🔍 Contexte

Publié en septembre 2026 sur GitHub (IceMoonHSV/TATS), cet article présente TATS (Token Analysis and Tracking System), un outil open source en Python destiné à l’analyse offensive et à la recherche sur les tokens d’authentification modernes.

🛠️ Fonctionnement général

TATS ingère des captures réseau depuis trois sources :

  • Burp Suite (export XML)
  • mitmproxy (fichiers .mitm, incluant les frames WebSocket)
  • Chrome DevTools Protocol (CDP) en mode live, sans CA proxy, avec déchiffrement TLS natif

Toutes les données sont consolidées dans une base SQLite unique, consultable via un dashboard web interactif avec rafraîchissement automatique toutes les 5 secondes.

🎯 Capacités offensives clés

  • Extraction de access tokens, refresh tokens, id tokens et cookies de session Microsoft (ESTSAUTH, ESTSAUTHPERSISTENT, ESTSAUTHLIGHT, SignInStateCookie)
  • Détection des mécanismes FOCI (Family of Client IDs) et BroCI / Nested App Authentication
  • Suivi des chaînes de rotation de refresh tokens avec détection d’expansion de privilèges
  • Détection des scopes et rôles Microsoft Graph à haut impact
  • Export des tokens pour replay : format raw, Bearer, curl, JSON, cache roadtx
  • Génération de snippets de commandes prêts à l’emploi : roadtx describe, roadtx auth, curl, Python requests, PowerShell Invoke-RestMethod
  • Enrichissement via entrascopes.com pour résoudre les GUIDs applicatifs Microsoft
  • Détection des mismatches audience/host (indicateur de fuite ou mauvais usage de token)
  • Suivi des frames WebSocket (Teams, Skype, SignalR)

🔐 Fonctionnalités de confidentialité

  • Par défaut : stockage de fingerprints SHA-256 (12 hex) et préfixes de 12 caractères uniquement
  • Option --store-tokens pour stocker les tokens complets (désactivée par défaut)
  • Option --redact-claims pour remplacer les champs PII par des hash stables

📌 Type et objectif

Cet article est une présentation d’outil offensif open source à destination des chercheurs en sécurité et des pentesters, optimisé pour l’écosystème Microsoft 365 / Azure / Entra ID. Il documente exhaustivement les capacités d’extraction, d’analyse et de replay de tokens OAuth dans un contexte d’engagement offensif.

🧠 TTPs et IOCs détectés

TTP

  • T1550.001 — Use Alternate Authentication Material: Application Access Token (Defense Evasion)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1602 — Data from Configuration Repository (Collection)
  • T1040 — Network Sniffing (Credential Access)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 11 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • TATS (tool)
  • roadtx (tool)
  • mitmproxy (tool)
  • Burp Suite (tool)

🟡 Indice de vérification factuelle : 36/100 (moyenne)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://github.com/IceMoonHSV/TATS