Résumé Exécutif
- Novembre 2021 a marqué le retour d’Emotet après le démantèlement du botnet par les forces de l’ordre en janvier 2021.
Sommaire
Dans cette édition de notre revue mensuelle des menaces par courriel (Email Threat Review), nous présentons un aperçu des menaces par courriel observées en novembre 2021 et les comparons aux menaces du mois précédent.
Le rapport fournit des informations sur :
- Les courriels indésirables par catégorie
- Types de fichiers utilisés dans les attaques
- Indice des menaces par courriel de l’industrie
- Techniques d’attaque
- Marques et organisations usurpées
- Retour d’Emotet
Les courriels indésirables par catégorie
Le tableau suivant montre la répartition des courriels indésirables par catégorie.
| Catégorie de courriel | % |
|---|---|
| Rejeté | 81.00 |
| Spam | 13.42 |
| Menace | 4.67 |
| Menace Avancée | 0.88 |
| Contenu | 0.03 |
L’histogramme temporel suivant montre le volume de courriels par catégorie et par jour.
Méthodologie
Les catégories de courriels répertoriées correspondent aux catégories du Email Live Tracking du Control Panel de Hornetsecurity. Nos utilisateurs les connaissent donc déjà. Pour les autres, les catégories sont :
| Categorie | Description |
|---|---|
| Spam | Ces courriels sont indésirables et sont souvent promotionnels ou frauduleux. Les courriels sont envoyés simultanément à un grand nombre de destinataires. |
| Contenu | Ces courriels ont une pièce jointe invalide. Les administrateurs définissent dans le module Content Control quelles pièces jointes ne sont pas valides. |
| Menace | Ces courriels contiennent du contenu dangeureux, tels que des pièces jointes ou des liens malveillants, ou ils sont envoyés pour commettre des crimes, tels que l‘hameçonnage. |
| Menace Avancée | Advanced Threat Protection a détecté une menace dans cescourriels. Les courriels sont utilisés à des fins illégales et impliquent des moyens techniques sophistiqués qui ne peuvent être repoussés qu’à l’aide de procédures dynamiques avancées. |
| Rejeté | Nos serveurs de messagerie rejettent ces courriels directement lors de la transaction SMTP en raison de caractéristiques externes, telles que l’identité de l’expéditeur, et les courriels ne sont pas analysés davantage. |
Types de fichiers utilisés dans les attaques
Le tableau suivant montre la répartition des types de fichiers utilisés dans les attaques.
| File type (used in malicious emails) | % |
|---|---|
| Archive | 28.9 |
| HTML | 23.1 |
| 18.1 | |
| Excel | 12.0 |
| Image de disque (Disk image files) | 4.9 |
| Autre | 4.8 |
| Word | 3.9 |
| Exécutable | 3.5 |
| Courriel | 0.6 |
| Fichier de script | 0.1 |
| Powerpoint | 0.1 |
| Fichier LNK | 0.0 |
L’histogramme temporel suivant montre le volume de courriels par type de fichier utilisé dans les attaques sur 7 jours.
Indice des menaces par courriel de l’industrie
Le tableau suivant présente notre Indice des menaces par courriel de l’industrie (Industry Email Threat Index) calculé en fonction du nombre de courriels de menace par rapport aux courriels propres reçus pour chaque industrie (en médiane).
| Industries | Ratio de courriels de menace par rapport aux courriels propres |
|---|---|
| Recherche | 6.0 |
| Fabrication | 5.2 |
| Médias | 4.6 |
| Santé | 4.6 |
| Automobile | 4.3 |
| Éducation | 4.2 |
| Services publics | 3.9 |
| Mines et carrières | 3.8 |
| Construction | 3.5 |
| Transport | 3.5 |
| Secteur financier | 3.4 |
Le graphique à barres suivant visualise la menace basée sur les courriels posée à chaque secteur.
Méthodologie
Différentes organisations reçoivent un nombre absolu de courriels différent selon leur taille. Ainsi, nous calculons le ratio de courriels de menace par rapport aux courriels propres en pourcentage des courriels reçus pour chaque organisation pour ainsi mieux les comparer. Nous calculons ensuite la médiane de ces valeurs en pourcentage pour toutes les organisations du même secteur pour former le score de menace final du secteur.
Techniques d’attaque
Le tableau suivant montre les techniques utilisées dans les attaques.
| Attack technique | % |
|---|---|
| Phishing | 49.6 |
| Autre | 31.9 |
| URL | 6.8 |
| Extortion | 3.9 |
| Executable dans une archive / image de disqueimage | 2.4 |
| Usurpation | 2.3 |
| Arnaque des frais à l‘avance | 2.2 |
| Documents malveillants (Maldoc) | 0.8 |
| LNK | 0.0 |
L’histogramme suivant montre le volume de courriels par technique d’attaque utilisée par heure.
Marques et organisations usurpées
Le tableau suivant indique les marques d’entreprise et les organisations pour lesquelles nos systèmes ont le plus détectées dans les attaques d’usurpation d’identité.
| Marque ou organisation usurpée | % |
|---|---|
| Sparkasse | 62.2 |
| Volks- und Raiffeisenbank | 11.7 |
| Amazon | 4.9 |
| Deutsche Post / DHL | 4.0 |
| PayPal | 2.1 |
| DocuSign | 1.7 |
| UPS | 1.4 |
| 1.3 | |
| Fedex | 1.2 |
L’histogramme suivant montre le volume de courrielsmails pour les marques d’entreprise et les organisations détectées dans les attaques d’usurpation d’identité par heure.
L‘histogramme montre clairement la poursuite des campagnes contre les banques allemandes Sparkasse et Volks- und Raiffeisenbank qui ont commencé fin septembre 2021.
Return of Emotet
Le 2021-11-15, les systèmes informatiques infectés par le malware TrickBot ont commencé à télécharger et à installer le malware Emotet. Par la suite, le botnet Emotet a été reconstruit et a envoyé à nouveau du malspam depuis son botnet. Nous avons signalé cet événement dans un article de blog sépaé (anglais).
