Certains Malwarebytes ont récemment remarqué que des alertes de protection Web s'affichaient fréquemment lorsqu'ils consultaient leurs e-mails via l'interface Web de Yahoo Mail. Ces alertes sont dues à des connexions en arrière-plan établies par la page Yahoo Mail vers un ensemble de domaines tiers que nos produits et d'autres outils de sécurité classent actuellement comme présentant un risque.
Ce qu'on voit sous le capot
Lorsque vous ouvrez Yahoo Mail dans un navigateur, la page charge divers composants intégrés destinés à la navigation, aux fonctionnalités et aux statistiques. Dans ce cadre, l'interface effectue des requêtes vers des domaines tels que cook.howduhtable.com et les sous-domaines associés, parfois dans le cadre d'URL qui contiennent /ybar/mail.yahoo.com/ et un long paramètre encodé. Cette chaîne encodée correspond souvent à une URL du type :
https://gpt.mail.yahoo.net/sandbox?client=novation&version=0.1&haq=1&cache=1
Cela semble indiquer que le trafic est acheminé via ce qui semble être un composant web en mode sandbox que Yahoo pourrait utiliser à des fins telles que la télémétrie, les tests d'infrastructure ou les fonctionnalités de messagerie. Il pourrait également s'agir d'un élément d'un flux publicitaire ou de suivi, mais pour l'instant, nous ne pouvons pas affirmer avec certitude à quelles fins exactes Yahoo l'utilise.
Quelle que soit leur intention, plusieurs systèmes de sécurité ont détecté ces domaines de redirection et leur ont attribué une mauvaise réputation. Parmi leurs caractéristiques, on peut citer :
- Des sous-domaines opaques qui changent fréquemment et qui ne ressemblent pas aux adresses Yahoo habituelles destinées aux consommateurs
- L'utilisation de paramètres encodés et de redirections en chaîne qui empêchent les utilisateurs, et parfois les défenseurs, de voir d'un seul coup d'œil la destination finale
- Les détections et listes de blocage existantes provenant d'autres fournisseurs qui classent l'infrastructure comme suspecte ou potentiellement malveillante
En raison de ces signaux, Malwarebytes Protection et Browser Guard une liste croissante de sous-domaines associés afin de protéger les utilisateurs ; c'est pourquoi certaines personnes reçoivent des alertes répétées lorsqu'elles utilisent Yahoo Mail.
Ce que nous ne disons pas
Il est important de bien distinguer ce que nous savons de ce que nous ignorons.
Nousn'avonspasétabli que Yahoo Mail lui-même était compromis ni que Yahoo diffusait délibérément des logiciels malveillants via sa plateforme de messagerie. Ce que nous pouvons affirmer, c'est que des composants tiers ou internes, appelés depuis l'interface Web de Yahoo Mail, établissent des connexions via des domaines dont le comportement ressemble fortement à celui d'infrastructures généralement associées à la publicité malveillante ou trompeuse et au suivi.
Du point de vue de la sécurité, cela engendre un risque inutile. Tout mécanisme qui injecte du contenu ou exécute des composants en mode sandbox via des chaînes de redirection opaques pourrait, s'il était utilisé à mauvais escient ou détourné à l'avenir, exposer les utilisateurs à du contenu malveillant sans même qu'ils aient cliqué sur un lien suspect.
Le blocage de ces domaines constitue une mesure de précaution conforme à nos normes habituelles en matière de protection.
Pourquoi Malwarebytes ces redirections
Notre décision de bloquer ces connexions repose sur une combinaison de données techniques relatives au comportement et de données de réputation provenant de tiers :
- Les redirections sont déclenchées par des composants intégrés à l'interface de Yahoo Mail, et non par des utilisateurs qui accèdent volontairement à ces domaines
- L'infrastructure repose sur des domaines et sous-domaines qui changent fréquemment et ne sont pas descriptifs, un schéma que l'on observe souvent dans les systèmes publicitaires et de suivi malveillants ou conçus pour échapper à la détection
- De nombreux fournisseurs de solutions de sécurité et sources d'informations automatisées sur la réputation signalent déjà ces domaines comme présentant un risque ou comme malveillants, et certains les ont associés à des activités indésirables ou nuisibles
C'est pourquoi Malwarebytes bloquent actuellement les connexions vers ces domaines tiers lorsqu'ils sont sollicités dans le cadre de l'expérience Web de Yahoo Mail. Celanesignifiepaspour autant que l'ensemble de Yahoo Mail est considéré comme malveillant. Cela signifie simplement que nous interrompons spécifiquement un ensemble restreint d'appels en arrière-plan qui présentent un risque accru.
