AiTM

🔍 Contexte Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de token replay ciblant Microsoft 365 observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026. 🎯 Mécanisme d’attaque L’attaquant n’a jamais eu besoin de mots de passe. La chaîne d’attaque repose sur : Des relais adversary-in-the-middle (AiTM) capturant les tokens de session post-MFA via de fausses pages de connexion Du device-code phishing (victimes trompées pour entrer un code sur la vraie page Microsoft) De l’ingénierie sociale lors de processus de connexion légitimes Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP 193.26.115.0/24 appartenant à 1337 Services GmbH (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés). ...

🎯 Contexte Source : Malwarebytes ThreatLabs, publié le 14 octobre 2026 par Stefan Dasic. L’article documente une campagne de phishing active exploitant l’image de Calendly et de Meta pour cibler des chercheurs d’emploi. 🕵️ Description de l’attaque Des attaquants ont déployé 11 domaines de phishing imitant des pages de réservation Calendly pour de faux entretiens d’embauche chez Meta. Le flux d’attaque suit une séquence en plusieurs étapes : Fausse page Calendly : intitulée « Calendly | Meta Careers », avec calendrier interactif chargé depuis le serveur des attaquants Collecte de données personnelles : nom, email, téléphone Faux CAPTCHA : grille d’images pour contourner les scanners automatisés Fausse fenêtre de connexion Facebook : avec fausse barre d’adresse simulant un pop-up navigateur légitime Vol du code 2FA Facebook : le site relaie en temps réel le code vers le vrai Facebook avant expiration Fausse connexion Google : prétexte « Facebook requires you to sign in to the Gmail address », avec vol du mot de passe et des facteurs d’authentification Google Fausse confirmation : message indiquant qu’une invitation a été envoyée ⚙️ Mécanisme de contournement du 2FA Le kit de phishing opère en temps réel : il interroge continuellement le serveur des attaquants pour savoir quel écran afficher. Les attaquants utilisent immédiatement les identifiants volés sur les vrais services, relayant les demandes de codes ou d’approbations de prompts téléphoniques à la victime encore connectée sur la fausse page (attaque de type AiTM – Adversary-in-the-Middle). ...

🔍 Contexte Publié le 10 septembre 2026 par Mirage Security (blog.miragesecurity.ai), cet article présente une analyse technique approfondie d’une campagne de vishing active attribuée à un groupe opérant sous le label ShinyHunters. Deux déploiements live du kit ont été capturés et analysés. 🎯 Campagne et ciblage La campagne est active depuis fin 2025, avec une accélération notable en juillet 2026 via une nouvelle vague d’infrastructure. Les opérateurs ont enregistré 29 domaines .claims imitant des marques spécifiques, hébergés derrière Cloudflare. Le ciblage initial portait sur la crypto/DeFi (à partir du 29 juillet), avant de pivoter vers les entreprises (SSO Okta) dès le 1er août. ...

🔍 Contexte Publié le 7 septembre 2026 par CloudSEK (source : cloudsek.com), cet article présente les résultats d’une investigation menée par l’équipe TRIAD ayant obtenu un accès administrateur au panneau de contrôle de la campagne BigBear 2.0, une opération de phishing-as-a-service (PhaaS) basée sur le framework Evilginx2. 🎯 Description de la campagne BigBear 2.0 est une plateforme PhaaS multi-utilisateurs opérée sous l’alias “General Boss”, ciblant exclusivement Microsoft 365 / Azure AD (Entra ID) via la technique Adversary-in-the-Middle (AiTM). La campagne a été active depuis au moins juin 2026 et était toujours en cours au moment de la publication. ...

🔍 Contexte Publié le 9 septembre 2026 sur le blog Microsoft Security, cet article présente une analyse technique détaillée d’une campagne d’intrusion cloud active observée depuis mai 2026, ciblant des identités Microsoft 365 via une chaîne d’attaque en plusieurs étapes. 🎯 Vecteur d’accès initial L’attaque débute par de l’ingénierie sociale téléphonique ou par SMS : un attaquant se fait passer pour le helpdesk IT de l’organisation et crée un sentiment d’urgence autour de la mise à jour d’une passkey, MFA ou SSO. Les victimes sont dirigées vers des sites de phishing imitant Microsoft, enregistrés selon le pattern companyname[.]maliciousdomain[.]com. ...

