PREY-0058 utilise les appels au support et des proxies résidentiels pour contourner l’AMF de Microsoft 365

Un groupe malveillant suivi sous le nom de PREY-0058 compromet des comptes cloud d’entreprise en se faisant passer par téléphone pour des membres du service informatique interne. Plutôt que de déployer des logiciels malveillants ou d’exploiter une vulnérabilité logicielle, les attaquants persuadent les employés de s’authentifier via des portails d’hameçonnage conçus pour intercepter les échanges en temps réel.

Selon un rapport publié par Artic Wolf le 8 septembre 2026, la campagne cible fréquemment des directeurs, des vice-présidents et d’autres cadres dirigeants. Une fois à l’intérieur, les opérateurs explorent Microsoft 365 et les plateformes logicielles SaaS connectées, collectent des données d’entreprise et peuvent formuler des demandes d’extorsion.

La campagne combine le phishing vocal, une infrastructure d’adversary-in-the-middle, des jetons de session volés et des proxies résidentiels sélectionnés pour reproduire la localisation habituelle de la victime. Cette combinaison peut affaiblir les détections reposant principalement sur la géolocalisation ou les déplacements impossibles.

Un appel téléphonique déclenche la compromission

Les opérateurs de PREY-0058 se font passer pour le service informatique ou le centre de support de l’organisation. La victime est ensuite redirigée vers une page d’hameçonnage consacrée à l’authentification, souvent hébergée à une adresse suivant ce modèle :

<organisation victime>.<domaine leurre>

L’inclusion du nom de la cible dans le nom d’hôte donne l’impression que la page est liée à l’employeur, en particulier lorsqu’elle est consultée rapidement pendant une conversation téléphonique. L’appel crée également un sentiment d’urgence et permet à l’attaquant de guider la victime à chaque étape de l’authentification.

Le portail frauduleux prend en charge une attaque adversary-in-the-middle, ou AiTM. Au lieu de se contenter de recueillir un mot de passe statique, l’infrastructure d’hameçonnage relaie les échanges d’authentification entre la victime et le service Microsoft légitime.

Les opérateurs peuvent ainsi intercepter les identifiants et les validations MFA au moment où ils sont transmis. Plus important encore, ils peuvent obtenir le jeton de session Microsoft 365 authentifié créé une fois que l’utilisateur a terminé le processus de connexion.

Le jeton volé est ensuite rejoué pour accéder au compte. La session ayant déjà passé l’authentification, l’attaquant peut ne pas avoir à demander une nouvelle validation MFA tant que le jeton n’a pas expiré, n’a pas été révoqué ou n’a pas rencontré une autre décision de contrôle d’accès.

Aucun exploit sur le terminal n’est nécessaire. Les antivirus classiques et les outils de détection sur les terminaux peuvent donc ne rien voir, ou presque, lors de la compromission initiale.

Les proxies résidentiels donnent aux sessions malveillantes une apparence locale

PREY-0058 utilise une infrastructure de proxies résidentiels, notamment NodeMaven, pour relayer l’accès aux comptes compromis. Les opérateurs sélectionnent des adresses proxy correspondant à la zone géographique de la victime et, dans certains cas, au même réseau ou au même numéro de système autonome.

Cette technique vise à faire passer la session volée pour une activité légitime. Un utilisateur qui se connecte habituellement depuis une ville donnée peut ainsi sembler toujours s’y trouver, alors qu’un attaquant contrôle la session depuis un autre endroit.

Elle limite également l’efficacité des alertes de déplacement impossible. Ces contrôles sont efficaces lorsqu’un compte apparaît dans des lieux éloignés dans un laps de temps irréaliste, mais ils sont moins fiables lorsque les deux sessions proviennent d’adresses proches.

La localisation doit donc être considérée comme un signal parmi d’autres, et non comme une preuve de légitimité. Les défenseurs doivent comparer la géographie apparente à d’autres caractéristiques, notamment :

• Fournisseur d’accès à Internet et ASN
• Attribution à un proxy résidentiel ou à un fournisseur d’hébergement
• Profil du navigateur et du système d’exploitation
• Chaînes user-agent
• État de gestion et de conformité de l’appareil
• Applications ouvertes au début de la session
• Activité liée aux fichiers, aux e-mails et aux annuaires après l’authentification

Une session qui semble géographiquement normale peut tout de même être malveillante si son fournisseur réseau, l’état de l’appareil ou le comportement observé diffère des habitudes établies du compte.

Les attaquants cartographient les applications avant de collecter les données

Après avoir rejoué un jeton volé, les opérateurs accèdent généralement à des interfaces de compte Microsoft telles que OfficeHome, My Signins, My Profile, My Apps et Microsoft Account Controls.

Ces services fournissent des informations utiles sur le compte de la victime et les applications auxquelles elle peut accéder. L’accès précoce à plusieurs de ces interfaces peut indiquer qu’un intrus cherche à déterminer les ressources accessibles au compte avant d’entamer une reconnaissance plus large.

PREY-0058 explore ensuite Microsoft Entra ID et SharePoint. La découverte SharePoint peut générer des événements d’audit SearchQueryPerformed contenant des expressions de recherche telles que :

contentclass:STS_Site
contentclass:STS_Web

Les attaquants peuvent également utiliser des recherches génériques avec indexdocid pour parcourir les résultats par pages. Cette activité permet d’énumérer systématiquement les sites SharePoint, les ressources web, les référentiels de documents et les fichiers potentiellement intéressants.

La collecte de données peut ensuite s’étendre à :

• SharePoint
• OneDrive
• Exchange
• Box

Les opérateurs peuvent automatiser l’accès à l’aide de la bibliothèque requests de Python ou de l’API Microsoft Graph, afin de récupérer les fichiers plus rapidement qu’en naviguant manuellement dans un navigateur. Une collecte à grande échelle peut exposer des documents d’entreprise, des e-mails et des données stockées sur des plateformes SaaS connectées.

