Vous voulez mettre votre service informatique en colère ? Votre lien n’a pas l’air assez malveillant ?

• Cet outil permet de transformer n’importe quelle URL pour lui donner une apparence malveillante
• Contrairement à TinyURL, au lieu de la raccourcir, il la rend plus suspecte
• Le lien saisi redirige en réalité vers l’adresse d’origine via un mécanisme de redirection web
• Le lien de phishing généré n’a qu’une apparence inquiétante et n’exécute aucun comportement malveillant
• Il suffit de coller un lien dans le champ de saisie et d’appuyer sur le bouton pour obtenir un lien « à l’air dangereux »

---

Présentation et principales fonctionnalités

Cet outil est un site qui permet, lorsqu’un utilisateur saisit l’adresse d’un site web de son choix, de la transformer pour qu’elle ressemble à un lien de phishing suspect

• Le fonctionnement est similaire à celui d’un service de transformation de liens bien connu comme TinyURL, mais au lieu d’obtenir un lien plus court, l’utilisateur reçoit un lien à l’apparence plus risquée
• Le principe repose sur une simple redirection : même si l’on clique sur le lien généré, on est uniquement envoyé vers l’adresse d’origine saisie
• En collant un lien dans le champ prévu à cet effet et en appuyant sur le bouton, on obtient immédiatement un lien de phishing visuellement inquiétant
• Le lien généré ne contient aucun malware et ne fait que paraître suspect visuellement

Cas d’usage et précautions

• Même si le lien lui-même est sûr, son utilisation dans une entreprise ou une organisation peut semer la confusion au sein du service informatique
• Il peut servir dans des exercices de sensibilisation au phishing, des tests de social engineering ou pour expérimenter à quel point l’apparence d’un lien influence la confiance
• Selon les règles ou politiques de sécurité de l’entreprise, il est nécessaire de vérifier au préalable si son utilisation est autorisée

[GN⁺]

Commentaire Hacker News

• Ha ! J’ai eu exactement la même pensée. Dans notre entreprise, il y a un truc qui fait que même les vrais liens ressemblent à des liens malveillants. Je crois que ça s’appelle Microsoft Safelink. Le but semble être de masquer tous les liens dans la boîte mail Outlook, de sorte qu’on ne sache plus du tout ce que c’est au moment de cliquer. Au final, ça finit par donner lieu à la blague selon laquelle personne ne se fait virer pour avoir acheté du Microsoft

  • Il y a quelques mois, les serveurs Microsoft ont eu une panne ou étaient vraiment très lents, et à ce moment-là j’ai constaté que tous les liens dans les mails ne fonctionnaient plus
  • Je compatis vraiment. ProofPoint filtre aussi les liens de façon similaire

• Ce genre de truc n’est pas mal
  https://carnalflicks.online/var/lib/systemd/coredump/logging...

  • Honnêtement, je m’attendais à ce qu’il se passe quelque chose comme ça[1]. J’imagine qu’on ne voit pas trop ça sur HN
    1: https://pc-helper.xyz/scanner-snatcher/session-snatcher/cred...
  • Je ne sais pas pourquoi, mais cliquer sur un lien comme ça quand il est tout en haut de la page est étrangement satisfaisant
  • Ça a quand même l’air louche, NoScript m’affiche une alerte XSS <_<

• Ce genre de truc est bien pour faire tourner une boucle infinie
  https://gonephishing.me/shell-jacker/shell-jacker/worm_launc...

