Une campagne de phishing imite l'Administration fiscale pour cibler Israël

Des chercheurs en cybersécurité de l'unité Cato CTRL chez Cato Networks ont mis au jour une campagne de phishing ciblée se faisant passer pour l'Autorité fiscale d'Israël, visant des entreprises et des organisations du pays. Identifiée en septembre 2026, cette offensive utilise des courriels frauduleux adressés au personnel financier pour déployer des outils d'administration à distance.

Mode opératoire et ingénierie sociale

Selon les chercheurs Dr Guy Wizel, Idan Trab, Zohar Buber, Tomer Pogiz et Shani Kurzberg, l'attaque est attribuée au groupe de cyberespionnage MuddyWater, lié au ministère iranien du Renseignement et de la Sécurité. Les cibles reçoivent des messages incitant les employés à consulter un portail gouvernemental fictif.

Le clic sur le lien redirige vers des domaines usurpant les adresses officielles, tels que document-govil[.]com et document-govil[.]online. Pour simuler un environnement sécurisé, les victimes doivent passer un test CAPTCHA factice et saisir un mot de passe prédéfini avant de télécharger une archive ZIP contenant un fichier exécutable malveillant.

Exploitation d'outils de gestion à distance

Plutôt que de concevoir un logiciel malveillant sur mesure, les assaillants détournent SimpleHelp, un logiciel légitime de surveillance et de gestion à distance. L'exécution du fichier installe une version obsolète configurée pour communiquer avec un serveur de commande et de contrôle, octroyant un accès complet au poste de travail.

Les chercheurs soulignent que SimpleHelp n'a subi aucune faille de sécurité, les attaquants ayant simplement abusé des paramètres légitimes de l'outil. Les experts recommandent aux entreprises de renforcer la vigilance face aux courriels suspects et de bloquer les indicateurs de compromission.