🔍 Contexte

PubliĂ© le 23 avril 2026 par Push Security, cet article analyse ConsentFix v3, un nouveau toolkit criminel diffusĂ© sur le forum XSS (suspectĂ© d’avoir des liens avec des acteurs Ă©tatiques russes). Il s’appuie sur une technique initialement attribuĂ©e Ă  APT29 en dĂ©cembre 2025, puis amĂ©liorĂ©e par le chercheur John Hammond (v2), et dĂ©sormais reprise par des cybercriminels.

⚙ Technique ConsentFix

ConsentFix fusionne l’ingĂ©nierie sociale de type ClickFix avec le phishing de consentement OAuth. La victime est manipulĂ©e pour copier-coller (ou glisser-dĂ©poser) une URL Microsoft lĂ©gitime contenant un code d’autorisation OAuth dans une page de phishing. Ce code est ensuite utilisĂ© par l’attaquant pour s’authentifier sur une application Microsoft first-party (ex: Azure CLI) ciblant des apps avec des exclusions de Conditional Access connues.

Résultat : accÚs API au compte Entra ID de la victime, contournement du MFA (y compris passkeys), des contrÎles de conformité des appareils et du Conditional Access.

đŸ› ïž ConsentFix v3 — DĂ©tails techniques

Le toolkit v3 permet d’instrumenter l’intĂ©gralitĂ© de la chaĂźne d’attaque :

  • DĂ©ploiement d’infrastructure de phishing
  • CrĂ©ation de personas crĂ©dibles
  • Gestion de campagnes email
  • Automatisation de l’Ă©change du token OAuth capturĂ© contre des tokens de session et refresh tokens

Outils SaaS et open-source utilisés :

  • Cloudflare Workers : hĂ©bergement de l’infrastructure
  • ZoomInfo : identification des cibles
  • Dropbox : hĂ©bergement de PDF
  • Pipedream : canal d’exfiltration (webhook pour Ă©changer le code OAuth contre un refresh token)
  • SpecterPortal : post-exploitation

🔗 Lien avec le device code phishing

ConsentFix et le device code phishing sont deux attaques OAuth distinctes (RFC 6749 vs RFC 8628) mais aux effets similaires. Les deux contournent le processus de login standard et les contrĂŽles d’identitĂ©. Via les FOCI apps (Family of Client IDs), un attaquant peut pivoter silencieusement vers Outlook, Teams, OneDrive, SharePoint. Une escalade via le Primary Refresh Token (PRT) permet d’obtenir un accĂšs SSO complet (mĂ©thode utilisĂ©e par Storm-2372 en 2025).

🌐 PortĂ©e au-delĂ  de Microsoft

Bien que l’exploitation in-the-wild cible principalement Microsoft, les principes de ConsentFix s’appliquent aussi Ă  Google Cloud CLI, GitHub CLI, Salesforce, AWS et d’autres services supportant l’authorization code grant avec localhost comme redirect URI.

📌 Nature de l’article

Il s’agit d’une analyse technique publiĂ©e par un vendeur de sĂ©curitĂ© (Push Security), visant Ă  documenter le toolkit ConsentFix v3, expliquer son fonctionnement, le replacer dans le contexte des attaques OAuth en hausse, et prĂ©senter les capacitĂ©s de dĂ©tection de leur propre plateforme.

🧠 TTPs et IOCs dĂ©tectĂ©s

Acteurs de menace

TTP

  • T1566 — Phishing (Initial Access)
  • T1550.001 — Use Alternate Authentication Material: Application Access Token (Defense Evasion)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1556 — Modify Authentication Process (Credential Access)
  • T1204.001 — User Execution: Malicious Link (Execution)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1098.005 — Account Manipulation: Device Registration (Persistence)

Malware / Outils

  • ConsentFix v3 (tool)
  • SpecterPortal (framework)

🟡 Indice de vĂ©rification factuelle : 45/100 (moyenne)

  • ⬜ pushsecurity.com — source non rĂ©fĂ©rencĂ©e (0pts)
  • ✅ 14026 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC Ă  vĂ©rifier (0pts)
  • ✅ 7 TTPs MITRE identifiĂ©es (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifiĂ©(s) : APT29, Storm-2372 (5pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

🔗 Source originale : https://pushsecurity.com/blog/consentfix-v3-analyzing-a-new-toolkit/