🔍 Contexte

Publié le 12 novembre 2026 par Huntress (blog de recherche en cybersécurité), cet article détaille une attaque de phishing par code appareil (device code phishing) observée mi-octobre 2026 par le SOC Huntress. La victime est une entreprise du secteur de la construction.

🎯 Mécanisme d’attaque

L’attaque repose sur un spear-phishing sophistiqué combinant plusieurs techniques :

  • Un email usurpant l’identité d’un vice-président senior réel d’une autre entreprise du secteur, avec un domaine typosquatté configuré via Zoho Mail
  • Un lien dans l’email redirigé via Microsoft Safe Links, puis un Google short link, avant d’atterrir sur la page malveillante
  • Une fausse page “Microsoft Teams Meeting Scheduler” demandant à la victime de choisir date, heure et durée d’un appel

⚙️ Déroulement technique

  1. Lorsque la victime clique sur “Continue”, la page initie en arrière-plan une requête de code appareil Microsoft (POST /api/device/start) vers le backend malveillant gpimmlgration[.]com
  2. Un user_code est généré et présenté à la victime comme un “Booking Reference” (référence de réservation)
  3. La victime est invitée à copier ce code (copié automatiquement dans le presse-papiers) puis redirigée vers la vraie page Microsoft microsoft.com/devicelogin
  4. En entrant le code, la victime autorise la session de l’attaquant
  5. Après succès, la victime est redirigée vers une vraie page Calendly pour ne pas éveiller les soupçons

🛠️ Infrastructure et kit de phishing

  • Le kit de phishing est chiffré en AES-256-GCM et déchiffré côté navigateur via WebCrypto API, rendant la page opaque aux scanners statiques
  • Le kit inclut deux modes de fallback : WinHello stage (fenêtre imitant Microsoft) et Token-mode fallback (redémarrage du flux MFA si AADSTS50076 est retourné)
  • L’authentification est routée via un proxy résidentiel basé à La Nouvelle-Orléans pour masquer l’origine du trafic
  • Le domaine malveillant a été enregistré 8 jours avant l’incident

📋 Indicateurs clés

  • Backend malveillant : gpimmlgration[.]com
  • Redirect Google : share.google/?q=UltJkMsVWI5V9GJM1
  • Authentification réussie signalée par le cookie Cmsi:Cmsi
  • User agents programmatiques (python-requests, node) observés dans les logs de connexion

📌 Type d’article

Analyse technique et rapport d’incident publiés par Huntress pour documenter une nouvelle variante de device code phishing et partager les IOCs associés.

🧠 TTPs et IOCs détectés

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1608.005 — Stage Capabilities: Link Target (Resource Development)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1204.001 — User Execution: Malicious Link (Execution)
  • T1027.013 — Obfuscated Files or Information: Encrypted/Encoded File (Defense Evasion)
  • T1078.004 — Valid Accounts: Cloud Accounts (Defense Evasion)
  • T1656 — Impersonation (Defense Evasion)
  • T1528 — Steal Application Access Token (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1550.004 — Use Alternate Authentication Material: Web Session Cookie (Lateral Movement)
  • T1090 — Proxy (Command and Control)

IOC

  • Domaines : gpimmlgration.com — VT · URLhaus · ThreatFox
  • URLs : https://gpimmlgration.com/static-export/api/device/start — URLhaus
  • URLs : https://share.google/?q=UltJkMsVWI5V9GJM1 — URLhaus
  • URLs : https://www.google.com/share.google?q=UltJkMsVWI5V9GJM1 — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ✅ huntress.com — source reconnue (liste interne) (20pts)
  • ✅ 18880 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/4 IOCs confirmés externellement (0pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.huntress.com/blog/crafty-microsoft-teams-booking-flow-disguises-device-code-phishing