Les nouveaux témoins : Service AitM qui vole les sessions Microsoft 365 et Okta

Les chercheurs en sécurité ont signalé l'existence d'un outil de phishing de type adversaire-in-the-@-@ middle (AitM) appelé NovaCookies qui agit comme un proxy pour rediriger Microsoft 365 login et capturer des sessions authentifiées en temps réel. Selon le rapport de l'entreprise insulaire sur le partage des médias, NovaCookies est commercialisée comme service d'abonnement (environ 320 $US par mois) et aurait déjà été utilisée contre des centaines d'organisations aux États-Unis, au Royaume-Uni, au Canada, en Allemagne, en Israël et aux Émirats arabes unis.. La société Proofpoint, pour sa part, a évalué NovaCookies comme une variante du kit connu sous le nom de Sneaky2FA, avec un soutien étendu pour d'autres fournisseurs d'identité tels que Okta et Entre domaines fédérés par GoDaddy.

Ce qui se passe et comment ça marche techniquement: NovaCookies fonctionne comme relais AitM. Dans une chaîne d'attaque typique, la victime reçoit une notification apparemment légitime (l'île a documenté l'utilisation des enveloppes de DocuSign comme leurre) menant à un document ou un lien malveillant. Ce lien déclenche un certain nombre de rédresses, dont certaines peuvent passer par des paramètres authentiques de Microsoft ou Google, jusqu'à ce qu'elles atteignent l'infrastructure contrôlée par l'attaquant. Lorsque la victime atteint la page de connexion falsifiée et complète les identifiants et les codes MFA, le kit retransmet ces identifiants à Microsoft en temps réel pour compléter l'authentification et capturer la session résultante (cookies, jetons, codes à usage unique).

Deux éléments techniques clés rendent l'escroquerie efficace : d'abord, le canal des services légitimes (par exemple, DocuSign → redirection vers le relais Microsoft → attaquant) fait chaque saut semble isolé et fiable; ensuite, le relais en temps réel permet à l'attaquant de convertir l'authentification légitime en accès immédiat en utilisant des cookies ou des jetons capturés. Island note également que les opérateurs de kit utilisent des techniques d'évitement comme portes utilisant Cloudflare et anti-débogue pour éviter d'être analysés par des scanners automatiques.

Comment il est distribué et géré : les données recueillies indiquent que NovaCookies est annoncé et géré via Telegram, qui sert à la fois à attirer les affiliés et à configurer les redirections et le support. Le modèle d'affaires déclaré est de phishing-as-a-service (PhaaS) : l'infrastructure est centralisée par l'opérateur et les affiliés l'utilisent sous abonnement, contrairement aux modèles où chaque affilié déploie son propre serveur. Les domaines observés dans les campagnes comprennent des extensions inhabituelles telles que le .vu et les URL avec des balises de remplacement du capital pour simuler des organes Microsoft (p. ex. PwPt-sHaRe, Ms36-AcCeSs), une stratégie commune pour éviter l'inspection de surface.

Portée et objet: les informations font état d ' attaques contre des organisations de divers secteurs et pays; le nombre exact de victimes et l'identité des opérateurs de services ne sont pas publiquement confirmés. Proofpoint et d'autres chercheurs ont associé NovaCookies aux familles existantes de kits AitM et à la tendance plus large de la commercialisation de la fraude par le biais de PhaaS, qui réduit la barrière technique pour les acteurs économiquement motivés. Ces plates-formes non seulement facilitent la capture des jetons, mais offrent maintenant des services complémentaires (analyse de la boîte aux lettres, modèles d'attraction, capacités d'attraction avec IA) qui augmentent la probabilité d'exploitation financière ultérieure.

Ce qui peut être déduit et ce qui reste incertain : il est raisonnable de conclure que NovaCookies facilite le vol de session et l'accès aux boîtes aux lettres d'entreprise lorsque les contrôles d'identité ne bloquent pas le relais AitM. Ce qui n'est pas encore public et qui nécessite davantage de recherches inclut l'attribution de l'opérateur principal, l'ampleur précise des dommages économiques liés à ces campagnes et la question de savoir si l'infrastructure bénéficie du soutien technique de tiers légitimes sans le savoir. C'est aussi une estimation - basée sur les modèles précédents - que ce PhaaS améliore l'efficacité des attaques d'engagement postal (BEC) et de la fraude financière.

