ShinyHunters : kit de vishing AiTM contournant le MFA Okta via clones de pages et bypass passkey

🔍 Contexte

Publié le 10 septembre 2026 par Mirage Security (blog.miragesecurity.ai), cet article présente une analyse technique approfondie d’une campagne de vishing active attribuée à un groupe opérant sous le label ShinyHunters. Deux déploiements live du kit ont été capturés et analysés.

🎯 Campagne et ciblage

La campagne est active depuis fin 2025, avec une accélération notable en juillet 2026 via une nouvelle vague d’infrastructure. Les opérateurs ont enregistré 29 domaines .claims imitant des marques spécifiques, hébergés derrière Cloudflare. Le ciblage initial portait sur la crypto/DeFi (à partir du 29 juillet), avant de pivoter vers les entreprises (SSO Okta) dès le 1er août.

Répartition sectorielle des 29 domaines identifiés :

Santé / sciences de la vie / medtech : 8 domaines (27,6%)
Services financiers et assurance : 8 domaines (27,6%)
Retail et restauration : 3 domaines
Crypto/DeFi : 5 domaines
Autres (tech, voyage, médias, cybersécurité) : 5 domaines

Deux incidents publics sont corrélés : ReliaQuest (domaine reliaquest.claims, signalé le 25 août) et McKesson (breach Okta → Salesforce → Snowflake, 284 millions de dossiers patients revendiqués).

⚙️ Chaîne d’attaque

Appel téléphonique : l’opérateur se fait passer pour l’IT/RH avec un prétexte urgent
Domaine leurre : marque.claims — aucune faute d’orthographe, lexique crédible (portail claims)
Page clonée Okta : reproduction fidèle avec logo, bannière “Connecting to”, “Powered by Okta”, URL factice repeinte en JS après chargement
Capture des credentials : username puis password sur écrans séparés, postés en temps réel à l’opérateur
Bypass MFA number matching : le kit récupère le chiffre de challenge en direct depuis le serveur de l’opérateur et l’affiche à la victime
Session compromise : l’opérateur obtient une session Okta live

🛠️ Fonctionnement technique du kit (AiTM)

Relay temps réel entre la session victime et la session opérateur sur le vrai tenant Okta
Facteurs fonctionnels (relayables) : Google Authenticator, code TOTP, push notification, SMS, appel
Facteurs délibérément cassés (origin-bound) : Okta FastPass, clé de sécurité/biométrie WebAuthn, PIV/CAC — tous affichent “currently unavailable in this region”
Captcha gate : rien ne s’exécute avant validation, bloquant les scanners automatisés
Repaint d’URL : la barre d’adresse est réécrite en JS pour simuler un redirect SAML légitime
Anti-analyse scoring : redirection des chercheurs vers les vraies pages Okta
Canaux de contrôle : session poll, server-sent events (kick), heartbeat, pause flag, push-status poll, beacon d’arrivée
Capture étagée : chaque étape (username, password, MFA) postée séparément avec tag brand+step

🏗️ Infrastructure

Registrar budget + Cloudflare fronting sur tous les domaines
29 domaines .claims baseline (24 suspendus par le registre les 23-24 août, remplacés le même jour en moins de 4h)
Pivot vers claims-.com et -claims.com depuis le 1er août (plus de deux douzaines dormants)
Deux domaines .com actifs observés les 1-2 septembre 2026
Domaine reliaquest.claims explicitement mentionné

📰 Nature de l’article

Article de publication de recherche / analyse technique produit par Mirage Security, visant à documenter le kit de phishing AiTM ShinyHunters, son infrastructure et ses mécanismes de bypass MFA pour les équipes CTI et les défenseurs Okta.

🧠 TTPs et IOCs détectés

Acteurs de menace

ShinyHunters (cybercriminal) — orkl.eu · Malpedia · MITRE ATT&CK

TTP

T1566 — Phishing (Initial Access)
T1598 — Phishing for Information (Reconnaissance)
T1557 — Adversary-in-the-Middle (Credential Access)
T1539 — Steal Web Session Cookie (Credential Access)
T1621 — Multi-Factor Authentication Request Generation (Credential Access)
T1656 — Impersonation (Defense Evasion)
T1036 — Masquerading (Defense Evasion)
T1056.003 — Input Capture: Web Portal Capture (Collection)
T1078 — Valid Accounts (Defense Evasion)
T1598.003 — Phishing for Information: Spearphishing Link (Reconnaissance)
T1588.004 — Obtain Capabilities: Digital Certificates (Resource Development)
T1583.001 — Acquire Infrastructure: Domains (Resource Development)

IOC

Domaines : reliaquest.claims — VT · URLhaus · ThreatFox

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

Okta AiTM Phishing Kit (ShinyHunters) (other)

🟡 Indice de vérification factuelle : 59/100 (moyenne)

⬜ miragesecurity.ai — source non référencée (0pts)
✅ 18266 chars — texte complet (fulltext extrait) (15pts)
✅ 1 IOC(s) (6pts)
✅ 1/1 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
✅ 12 TTPs MITRE identifiées (15pts)
✅ date extraite du HTML source (10pts)
✅ acteur(s) identifié(s) : ShinyHunters (5pts)
⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

reliaquest.claims (domain) → VT (5/89 détections)

🔗 Source originale : https://www.miragesecurity.ai/blog/shinyhunters-vishing-playbook

🔍 Contexte#

🎯 Campagne et ciblage#

⚙️ Chaîne d’attaque#

🛠️ Fonctionnement technique du kit (AiTM)#

🏗️ Infrastructure#

📰 Nature de l’article#

🧠 TTPs et IOCs détectés#

Acteurs de menace#

TTP#

IOC#

Malware / Outils#

🟡 Indice de vérification factuelle : 59/100 (moyenne)#