Un acte d’extorsion peut suivre le vol. Le principal risque ne réside donc pas dans la prise de contrôle de l’ordinateur d’un employé, mais dans l’utilisation non autorisée d’une identité cloud de confiance pour accéder à des informations que l’employé est déjà autorisé à consulter.

La détection nécessite des données de télémétrie cloud et d’identité

Les défenseurs doivent d’abord examiner les connexions associées à NodeMaven, à d’autres services de proxies résidentiels et à des fournisseurs d’hébergement. Toutefois, bloquer un réseau donné ne suffira pas à contrer des opérateurs qui renouvellent leur infrastructure.

La séquence d’activité est souvent plus révélatrice qu’une adresse IP isolée. Une session inhabituelle peut commencer par des interfaces de gestion de compte, se poursuivre par une exploration de SharePoint ou d’Entra ID et se terminer par un accès étendu aux fichiers ou à la messagerie.

Les schémas de détection prioritaires incluent :

1. Un accès inattendu à OfficeHome, My Signins, My Profile, My Apps ou Microsoft Account Controls immédiatement après la connexion.
2. Des différences par rapport au FAI, à l’ASN, au navigateur, au système d’exploitation, à l’appareil ou au user-agent habituel de l’utilisateur.
3. Des événements SearchQueryPerformed énumérant des sites, des espaces web ou des fichiers SharePoint.
4. Des vagues d’événements Exchange MailItemsAccessed sur une courte période.
5. Un volume important de consultations et de téléchargements de fichiers SharePoint ou OneDrive depuis un même compte.
6. La récupération de fichiers au moyen de requêtes HTTP basées sur Python ou de Microsoft Graph.
7. Une activité cloud provenant d’adresses de proxies résidentiels ou d’hébergement, même lorsque la localisation semble normale.
8. Des domaines nouvellement enregistrés ou récemment observés imitant l’organisation et demandant l’activation de la MFA, d’une passkey ou d’un mécanisme d’authentification.

Les équipes de sécurité doivent corréler ces signaux plutôt que de les évaluer séparément. Par exemple, une adresse IP résidentielle locale peut ne pas sembler dangereuse en elle-même, mais elle devient significative lorsqu’elle est associée à un appareil non géré, à un nouvel user-agent, à une énumération SharePoint et à une hausse soudaine des téléchargements.

Artic Wolf a également publié des indicateurs de compromission associés à PREY-0058. Les valeurs précises des domaines et des adresses IP ne figurent pas dans les informations disponibles sur la campagne. Les défenseurs doivent donc aussi maintenir des détections comportementales qui restent efficaces lorsque l’infrastructure évolue.

Les appareils gérés et les identifiants résistants réduisent l’exposition

Les organisations doivent exiger, dans la mesure du possible, que l’accès à Microsoft 365 s’effectue depuis des appareils gérés et conformes. Un jeton volé utilisé depuis un appareil inconnu doit déclencher des contrôles d’accès supplémentaires, au lieu d’être accepté au seul motif que le mot de passe et le processus MFA ont déjà été validés.

Les connexions provenant de proxies résidentiels et de fournisseurs d’hébergement peuvent être bloquées, limitées ou soumises à une vérification renforcée. Des exceptions peuvent être nécessaires pour certains utilisateurs légitimes, mais elles ne doivent pas supprimer les contrôles liés à l’appareil et au comportement.

La fonctionnalité Microsoft Continuous Access Evaluation peut contribuer à réévaluer les sessions actives lorsque des conditions de sécurité pertinentes évoluent. Les administrateurs doivent également être prêts à révoquer rapidement les sessions lorsqu’un vol de jeton est suspecté.

Pour l’authentification, les organisations doivent privilégier des méthodes résistantes au phishing, telles que les clés de sécurité FIDO2 et les passkeys liées à l’appareil. Ces contrôles offrent une meilleure protection contre le phishing AiTM que les demandes d’approbation ou les identifiants qu’un utilisateur peut transmettre via un site web trompeur.

Parmi les autres mesures figurent la limitation de l’accès aux référentiels SharePoint sensibles, la vérification des autorisations excessives éventuellement accordées aux cadres dirigeants et la surveillance des accès en volume dans Microsoft 365 et Box.

Les employés et le personnel du support doivent également disposer d’une procédure précise pour gérer les appels d’assistance inattendus. L’utilisateur doit mettre fin à l’appel et contacter lui-même le service informatique au moyen d’un numéro interne établi ou d’un canal d’assistance authentifié. Les coordonnées communiquées par l’appelant ne doivent pas être considérées comme fiables.

Il s’agit d’une attaque visant l’identité, et non d’une faille corrigeable

Aucun CVE, aucune version logicielle vulnérable ni aucun correctif éditeur n’est associé à la campagne signalée. Microsoft 365, Entra ID, SharePoint, OneDrive, Exchange et Box sont les services ciblés concernés, mais aucune version précise n’a été divulguée.

Le catalogue CISA des vulnérabilités exploitées connues n’est donc pas applicable : PREY-0058 exploite les personnes, les processus d’authentification et les sessions volées plutôt qu’une vulnérabilité logicielle documentée.

Cette distinction modifie la réponse défensive. Corriger uniquement les terminaux ne permettra pas d’arrêter la campagne. Les organisations doivent renforcer les politiques d’accès au cloud, déployer une authentification résistante au phishing, réduire les autorisations excessives sur les données et enquêter sur les sessions d’identité, même lorsque leur localisation apparente semble familière.