Quand une attaque malware se cache dans la pièce jointe d’un e-mail

L’e-mail permet de diffuser efficacement une attaque par malware. Le virus informatique se répand alors auprès de ces victimes.

Parfois, le nom de domaine associé à l’e-mail qui diffuse l’attaque du malware fait l’objet d’une usurpation d’identité.

Ce cas est précisément arrivé au groupe chimique français Arkema.

L’entreprise française a été immatriculée le 24 février 1981 au Registre du Commerce et des Sociétés de Nanterre. En 2021, elle est présente dans plus de 55 pays à travers le monde. La firme dénombre 141 usines de production. De plus, elle emploie 20 200 salariés. Son chiffres d’affaires est d’environ 9,5 milliards d’euros

Arkema est un leader mondial des matériaux scientifiques. A ce titre, elle offre une large gamme de produits pour divers domaines tels que les peintures, les adhésifs, les revêtements, la colle, les fibres, les résines, les matériaux bruts et les matériaux finis pour l’industrie générale et les biens de consommation.

En raison d’importants investissements financiers, matériels et humains, la société a développé une large clientèle liée à la marque ARKEMA. A cet égard, elle a acquis, au fil des années, une bonne réputation. Elle a une certaine notoriété dans le domaine de la chimie.

Cybersquatting à l’identique dans l’extension markétée .ME

Le nom de domaine litigieux <arkema.me> a été enregistré par un fraudeur le 23 juin 2021. Le nom de domaine litigieux a ensuite été utilisé pour distribuer des logiciels malveillants à des tiers par e-mail.

Le cybersquatting du nom de domaine reproduit intégralement la marque ARKEMA. Le groupe chimique est l’unique titulaire d’une marque antérieure au Monténégro. Il s’agit du pays auquel est rattaché l’extension pays .ME.

En conséquence, le public pourrait donc légitimement croire que le nom de domaine litigieux fait partie du portefeuille d’Arkema.

La marque ARKEMA n’est pas un terme descriptif, ni une expression d’usage courant. Ce n’est pas non plus un mot immédiatement compréhensible dans le domaine de l’industrie. La dénomination ARKEMA a donc un caractère très distinctif.

Il est donc très peu probable que l’escroc ait choisi le nom de domaine litigieux <arkema.me> sans avoir connaissance de la raison sociale, des noms de domaine ou des marques Arkema.

De plus, il a utilisé le nom de domaine litigieux pour créer une adresse e-mail. Il a alors envoyé des e-mails à des tiers contenant des logiciels malveillants.

Une fausse facture diffuse l’attaque malware e-mail

L’un des clients d’ARKEMA a reçu des e-mails de <[…]@arkema.me>. Ils sont intitulés « Facture du mois de mars datée du 07.04.2022 ». L’e-mail comprend alors un document joint intitulé « Facture 18274764.xlsx ». Ce dernier contient des logiciels malveillants.

Les documents joints à ces emails ont été identifiés comme contenant des logiciels malveillants par deux sociétés de sécurité bien connues.

En conséquence, l’enregistrement du nom de domaine litigieux <arkema.me> et la création de l’adresse e-mail <[…]@arkema.me> portent un grand préjudice au groupe de chimie.

L’escroc utilise le de mauvaise foi et cible les entreprises en leur envoyant des logiciels malveillants. Cela peut donc profondément impacter l’image d’Arkema. C’est d’autant plus le cas si les victimes sont confuses quant à la source de ces e-mails.

Elle porte également particulièrement préjudice aux internautes qui peuvent facilement être trompés lors de la réception d’une facture via un nom de domaine reproduisant la marque d’un fournisseur de produits et de services, c’est-à-dire un professionnel. Ils peuvent en effet être moins méfiants, pensant que les emails proviennent d’une source légitime, et par conséquent, ouvrir les documents contenant le malware.

Suite à cet usage malveillant, le bureau d’enregistrement et l’hébergeur ont suspendu les services d’hébergement et de DNS après avoir confirmé cette utilisation abusive.

Enfin, Arkema France obtient le transfert du nom de domaine à la suite à sa victoire dans la procédure extrajudiciaire « UDRP » numéro DME2022-0009.

Ce n’est pas la première fois que l’entreprise utilise cette procédure de résolution litige pour résoudre une usurpation d’identité par email.

En avril 2021, faux.fr a raconté comme le mail du directeur général d’Arkema a été usurpée, cf notre article à ce sujet.