🔍 Contexte Publié le 18 août 2026 par ANY.RUN sur son blog de cybersécurité, cet article présente une analyse technique approfondie de Mirage2FA, un kit de Phishing-as-a-Service (PhaaS) actif depuis septembre 2024 et toujours opérationnel en juillet 2026. 🎯 Description de la menace Mirage2FA est un toolkit commercial conçu pour compromettre des comptes Microsoft 365 en contournant l’authentification multi-facteurs (MFA) via une architecture Adversary-in-the-Middle (AiTM). L’attaque intercepte en temps réel les identifiants, codes 2FA et cookies de session authentifiés via un proxy inverse WebSocket. ...

🔍 Contexte Publié le 6 août 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, cet article constitue une mise à jour d’un précédent rapport de mai 2026 sur le groupe UNC6671. Il documente la continuation et la diversification des opérations de ce groupe malgré l’annonce de la retraite de la marque BlackFile en mai 2026. 🎭 Acteur et marques associées UNC6671 opère désormais sous plusieurs marques d’extorsion disposant chacune d’un Data Leak Site (DLS) distinct : ...

🌐 Contexte Publié le 31 juillet 2026 par Microsoft Threat Intelligence, cet article détaille la campagne CaptiveCrunch, attribuée à Storm-2945, un sous-cluster opérationnel de Midnight Blizzard (SVR russe). L’activité est observée depuis début mai 2026 et cible principalement les voyageurs d’affaires dans des environnements hôteliers et de conférence à l’échelle mondiale. 🎯 Vecteur d’attaque Storm-2945 manipule le trafic DNS et HTTP des réseaux servis par des portails captifs Wi-Fi pour rediriger les utilisateurs vers une infrastructure contrôlée par l’acteur. Les techniques employées incluent : ...

🔍 Contexte Rapport publié le 23 juillet 2026 par l’équipe ReliaQuest Threat Research. Il documente une campagne active depuis au moins juin 2026, ciblant des passerelles Wi-Fi captives dans des hôtels et centres de conférence aux États-Unis, en Inde et en Arabie Saoudite. 🎯 Nature de l’attaque Les attaquants compromettent des appliances de portail captif (passerelles Wi-Fi hôtelières) en exploitant des interfaces d’administration exposées (SSH, SNMP, consoles web) combinées à des credentials administratifs faibles ou réutilisés. Une fois l’accès administratif obtenu, ils configurent un DNS poisoning pour rediriger l’ensemble du trafic DNS des clients connectés vers une infrastructure contrôlée par l’attaquant. ...

🔍 Contexte Le 13 juillet 2026, l’équipe CTI de Lexfo publie une analyse approfondie issue de la découverte, fin avril 2026, d’un répertoire ouvert sur le serveur 185.163.204.7 (Budapest, AS56322 ServerAstra Kft.). Un serveur Python HTTP (python3 -m http.server 8080) exposait publiquement l’intégralité d’une plateforme d’attaque active : configurations Evilginx, logs de capture, archives, installeurs RMM, combolists et fichiers de session Telegram. 👤 Acteurs identifiés codemado est un opérateur égyptien actif depuis 2018, identifié via .bash_history, un fichier de session Telegram (SQLite), des commentaires en arabe dans ses scripts, et une présence sur BlackHatWorld/CrackingX. Il opère sous les alias MaDoO, MaDosc, MADO. Il déploie une plateforme AiTM complète sur picis.net (enregistré le 13 mars 2026) avec un arsenal de 7 outils RMM et distribue MaDoO Blaster v4.7.3, un outil de spam/phishing commercial connecté à l’écosystème cybercriminel The Quarry de RockyBelling. ...