autres moyens (communication directe et vérification auprès de l'expéditeur).

4. Mettez en place l'authentification multifactorielle (MFA) et sécurisez les comptes Zoom. Les pirates risquent fort d'exploiter des comptes Zoom compromis. L'activation de la MFA sur les plateformes de collaboration et la surveillance des activités de connexion inhabituelles permettent d'atténuer ce type d'abus.

5. Les outils anti-malware devraient classer les clients de support à distance détournés comme des logiciels à risque. Les solutions de détection et de réponse au niveau des terminaux (EDR) peuvent également surveiller l'installation d'outils RMM par le fichier msiexec.exe.

6. Vérifiez l'en-tête « À ». Il est suspect que des notifications de la SSA soient envoyées via Zoom.

Conclusion

La campagne de hameçonnage analysée ici illustre une forme sophistiquée d’exploitation de la chaîne d’approvisionnement : les attaquants ont détourné le système légitime d’envoi d’e-mails de Zoom pour envoyer des messages de hameçonnage ressemblant à des notifications officielles de la SSA, et ont hébergé des liens malveillants sur Zoom Docs afin de contourner les filtres d’URL. En persuadant les victimes de télécharger un client ConnectWise ScreenConnect renommé, les attaquants prennent le contrôle à distance de leurs ordinateurs sans déployer de logiciels malveillants traditionnels. Cette campagne souligne l’importance de vérifier les communications inattendues, de surveiller l’utilisation des outils d’assistance à distance et de mettre en place une authentification multifactorielle sur les plateformes de collaboration. Alors que les acteurs malveillants exploitent de plus en plus les outils légitimes à des fins malveillantes, les organisations doivent mettre à jour leurs contrôles de sécurité afin de détecter les abus commis à l’encontre de services de confiance et sensibiliser leurs utilisateurs aux tactiques d’hameçonnage en constante évolution.