n8n : webhooks abusés pour diffuser un agent RMM Datto

Ce qui s'est passé

Les chercheurs de Cisco Talos ont documenté une campagne de phishing qui détourne n8n, plateforme d'automatisation de workflows largement adoptée par les équipes techniques. Le mode opératoire repose sur un détail d'implémentation : la création d'un simple compte développeur gratuit provisionne automatiquement un sous-domaine dédié sous *.app.n8n.cloud, sur lequel les attaquants publient un workflow exposé via un webhook public. L'URL résultante hérite de la réputation d'une marque SaaS légitime, dispose d'un certificat TLS valide et franchit la majorité des passerelles de messagerie d'entreprise sans déclencher d'alerte. Cette chaîne n8n webhooks phishing malware permet de servir dynamiquement la charge finale — ici un installeur de l'agent RMM Datto — aux seules victimes ciblées, tout en filtrant les bacs à sable et les analyseurs automatisés. Les défenseurs perdent alors leurs repères habituels : ni domaine douteux, ni pièce jointe suspecte.

Le schéma d'attaque combine deux techniques. D'une part, les e-mails contiennent un lien vers un webhook n8n se faisant passer pour un document partagé ; le clic amène la victime sur un CAPTCHA, suivi du téléchargement d'un fichier nommé « DownloadedOneDriveDocument.exe ». D'autre part, les mêmes e-mails embarquent un pixel 1×1 qui, une fois affiché, appelle un autre webhook avec l'adresse e-mail et les métadonnées système de la cible — un fingerprinting silencieux permettant de ne cibler que les machines jugées intéressantes.

La charge finale n'est pas un malware classique : il s'agit d'une version modifiée de l'agent RMM de Datto, qui s'installe comme un service légitime et ouvre un canal de contrôle distant complet. PowerShell est ensuite utilisé pour escalader et exfiltrer. Le volume mesuré par Talos en mars 2026 représente une augmentation de 686 % par rapport à janvier 2025.

Pourquoi c'est important

L'usage détourné d'infrastructures SaaS légitimes (Cloudflare Workers, Vercel, pages.dev, n8n.cloud) pour héberger des pages de phishing ou des stagers n'est pas nouveau, mais n8n ajoute un ingrédient spécifique : l'automatisation sert également à orchestrer la logique d'attaque côté serveur, à réduire le temps de rotation des infrastructures et à collecter les données volées sans serveur attaquant dédié. C'est un exemple concret de « LOLSaaS » — Living off the Legitimate SaaS.

Pour les équipes SOC, cela signifie que bloquer simplement les domaines « suspects » n'est plus une stratégie viable : il faut inspecter le contenu livré, surveiller les invocations d'agents RMM non autorisés et activer les listes d'allow-listing pour les outils de télémaintenance dans les politiques EDR. Détecter un agent Datto installé en dehors du périmètre MSP est devenu un cas d'usage de détection à part entière.

Ce qu'il faut retenir

• La confiance implicite accordée aux sous-domaines SaaS (*.app.n8n.cloud, *.pages.dev, *.workers.dev) doit être réévaluée dans les gateways de messagerie.
• Détecter toute installation d'un agent RMM non prévu (Datto RMM, ConnectWise, AnyDesk, TeamViewer) via une règle d'inventaire applicatif simple.
• Bloquer l'exécution de binaires fraîchement téléchargés depuis un domaine SaaS via la règle ASR « Block executable content from email and webmail ».

Cette campagne s'inscrit dans une tendance plus large que les chercheurs qualifient de Living off Trusted Services (LOTS), l'équivalent au niveau infrastructure du « Living off the Land » appliqué aux binaires système. Depuis 2023, les mêmes opérateurs — ou des groupes aux tactiques très proches — ont successivement exploité Cloudflare Workers, les pages statiques Vercel et GitHub Pages, ainsi que des raccourcisseurs d'URL institutionnels pour héberger des redirections de phishing. Le point commun à chaque vague : un service SaaS dont le domaine racine (*.workers.dev, *.vercel.app, *.n8n.cloud) bénéficie d'une réputation agrégée forte, car des millions de sous-domaines légitimes y cohabitent avec une poignée d'usages malveillants. Les passerelles anti-spam qui appliquent une réputation par domaine racine plutôt que par sous-domaine complet héritent mécaniquement de cette confiance, ce qui explique le taux de passage élevé observé par Talos.

Le choix du RMM Datto comme charge finale n'est pas non plus anodin. Depuis 2023, plusieurs courtiers d'accès initial (initial access brokers) et affiliés de rançongiciels privilégient les agents RMM détournés — ConnectWise ScreenConnect, AnyDesk, Atera, NinjaOne et désormais Datto — plutôt que des chevaux de Troie d'accès distant (RAT) classiques. L'intérêt est double : l'exécutable est signé numériquement par l'éditeur légitime, ce qui limite les détections par les antivirus et EDR basés sur la réputation de signature ; et le trafic de commande généré ressemble, sur le plan réseau, à celui d'un vrai outil d'administration IT, ce qui le noie dans le bruit des connexions autorisées vers des infrastructures cloud de support. Plusieurs alertes CISA et rapports d'assureurs cyber ont déjà pointé cette dérive en 2024-2025, la qualifiant de facteur aggravant dans le temps de détection moyen des intrusions, souvent supérieur à 72 heures lorsque l'outil RMM déployé correspond à une marque déjà autorisée en interne par l'équipe IT.

Sur le plan sectoriel, Talos indique que les cibles observées entre janvier 2025 et mars 2026 couvrent principalement les services financiers, la santé et l'industrie manufacturière — des secteurs où les équipes IT utilisent fréquemment plusieurs outils RMM en parallèle (rachats, prestataires multiples), rendant plus difficile la détection d'un agent Datto non sollicité. Le fingerprinting par pixel invisible avant livraison de la charge active constitue par ailleurs une évolution notable par rapport aux campagnes de masse classiques : il permet aux attaquants d'écarter les sandbox d'analyse automatisée et les environnements de test, et de ne déclencher le téléchargement de l'exécutable que sur des postes correspondant à un profil réseau d'entreprise réel, réduisant d'autant l'exposition de l'infrastructure offensive aux chercheurs en sécurité.