Phishing Forensics Investigation

Définition

La forensique de phishing est l'investigation des campagnes d'hameçonnage email pour en identifier les auteurs, les mécanismes, et les victimes potentielles. Elle couvre l'analyse des emails de phishing reçus, des pages web de phishing hébergées, des kits de phishing (phishing kits — archives ZIP des outils de phishing déployés), et des victimes ayant fourni leurs identifiants. L'analyse d'un email de phishing commence par les en-têtes (voir Email Header Analysis) pour identifier l'infrastructure d'envoi réelle. L'analyse du contenu du message (HTML source) révèle les techniques d'évasion anti-spam (images encodées en base64, mots clés masqués via CSS, caractères Unicode homoglyphes), les URLs de phishing, et les mécanismes de tracking (pixel de tracking pour confirmer la lecture). L'analyse des pages de phishing (HTML des pages web frauduleuses) révèle souvent les techniques et outils utilisés. Les phishing kits contiennent généralement : une copie de la page légitime imitée (HTML/CSS), un script PHP pour réceptionner et enregistrer les identifiants soumis, et souvent un mécanisme de redirection vers le site légitime après la soumission. Les empreintes digitales du kit (commentaires dans le code, chemins de fichiers caractéristiques, noms de variables) peuvent être utilisées pour lier plusieurs campagnes de phishing à un même acteur. L'analyse des logs du serveur de phishing (si accessible via réquisition légale ou si le kit contient des credentials qui permettent l'accès) révèle : les victimes qui ont soumis leurs identifiants (logs PHP avec username/password/IP/timestamp), les IPs des attaquants qui ont accédé au kit pour récupérer les credentials collectés, et potentiellement d'autres infrastructures liées. Des outils comme URLscan.io, VirusTotal Graph, PhishTank, et OpenPhish permettent la recherche de contexte sur les domaines et URLs de phishing, et la corrélation avec des campagnes connues. L'ANSSI et le CERT-FR publient régulièrement des alertes et indicateurs de campagnes de phishing ciblant les organisations françaises.