Des centaines d’organisations compromises quotidiennement lors d’attaques de phishing sur le code des appareils Microsoft

Des centaines d’organisations sont quotidiennement compromises par une campagne de phishing de code d’appareil Microsoft qui utilise l’IA et l’automatisation à presque toutes les étapes de la chaîne d’attaque pour finalement fouiller dans les boîtes de réception des entreprises et voler des données financières.

« Depuis le 15 mars 2026, nous avons observé le lancement de 10 à 15 campagnes distinctes toutes les 24 heures », a déclaré Tanmay Ganacharya, vice-président de la recherche en sécurité chez Microsoft. Le registre.

« Chaque campagne est distribuée à grande échelle, ciblant des centaines d’organisations avec des charges utiles très variées et uniques, ce qui rend la détection basée sur des modèles plus difficile », a déclaré Ganacharya. « Nous continuons d’observer un volume d’activité élevé, avec des centaines de compromissions se produisant quotidiennement dans les environnements affectés. »

Les attaquants ont ciblé des organisations de tous les secteurs et à l’échelle mondiale, nous a-t-il expliqué. Et bien que l’expédition de phishing n’ait pas été attribuée à un équipage en particulier, ses outils et son infrastructure partagent des similitudes avec EvilTokens.

EvilTokens est un nouveau kit de phishing de code d’appareil Microsoft vendu en tant que service depuis la mi-février, permettant aux acheteurs de contourner l’authentification multifacteur (MFA) et de s’authentifier silencieusement en tant que victime auprès des applications Microsoft 365 de l’organisation. Ses opérateurs ont promis d’étendre prochainement le support aux pages de phishing Gmail et Okta.

Même si la campagne semble cibler un large éventail d’organisations dans tous les secteurs, « l’activité post-compromission montre une concentration constante sur les personnalités liées à la finance, avec une exfiltration automatisée des e-mails observée dans ces comptes », a déclaré Ganacharya.

Les chercheurs de Redmond ont détaillé l’attaque du code de l’appareil dans un blog publié lundi et ont déclaré qu’elle « marque une escalade significative dans la sophistication des acteurs menaçants ».

Authentification du code de l’appareil

Les appareils tels que les téléviseurs intelligents, les imprimantes et autres appareils IoT qui ne prennent pas en charge une connexion interactive standard utilisent généralement l’authentification par code d’appareil d’OAuth 2.0. Cela donne aux utilisateurs un code court sur l’appareil et leur demande de saisir ce code dans un navigateur sur un appareil distinct pour terminer le processus d’authentification. Cela facilite la connexion de l’utilisateur, mais cela implique un compromis en matière de sécurité.

« Comme l’authentification est effectuée sur un appareil distinct, la session initiant la requête n’est pas fortement liée au contexte d’origine de l’utilisateur », prévient Microsoft.

Cela le rend très attrayant pour les attaquants cherchant à contourner l’authentification multifacteur (MFA) et à prendre le contrôle des comptes des utilisateurs en lançant le processus d’authentification du code de l’appareil – par exemple, en envoyant un code via un leurre de phishing et en attendant que l’utilisateur entre le code et autorise involontairement l’accès de l’attaquant à son compte.

Chaîne d’attaque

Dans cette campagne, les malfaiteurs interrogent GetCredentialType, un point de terminaison de l’API Microsoft utilisé pour déterminer la méthode d’authentification d’un utilisateur, qui permet aux attaquants de confirmer si une adresse e-mail ciblée existe et est active au sein du locataire.

Cette phase de reconnaissance est un précurseur critique, se produisant généralement 10 à 15 jours avant le lancement de la tentative de phishing.

Les attaquants ont ensuite utilisé l’IA pour créer des e-mails de phishing hyper-personnalisés adaptés au rôle de la cible, avec des thèmes tels que les demandes de propositions, les factures et les flux de fabrication. Ces e-mails incluent une pièce jointe malveillante ou une URL directe, mais les phisheurs ne créent pas de lien vers le site Web de phishing final dans leurs e-mails initiaux.

Au lieu de cela, ils ont automatisé une série de redirections à l’aide de domaines légitimes compromis sur des plates-formes sans serveur de confiance, notamment Railway, Cloudflare Workers, DigitalOcean et AWS Lambda. Cela permet aux e-mails de phishing d’éviter d’être détectés par les scanners d’URL et les bacs à sable automatisés et de se fondre dans le trafic cloud légitime de l’entreprise.

La page de phishing finale (c’est là que l’attaquant finit par voler les informations d’identification de la victime) ressemble à une fenêtre de navigateur légitime dans une page Web. Il invite les utilisateurs à vérifier leur identité via un bouton qui redirige vers « Microsoft.com/devicelogin » et affiche le code de l’appareil.

Codes d’appareil dynamiques

Selon Redmond, un « élément essentiel du succès de cette campagne » réside dans le fait que les intrus numériques utilisent la génération dynamique de codes d’appareil, plutôt qu’une tentative de phishing statique.

Ces codes d’appareil ne sont valides que pendant 15 minutes, donc l’utilisation d’un code pré-généré dans l’e-mail de phishing d’origine crée un délai beaucoup plus court pour que l’utilisateur ciblé soit hameçonné, ouvre l’e-mail, clique sur diverses redirections et aide finalement l’attaquant à contourner MFA et à prendre le contrôle du compte de l’utilisateur.

Cette campagne, en revanche, déplace la génération de code vers l’étape finale de la chaîne de redirection, ce qui signifie que le délai de 15 minutes ne commence que lorsque la victime arrive sur la page de phishing finale. Voici ce qui se passe une fois que la victime voit le code de l’appareil :

Une fois que l’utilisateur a terminé le processus de connexion, le jeton d’accès en direct est envoyé à l’ordinateur contrôlé par l’attaquant, permettant ainsi aux voleurs de données de contourner MFA et de se connecter au compte ciblé.

Selon Redmond, les activités illicites post-compromission dépendent des objectifs spécifiques de l’attaquant. Dans certains cas, l’intrus a enregistré de nouveaux appareils dans les 10 minutes pour générer un jeton d’actualisation primaire (PRT) pour une persistance à long terme. Dans d’autres, ils ont attendu des heures avant de voler des données de courrier électronique sensibles ou de créer des règles de boîte de réception – par exemple, transférer des messages sensibles tels que ceux dont l’objet était « paie » ou « facture ».

Pour éviter d’être victime de ce type d’attaque de phishing sur le compte d’un appareil, n’autorisez le flux de code de l’appareil que lorsque cela est absolument nécessaire. Microsoft recommande de le bloquer dans la mesure du possible.

Formez également vos employés à détecter les techniques de phishing courantes, telles que les messages « (EXTERNE) » contenant des liens suspects. « Depuis 2021, les interactions Microsoft Azure invitent l’utilisateur à confirmer (« Annuler » ou « Continuer ») qu’il se connecte à l’application qu’il attend, ce qui est une option souvent absente des connexions par phishing », note Redmond. ®