🔍 Contexte

Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de token replay ciblant Microsoft 365 observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026.

🎯 Mécanisme d’attaque

L’attaquant n’a jamais eu besoin de mots de passe. La chaîne d’attaque repose sur :

  • Des relais adversary-in-the-middle (AiTM) capturant les tokens de session post-MFA via de fausses pages de connexion
  • Du device-code phishing (victimes trompées pour entrer un code sur la vraie page Microsoft)
  • De l’ingénierie sociale lors de processus de connexion légitimes

Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP 193.26.115.0/24 appartenant à 1337 Services GmbH (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés).

📊 Ampleur et phases

  • 497 connexions réussies dans 79 organisations
  • Plus de 200 000 tentatives échouées
  • 4 phases distinctes utilisant 6 adresses IP successives dans le /24
  • 48 appareils Entra rogues enregistrés (nommés DESKTOP- + 8 caractères hexadécimaux majuscules)
  • MFA effacée et remplacée dans 19 organisations en moins de 3 heures

🛠️ Deux toolsets identifiés

Build A (replay scripté) : user-agent node, client Microsoft Office / Authentication Broker, requêtes OAuth2:Token, enregistrement de faux appareils Entra.

Build B (replay de session navigateur) : user-agent Chrome/Edge sur Windows, client OfficeHome, requêtes Login:reprocess.

🕵️ Persistance et post-compromission

  • Enregistrement d’applications MFA rogue (ex: « iPhone 13 »)
  • Création de règles de messagerie cachées (noms : ., sss, ss, iT, ,., ........, s, d) déplaçant les mails vers RSS Feeds, Conversation History, etc.
  • Envoi d’un email lié à la paie vers un CPA externe (tentative de BEC)
  • Pivot post-compromission vers ExpressVPN, NordVPN, CrownCloud, DataWagon, GLOBALTELEHOST, LeaseWeb, Dynu, Interserver

🌐 Infrastructure

Les relais AiTM incluent 185.238.2.195 et 2400:8d60:2::1:841d:5dd (Evoxt Sdn. Bhd.). Les règles inbox ont été créées depuis des VPN/hébergeurs distincts, jamais depuis le réseau 1337 Services.

📄 Nature de l’article

Il s’agit d’une analyse technique et rapport d’incident produit par Huntress, documentant une campagne active avec IoCs, timeline détaillée, mapping MITRE ATT&CK et indicateurs exploitables pour la détection et la réponse.

🧠 TTPs et IOCs détectés

TTP

  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1550.001 — Use Alternate Authentication Material: Application Access Token (Defense Evasion)
  • T1098.005 — Account Manipulation: Device Registration (Persistence)
  • T1556.006 — Modify Authentication Process: Multi-Factor Authentication (Persistence)
  • T1564.008 — Hide Artifacts: Email Hiding Rules (Defense Evasion)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ huntress.com — source reconnue (liste interne) (20pts)
  • ✅ 24039 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 13 IOCs dont des hashes (15pts)
  • ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 193.26.115.221 (ip) → VT (8/92 détections)
  • 193.26.115.199 (ip) → VT (8/92 détections)
  • 193.26.115.16 (ip) → VT (5/92 détections)

🔗 Source originale : https://www.huntress.com/blog/token-replay-spray