Ce que cela signifie pour les utilisateurs
Si vous utilisez Yahoo Mail dans un navigateur sur lequel Malwarebytes , vous pourriez voir s'afficher :
- Alertes de protection Web ou MWAC faisant référence à des domaines tels que
cook.howduhtable.comou des noms similaires lorsque vous lisez ou rédigez des e-mails - Plusieurs alertes en peu de temps, car l'interface de messagerie peut effectuer de nouvelles tentatives ou alterner entre différents sous-domaines ou adresses IP appartenant à la même famille
Dans la plupart des cas, le contenu de votre e-mail s'affiche toujours, même si certains éléments intégrés, indicateurs ou contenus publicitaires peuvent ne pas s'afficher ou se comporter différemment.
Comment assurer sa sécurité et limiter les interruptions
Vous ne devriez pas avoir à réduire votre niveau de sécurité pour continuer à utiliser Yahoo Mail. Voici quelques mesures concrètes que vous pouvez prendre :
- Veillez à ce que Malwarebytes reste activée
. En laissant la protection Web et Browser Guard , vous vous assurez que les blocages restent en place si ces redirections changent de comportement ou commencent à diffuser du contenu malveillant à l'avenir. - Évitez d'ajouter les domaines suspects à la liste blanche
. Bien qu'il soit techniquement possible d'ajouter des exclusions pour des domaines individuels, cela permettrait à leur trafic de s'afficher sans filtrage dans votre navigateur. Nous ne recommandons pas cette pratique, sauf si vous comprenez parfaitement et acceptez le risque encouru. - Utilisez windows privées/de navigation privée windows Yahoo Mail
. L'accès à Yahoo Mail dans une session privée/de navigation privée peut contribuer à réduire la persistance de certaines données de suivi et publicitaires, car le navigateur supprime les cookies et le stockage local lorsque vous fermez la fenêtre. - Effacez régulièrement les cookies et les données du site
Si vous recevez des alertes répétées, l'effacement des cookies et des données mises en cache liés à Yahoo peut réduire certains des comportements de suivi sous-jacents qui déclenchent ces redirections. - Envisagez des options permettant de réduire le nombre de publicités
Yahoo propose des abonnements payants qui réduisent ou suppriment les publicités. Les utilisateurs peuvent également utiliser des extensions de blocage de contenu fiables en complément de Malwarebytes limiter les comportements induits par la publicité dans les interfaces de messagerie Web.
Notre suivi continu
Les domaines et l'infrastructure concernés par ces redirections sont gérés en dehors Malwarebytes, et leur configuration ou leur comportement peuvent évoluer au fil du temps. Nous surveillons de près les données de télémétrie, les rapports de sandbox et les données de réputation relatives à ces domaines et à l'infrastructure associée, et nous adapterons nos détections si de nouvelles informations apparaissent.
Notre priorité est d'assurer la sécurité des utilisateurs tout en faisant preuve de transparence quant aux raisons pour lesquelles des mesures de protection sont déclenchées, en particulier dans les services largement utilisés tels que la messagerie Web. Si nous en apprenons davantage sur le rôle exact de ce composant au sein de Yahoo Mail, ou si Yahoo apporte des précisions supplémentaires, nous mettrons cet article à jour en conséquence.
Mettez fin aux menaces avant qu'elles ne causent du tort.
Malwarebytes Browser Guard automatiquement les pages de hameçonnage et les sites malveillants. Gratuit, s'installe en un clic. Ajoutez-le à votre navigateur →