• Toute cette discussion me rappelle une situation absurde dans une ancienne entreprise où j’ai travaillé. La boîte insistait pour que les employés survolent les liens avec la souris afin de vérifier si l’expéditeur pointait bien vers le site officiel. Mais les gens continuaient malgré tout à se faire piéger par des liens de phishing, donc ils ont déployé un équipement Trend Micro pour scanner les emails et réécrire automatiquement tous les liens via leur service de scan d’URL. Du coup, tous les liens ressemblaient à “https://ca-1234.check.trendmicro.com/?url=...;”. À partir de là, dans l’entreprise, on ne pouvait plus cliquer sur aucun lien dans les emails. Bien sûr, à cause de cette réécriture d’URL, pas mal de liens ont cessé de fonctionner, donc quand on recevait une alerte d’incident le matin, il fallait allumer son laptop, se connecter manuellement à Pagerduty, Sentry, etc., puis retrouver de nouveau les détails de l’incident depuis l’email

  • J’ai eu une expérience amusante dans le sens inverse. Quand je travaillais autrefois chez Global MegaCorp, l’entreprise envoyait parfois volontairement de faux emails de phishing dans le cadre d’exercices, et si on cliquait sur le lien, c’était enregistré ; au bout de deux ou trois fois, il fallait refaire la formation. Résultat, tout le monde a appris à ne jamais cliquer sur les liens dans les emails. C’était efficace. Sauf qu’un jour, ils ont envoyé un email à tous les employés pour lancer l’enquête annuelle, et personne n’a cliqué sur le lien, donc ils ont dû renvoyer un message pour dire : « cet email d’enquête est bien authentique, vous pouvez cliquer »
  • Récemment, j’ai reçu sur mon compte AWS personnel un email m’informant que les futures factures seraient envoyées depuis "[e-mail]" et qu’il fallait mettre à jour les règles de traitement automatique des factures avec cette adresse. C’était franchement idiot. Si j’avais vu un email venant d’une adresse pareille, moi aussi je l’aurais immédiatement pris pour du spam ou du phishing. AWS a fini par abandonner cette politique. D’habitude, les emails arrivent depuis des adresses qui ont l’air plus officielles, comme "[e-mail]" ou "[e-mail]"

• On pourrait aussi simplement signaler les emails de conformité obligatoires comme des tentatives de phishing. J’ai travaillé dans plusieurs grandes entreprises, et les emails annuels de validation de sécurité IT ressemblaient souvent à des messages malveillants : mise en forme bizarre, source en URL externe suspecte, demande d’action urgente, menace de sanction en cas de non-respect, etc. On dépense autant d’argent en formation, pour au final désensibiliser les utilisateurs face aux menaces

  • Si l’en-tête de l’email contient "X-PHISH", ça vaudrait peut-être le coup d’ajouter une règle

• Je pense qu’il faudrait utiliser une URL ayant l’air encore plus malveillante pour rediriger vers le site
  https://pc-helper.xyz/root-exploit/virus_loader_tool.exe?id=...

• La vraie méthode malveillante, ce serait une sorte de psychologie inversée

1. Créer un site comme ça
2. Laisser les gens tester en y mettant les URL de sites importants, comme leur banque, leurs réseaux sociaux, leur messagerie, etc.
3. Le laisser fonctionner normalement pendant un moment, puis commencer à rediriger discrètement les visiteurs vers des sites de phishing correspondants
4. Les utilisateurs auront déjà appris à ignorer les avertissements « manifestement faux », donc quand un vrai danger surviendra, leur vigilance risque d’être affaiblie

• J’ai essayé avec mon propre nom de domaine,
  https://cheap-bitcoin.online a été le domaine auquel j’ai reçu un lien. Quand j’ai soumis cette URL à VirusTotal, il indiquait qu’un moteur l’avait classée comme malware. C’était hilarant, vraiment une expérience très drôle

• Génial ! Ce serait bien que safelinks.protection.outlook apparaisse aussi quelque part dans le lien généré

• J’ai enregistré le domaine "very-secure-no-viruses.email" et je l’utilise comme adresse email jetable. Je l’ai volontairement choisi pour qu’il paraisse aussi suspect que possible. Mais du coup, ça crée souvent de la confusion dans les échanges avec le support

  • J’utilise une adresse du type [e-mail], et les gens n’arrêtent pas de me dire qu’elle est incorrecte, comme si ce n’était pas normal que ce ne soit pas email.com