« AccountDumpling » : Chasse à la vague de phishing envoyée par Google compromettant plus de 30 000 comptes Facebook

Exécution de la simulation

Prérequis : Le contrôle préalable de la télémétrie et du référentiel doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT directement refléter les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non pertinents entraîneront un mauvais diagnostic.

• Narratif d’Attaque & Commandes :

  1. Reconnaissance : L’attaquant récolte une liste d’adresses e-mails des employés de Facebook à partir de sources publiques.

  2. Configuration de l’abus AppSheet : En utilisant un compte Google Workspace compromis, l’attaquant crée une application AppSheet qui envoie des notifications par e-mail. L’application est configurée pour utiliser le domaine de rebond AppSheet par défaut appsheet.bounces.google.com.

  3. Charge de Phishing : L’e-mail de notification contient un appât (« Votre mot de passe Facebook expire – réinitialisez-le maintenant ») avec un lien malveillant pointant vers une page de collecte d’identifiants.

  4. Lancement de la Campagne : L’attaquant déclenche le flux de travail AppSheet, faisant ainsi envoyer la plateforme l’e-mail conçu à la liste de cibles. Les métadonnées des e-mails résultants correspondent :

     • sender_email = noreply@appsheet.com
     • delivery_domain = appsheet.bounces.google.com

  5. Résultat : La règle SIEM évalue l’entrée de journal entrante, correspond à ces deux champs et génère une alerte.

• Script de Test de Régression : Le script ci-dessous automatise les étapes 2 à 4 en utilisant l’API Google Apps Script pour émuler une notification de style AppSheet. Il nécessite un JSON de compte de service avec l’autorisation d’envoyer des e-mails via l’API Gmail.

  # python 3.x – envoyer un e-mail de type phishing conçu via l'API Gmail
  import base64, json, sys
  from email.mime.text import MIMEText
  from google.oauth2 import service_account
  from googleapiclient.discovery import build
  
  # ---- Configuration -------------------------------------------------
  SERVICE_ACCOUNT_FILE = "service-account.json"   # <-- remplacer par le chemin
  SCOPES = ["https://www.googleapis.com/auth/gmail.send"]
  SENDER = "noreply@appsheet.com"
  RECIPIENT = "victim@facebook.com"
  SUBJECT = "Important : Action requise sur le compte Facebook"
  BODY = """
  Cher utilisateur de Facebook,
  
  Nos enregistrements indiquent que votre mot de passe expirera dans 24 heures.
  Veuillez le réinitialiser immédiatement en cliquant sur le lien ci-dessous :
  
  https://malicious.example.com/steal?uid=12345
  
  Merci,
  Équipe de sécurité Facebook
  """
  # --------------------------------------------------------------------
  
  credentials = service_account.Credentials.from_service_account_file(
      SERVICE_ACCOUNT_FILE, scopes=SCOPES)
  
  try:
      service = build('gmail', 'v1', credentials=credentials)
      message = MIMEText(BODY, "plain")
      message["to"] = RECIPIENT
      message["from"] = SENDER
      message["subject"] = SUBJECT
      # Add custom header to mimic AppSheet bounce domain
      message["X-Delivery-Domain"] = "appsheet.bounces.google.com"
  
      raw = base64.urlsafe_b64encode(message.as_bytes()).decode()
      send_body = {"raw": raw}
      result = service.users().messages().send(userId="me", body=send_body).execute()
      print(f"Message sent, ID={result['id']}")
  except Exception as e:
      print(f"Error sending email: {e}", file=sys.stderr)
      sys.exit(1)

• Commandes de Nettoyage : Supprimer le message de test du dossier de messages envoyés et révoquer le jeton du compte de service.

  # PowerShell – supprimer le message de test du dossier Envoyés de Gmail en utilisant l'API Gmail
  $serviceAccount = "service-account.json"
  $scopes = @("https://www.googleapis.com/auth/gmail.modify")
  $cred = (Get-Content $serviceAccount | ConvertFrom-Json) | `
          New-Object Google.Apis.Auth.OAuth2.ServiceAccountCredential `
              -ArgumentList ([Google.Apis.Auth.OAuth2.ServiceAccountCredential]::Initializer) `
              -Property @{Scopes = $scopes}
  $gmail = New-Object Google.Apis.Gmail.v1.GmailService -ArgumentList $cred
  
  # Récupérer l'identifiant du message (remplacer par l'identifiant réel du script d'envoi)
  $msgId = "INSERT_MESSAGE_ID_HERE"
  $gmail.Users.Messages.Delete("me", $msgId).Execute()
  Write-Host "E-mail de test supprimé."