Des attaquants ont compromis 97 comptes Microsoft 365 dans 79 organisations en rejouant des jetons de connexion volés, selon les conclusions de Huntress décrites dans The Hacker News. La campagne a également impliqué l'enregistrement de 48 appareils Microsoft Entra frauduleux, ce qui offrait aux attaquants un autre moyen de conserver l'accès.
Huntress a observé cette activité entre le 14 juillet et le 22 septembre 2026. Ses chercheurs ont identifié 497 connexions réussies à Microsoft 365 et ont relié plus de 200 000 tentatives de connexion échouées à la plage IP 193.26.115[.]0/24. Les événements de connexion réussis correspondent à une activité répétée et ne représentent pas un décompte de comptes compromis distincts.
Des jetons volés ont permis de contourner l'authentification multifacteur
La campagne utilisait des pages d'hameçonnage de type « adversary-in-the-middle », placées entre les victimes et l'infrastructure de connexion légitime de Microsoft. Ces pages captaient les identifiants et les codes d'authentification multifacteur, puis les transmettaient à Microsoft pour finaliser l'authentification.
Les attaquants récupéraient ensuite le jeton émis après la connexion et le rejouaient depuis leurs propres appareils en quelques minutes. Comme ce jeton représentait une session authentifiée, les attaquants pouvaient l'utiliser sans avoir à répondre de nouveau à la demande MFA de la victime.
Huntress a qualifié cette approche de « token spraying » : rejouer de nombreux jetons volés dans plusieurs organisations à grande échelle, selon un schéma comparable au password spraying. Les chercheurs ont indiqué que ces jetons provenaient de plusieurs sources, notamment de relais d'hameçonnage, d'hameçonnage par code d'appareil et d'ingénierie sociale pendant des processus de connexion légitimes.
Les attaquants ont ajouté des moyens de conserver l'accès
Après avoir obtenu l'accès, les attaquants ont enregistré leurs propres applications d'authentification afin de pouvoir répondre aux demandes MFA lors des connexions ultérieures, y compris après l'expiration ou la révocation d'une session volée.
Dans au moins 19 organisations, les méthodes MFA existantes ont été supprimées et remplacées par une méthode enregistrée dans les trois heures suivant la première connexion. Dans un cas observé le 21 juillet, un attaquant a activé une application d'authentification nommée « iPhone 13 » moins de 51 minutes après avoir détourné la session.
Les enregistrements d'appareils frauduleux constituaient un autre mécanisme de persistance. Selon Huntress, un appareil enregistré peut offrir un moyen plus durable de demander des jetons qu'une session volée seule, et il reste dans l'annuaire de l'organisation jusqu'à sa suppression.
Les attaquants ont également créé des règles de boîte de réception cachées, portant des noms discrets comme « sss », « iT » et « ........ ». Ces règles supprimaient les messages entrants contenant des termes liés à la paie, aux dépôts et aux primes, ou les déplaçaient vers des dossiers tels que RSS Feeds et Conversation History.
Dans une boîte aux lettres compromise, une règle marquait comme lu chaque message entrant, puis le supprimait. Le compte a ensuite envoyé du spam à des centaines de destinataires externes avant que Microsoft Entra ID Protection ne le classe à risque élevé.
La remédiation implique de vérifier les modifications apportées aux comptes
Aux organisations soupçonnant un rejeu de jetons, Huntress a recommandé de révoquer les sessions et de réinitialiser les mots de passe, en plus d'auditer les appareils Entra et de vérifier les méthodes MFA enregistrées. Ses recommandations portaient aussi sur la recherche de règles de boîte de réception inattendues ou de nouvelles applications d'entreprise, ainsi que sur la restriction des flux d'authentification par code d'appareil au moyen de stratégies d'accès conditionnel.
Ces vérifications visent les modifications apportées par les attaquants après leur accès : une session volée ne représentait qu'une partie de l'intrusion, tandis que les méthodes d'authentification ajoutées, les appareils enregistrés et les règles de boîte aux lettres pouvaient rester en place.
