🔍 Contexte

Source : dfir.ch, publié le 1er novembre 2026. Retour d’expérience issu d’une investigation de réponse à incident sur un environnement Microsoft Exchange on-premises ayant déployé Hybrid Modern Authentication (HMA).

🧩 Situation observée

L’organisation avait configuré HMA pour permettre à Outlook de s’authentifier via Microsoft Entra ID avec OAuth et imposait le MFA via Microsoft 365. Malgré cela, les logs Exchange révèlent 66 610 requêtes EWS authentifiées avec succès via NTLM, associées à un user-agent Mozilla Thunderbird inhabituel dans cet environnement.

⚙️ Explication technique

  • L’activation d’OAuth sur Exchange ne désactive pas automatiquement NTLM ou Kerberos : les répertoires virtuels IIS peuvent conserver plusieurs mécanismes d’authentification simultanément (IISAuthenticationMethods).
  • NTLM utilise un mécanisme challenge-response via Active Directory, sans impliquer Entra ID : les politiques de Conditional Access et le MFA Entra ne sont donc jamais évalués.
  • OWA acceptait également une authentification par Forms-Based Authentication (FBA) directement sur le serveur Exchange on-premises, constituant un second chemin hors MFA Entra.
  • La même boîte mail était accessible simultanément via OAuth (clients légitimes) et NTLM (client suspect).

🗂️ Chemins d’authentification identifiés

Protocole Méthode Passe par Entra MFA
EWS (Outlook) OAuth bearer token ✅ Oui
EWS (Thunderbird) NTLM ❌ Non
OWA Forms-Based Auth (FBA) ❌ Non

🔎 Méthode de détection

  • Analyse des IIS logs : identification du user-agent Thunderbird et du volume de requêtes EWS anormal.
  • Analyse des Exchange HttpProxy logs : distinction entre OAuth et NTLM, confirmation de l’authentification réussie.
  • Commandes Exchange Management Shell pour auditer les répertoires virtuels et les politiques d’authentification.

📄 Type d’article

Rapport d’incident / analyse technique issu d’une investigation DFIR réelle, visant à documenter un vecteur de contournement MFA dans les environnements Exchange hybrides.

🧠 TTPs et IOCs détectés

TTP

  • T1078 — Valid Accounts (Defense Evasion)
  • T1550.002 — Use Alternate Authentication Material: Pass the Hash (Lateral Movement)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1556 — Modify Authentication Process (Defense Evasion)

🔴 Indice de vérification factuelle : 30/100 (basse)

  • ⬜ dfir.ch — source non référencée (0pts)
  • ✅ 12678 chars — texte complet (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://dfir.ch/posts/field_note_mha/