Conséquences réelles : pour les organisations et les utilisateurs, la principale menace n'est pas seulement la divulgation des mots de passe, mais la capacité des attaquants de maintenir un accès persistant aux comptes authentifiés, d'échapper temporairement au MFA et de fonctionner à partir de sessions déjà validées. Cela facilite le vol de données, le remplacement de la fraude financière et les attaques subséquentes telles que les mouvements latéraux au sein du réseau.

Mesures spécifiques à prendre par les lecteurs (utilisateurs et administrateurs): ne sont pas des recommandations génériques mais des mesures spécifiques et pratiques:

1) Pour les administrateurs de Microsoft 365 / Azure AD: activer et revoir les politiques d'accès conditionnel (appliquer la restriction de l'emplacement, du risque et de la conformité des appareils), activer la possibilité de révoquer les sessions et rafraîchir immédiatement les jetons sur suspicion (document Microsoft sur la façon de révoquer les sessions: https: / / learn.microsoft.com / en-us / azure / répertoire actif / utilisateurs-groupes-roles / utilisateurs-revoke-sign-in-sessions), et envisager d'exiger des méthodes d'authentification résistantes à l'AitM - par exemple, FIDO2 / Passkeys clés de sécurité et des politiques qui bloquent le flux basé sur des codes de périphérique lorsque ce n'est pas nécessaire.

2) Pour l'équipement de sécurité: surveiller les démarrages de session anormales, en particulier l'activité qui affiche les changements de cookies / jetons ou de connexion à partir d'emplacements / agents inhabituels; rechercher les redirections OAuth et les schémas de trafic qui indiquent des relais en temps réel; ajouter des détections pour les domaines à faible réputation (comme les extensions inhabituelles) et pour les URL qui utilisent l'alternance de cas de capital dans les sous-domaines. Vérifiez les journaux de courrier et de SharePoint / OneDrive pour un accès atypique après le partage des notifications.

3) Pour les utilisateurs finaux: soyez prudent avec les avis de documents partagés, même s'ils arrivent d'un expéditeur légitime. Au lieu d'ouvrir des liens dans le courriel ou dans les pièces jointes HTML, accédez au service directement (par exemple, entrez DocuSign ou OneDrive à partir de votre portail corporatif) et vérifiez le contenu partagé. Évitez de saisir des identifiants ou des codes MFA sur des pages dont l'URL ne peut pas être clairement validée. Éduquer les équipes sur la possibilité d'un courrier légitime agissant comme transporteur d'une charge utile malveillante.

4) Mesures techniques supplémentaires: permettre une protection d'hameçonnage avancée (ATP / Microsoft Defender pour Office 365 ou solutions équivalentes), utiliser la navigation à distance ou l'isolement pour des liens inconnus, et limiter les autorisations d'applications tierces en utilisant OAuth. Examiner et renforcer le SPF / DKIM / DMARC et maintenir des politiques pour minimiser les comptes engagés en tant qu'expéditeurs authentifiés.

Contexte plus large: NovaCookies fait partie d'une vague majeure de kits PhaaS et AitM qui évoluent rapidement. Les groupes commerciaux et les services sur le marché clandestin offrent désormais des modèles, une gestion dans Telegram, et des modules d'évasion qui font même des opérateurs avec peu d'expérience réaliser des engagements réussis. Pour comprendre l'atténuation technique générale du phishing et les bonnes pratiques de défense, CISA et Microsoft maintiennent des guides publics : par exemple, CISA offre des conseils pratiques sur la façon de se protéger du phishing https: / / www.cisa.gov / conseils / st04-014, et la documentation Microsoft sur les flux OAuth et les bonnes pratiques d'authentification est une référence opérationnelle clé ( https: / / learn.microsoft.com / fr-us / azure / répertoire actif / develop / v2-oauth2-auth-code-flow).

Conclusion: NovaCookies n'introduit pas un nouveau concept, mais il consolide et commercialise les techniques AitM qui érodent la protection offerte par les flux d'authentification traditionnels. La réponse opérationnelle nécessite de combiner des mesures d'identité plus résilientes, un dépistage axé sur les sessions et les changements de comportement des utilisateurs, et une formation pratique qui fait douter les bénéficiaires avant même de suivre des liens apparemment légitimes. Jusqu'à ce que les plateformes d'identité atténuent techniquement ces vecteurs, les politiques d'hygiène et de défense constituent la barrière la plus efficace.