Alerte phishing : un email ANBSC installe un malware en un clic — voici comment éviter l’infection
Une campagne de phishing ciblée : attention à l’email frauduleux se faisant passer pour l’ANBSC
Les équipes du CERT‑AgID (Computer Emergency Response Team de l’Agence pour l’Italie Numérique) viennent de mettre au jour une campagne de phishing sophistiquée qui cible des destinataires par e‑mail en se faisant passer pour une agence nationale italienne. Le message, reçu fin février, invite la victime à consulter une prétendue irrégularité fiscale et l’encourage à cliquer sur un lien. Derrière ce simple clic se cache une chaîne automatisée de téléchargements et d’exécutions visant à installer un logiciel malveillant de type RAT (Remote Access Trojan) sur la machine de la victime.
Comment repérer le faux e‑mail : indices évidents
Malgré la complexité technique du stratagème, le message présente dès le départ des signes d’amateurisme qui auraient dû alerter un destinataire vigilant. L’objet de l’e‑mail (« Informare servicii online ANBSC ») comporte des erreurs linguistiques et orthographiques manifestes. L’expéditeur prétend appartenir à l’ANBSC (l’Agence nationale pour l’administration et la destination des biens saisis et confisqués), mais le corps du message réfère à une « autre agence » inexistante, ce qui trahit une malfaçon dans la préparation de la campagne.
Le déroulé technique de l’attaque : du ZIP au code injecté
La mécanique révélée par les experts du CERT‑AgID est méthodique et automatisée :
Le flux est conçu pour rendre l’analyse et la détection plus difficiles : injection dans explorer.exe, utilisation d’outils légitimes (Python), et recours à des sources publiques (Pastebin) pour récupérer des paramètres de configuration.
Quel malware est visé ? XWorm suspecté
Selon les informations collectées et les corrélations observées (notamment sur VirusTotal), le serveur C2 semble lié à XWorm, un RAT connu pour permettre un contrôle à distance étendu : exfiltration de données, prise de captures d’écran, enregistrement audio, exécution de commandes, déploiement de modules additionnels. Néanmoins, au moment de l’analyse, le payload final n’a pas été formellement confirmé par les équipes comme étant XWorm — la prudence reste de mise tant que des éléments forensiques définitifs n’ont pas été extraits.
Pourquoi cette campagne est‑elle dangereuse ?
Plusieurs caractéristiques rendent l’attaque risquée :
Qui est visé et quelles conséquences ?
La campagne semble largescalée et opportuniste : toute personne recevant l’e‑mail et cliquant sur le lien est à risque, mais les conséquences sont particulièrement graves pour les professionnels traitant des données sensibles (comptabilité, ressources humaines, finances) : exfiltration de données, compromission de comptes, ransomware ultérieur, mouvement latéral dans le réseau de l’entreprise.
Les bonnes pratiques pour se protéger immédiatement
Que faire en cas d’infection suspectée ?
Enjeu plus large : vigilance et infrastructures de confiance
Cette campagne illustre une tendance claire : les cybercriminels combinent aujourd’hui ingénierie sociale et sophistication technique pour contourner les défenses. Les services publics, les entreprises et les citoyens doivent maintenir une posture de vigilance élevée. Les autorités nationales et les équipes CERT jouent un rôle crucial en publiant des avis rapides et des indicateurs techniques, mais la première ligne de défense reste la prudence individuelle : vérifier, douter, et contacter les organismes officiels par des canaux vérifiés plutôt que de cliquer impulsivement.
