Contexte et portée de l’attaque
Selon un rapport de Positive Technologies rapporté par The Hacker News, des acteurs malveillants ont compromis environ 65 % des serveurs Microsoft Exchange exposés sur Internet. Dans 26 pays, au moins 65 cibles ont été affectées—des institutions publiques, des établissements scolaires, des banques, des sociétés IT et autres organisations critiques en.wikipedia.org+8thehackernews.com+8thehackernews.com+8.
Technique employée : keyloggers intégrés aux pages de connexion
Les hackers ont utilisé une méthode particulièrement sournoise : ils ont injecté du code JavaScript malveillant sur les pages de login Outlook Web, avec deux variantes observées :
Keyloggers sauvegardant les frappes dans un fichier local hébergé sur le serveur compromis et accessible publiquement,
Keyloggers envoyant directement les données capturées vers une infrastructure de commandement à distance via Internet .
Cette intrusion se déroule dès que les victimes ouvrent la page web compromise, ce qui permet la capture des identifiants — parfois avant même que l’utilisateur n’ait le temps de s’en apercevoir.
Histoire de la campagne
D’après Positive Technologies, cette campagne est en cours depuis mai 2024, ciblant initialement des entités en Afrique et au Moyen‑Orient. La première intrusion documentée remonte à 2021, exploitant notamment des failles dans Exchange Server. Elle a gagné en ampleur en 2025, ciblant cette fois-ci des organisations plus diversifiées dans le monde .
Risques et conséquences
Vol de mots de passe et compromission immédiate du compte de messagerie Exchange.
Création de porte dérobée (backdoor) permettant un accès ultérieur non autorisé.
Exfiltration de données confidentielles hébergées dans la messagerie interne, documents, communications.
Atteinte à la réputation et à la confiance des utilisateurs et partenaires.
Recommandations pour se protéger
Pour limiter les risques liés à cette attaque, il est essentiel de mettre en place les mesures suivantes :
Lancer une analyse complète des pages Outlook Web sur tous les serveurs Exchange exposés.
Supprimer immédiatement tout fichier JavaScript suspect hébergé localement ou modifiant la page de connexion.
Appliquer les patchs Exchange les plus récents, y compris les Correctifs d’Urgence (Cumulative Updates + Security Patches).
Restreindre physiquement l’accès aux fichiers statiques webroot, notamment en limitant les droits en écriture.
Mettre en place une solution de détection web (WAF) capable d’identifier les injections de code malveillant.
Surveiller les fichiers de log et journaux Web pour détecter toute tentative d’accès ou commandes déviantes.
Former les administrateurs et utilisateurs à repérer les signes d’une page de connexion altérée ou lente à charger.