Starkiller le phishing qui se trouve entre la victime et le site réel pour battre le MFA

Un nouveau kit d'hameçonnage appelé Starkiller a activé les alarmes dans le monde de la cybersécurité. Les chercheurs ont constaté que ce service ne se limite pas à reproduire de fausses pages, mais que agit comme intermédiaire vivant entre la victime et le site légitime, qui vous permet d'éviter de nombreuses protections traditionnelles, y compris l'authentification multifactorielle (MFA).

Selon l'analyse publiée par Abnormal Security, Starkiller est commercialisé comme une plateforme qui facilite la création et la gestion de campagnes frauduleuses: à partir d'un panneau de contrôle, les attaquants peuvent choisir la marque à planter, entrer l'URL cible réelle ou combiner des mots clés tels que "login" ou "vérifier" pour déguiser des liens, ainsi que d'intégrer des raccourcis pour cacher la destination finale. Vous pouvez lire le rapport d'Anormal ici: Anormal.ai - Tueur d'étoiles.

La technique qu'il utilise est techniquement simple mais dangereux: une instance Chrome sans tête est lancée dans un conteneur Docker, le web légitime est chargé et le conteneur fonctionne comme un mandataire inverse. De cette façon, la victime visualise le contenu authentique servi par l'infrastructure de l'agresseur et toute interaction - chaque poussée, chaque forme d'envoi et chaque jeton de session - passe par ses mains. Utilisation Chrome sans tête et contenants permet d'automatiser et d'écheller cette opération avec de faibles exigences techniques pour l'opérateur.

Le risque est double : d'une part, la page que voit la victime est toujours mise à jour parce qu'elle est obtenue directement à partir du site réel; d'autre part, parce qu'il n'y a pas de modèles statiques de la fausse page, les systèmes de détection basés sur les empreintes digitales ont moins de chances d'identifier l'escroquerie. Anormale souligne que cette combinaison d'utilisation d'URL, d'enlèvement de session et de proxy en temps réel rend la tromperie un outil accessible même pour les attaquants avec peu de compétences techniques.

Starkiller s'inscrit dans une tendance plus large : les kits d'hameçonnage qui deviennent des modèles « frauduleux en tant que service », tout en intégrant des techniques permettant de saisir non seulement des références, mais aussi des codes à usage unique, des jetons et d'autres facteurs d'authentification. Un exemple proche est la progression observée par Datadog dans le kit 1Phish, qui est passé d'un simple collecteur d'identifications à une plate-forme capable de filtrer les robots, de capturer les codes OTP et de récupération, et de mettre en œuvre la logique d'empreinte du navigateur pour améliorer les taux de succès. L'analyse de données explique comment chaque itération ajoute des contrôles pour éviter l'analyse automatique et accroître l'efficacité: securitylabs.datadoghq.com - 1Phish.

De plus, les approches qui utilisent des protocoles légitimes pour obtenir un accès persistant ne sont pas rares. Savoir Les chercheurs Be4 ont documenté une campagne qui abuse du flux d'autorisation de périphérique OAuth 2.0 pour convaincre les utilisateurs d'entrer un code temporaire dans le site Web légitime de Microsoft; lorsque la victime le fait, l'agresseur reçoit un jeton OAuth valide qui lui donne accès à la boîte aux lettres ou aux données de l'entreprise. Ce type de tromperie montre que la réorientation de la victime vers des domaines légitimes n'empêche pas l'usurpation si le processus d'autorisation est manipulé : KnowBe4 - campagne qui échappe au MFA.

Les institutions financières n'ont pas non plus été immunisées. Un récent rapport de BlueVoyant décrit des campagnes ciblant les banques et les coopératives de crédit aux États-Unis. UU a utilisé des domaines imités et des chaînes d'échappement multicouches : faux captches, retards intentionnels, scripts codés Base64 et rédactrices conçus pour confondre les victimes et les scanners automatiques. Cette approche rend l'attaque légitime à l'œil nu et complique sa détection par des outils automatisés : bluevoyant.com - campagne contre le secteur financier.

Compte tenu de ce scénario, il y a une leçon claire: le MFA traditionnel basé sur les codes SMS ou les applications OTP ne peut plus être suffisant si l'adversaire capture le code en temps réel ou trompe l'utilisateur pour permettre un accès légitime. C'est pourquoi les experts insistent pour passer à des méthodes d'authentification intrinsèquement résistantes au phishing, telles que les normes FIDO2 et les clés de sécurité physique, qui empêchent un tiers de réutiliser des lettres d'identification ou des jetons accordés pour une autre session. Pour approfondir ces méthodes, la FIDO Alliance offre des ressources utiles : fidoalliance.org.

Au niveau organisationnel, les défenses doivent combiner les contrôles techniques avec les politiques et le suivi. Cela signifie limiter et vérifier l'enregistrement des demandes qui peuvent demander des jetons, appliquer des politiques de consentement strict sur les plateformes cloud, surveiller les concessions OAuth et détecter les utilisations anormales des sessions et des jetons. Microsoft a de la documentation sur le flux de code de périphérique et les contrôles qui aident à atténuer les abus: apprendre.

Il n'y a pas de balle d'argent : une sécurité efficace contre ces campagnes nécessite des couches. Le filtrage avancé du courrier, l'analyse du comportement du lien, l'isolement de navigation pour ouvrir des sites suspects dans des environnements contrôlés et une culture de sensibilisation des employés réduisent les risques. Il est également important que les organisations disposent d'une détection et d'une intervention rapides pour révoquer les permis et les jetons et limiter les dommages en cas d'incident.

L'industrie progresse, et la bonne nouvelle est que la recherche publique et l'échange de renseignements aident à identifier les modèles et à protéger les infrastructures. L'autre partie est que la fraude continue d'être professionnalisée et rendue accessible en tant que service, ce qui nécessite une réponse coordonnée entre les fournisseurs de sécurité, les entreprises et les utilisateurs. Il est essentiel de rester informé, d'adopter une authentification résistante au phishing et de surveiller l'utilisation d'OAuth et de jetons pour ne pas devenir la prochaine victime.