https://cyberveille.ch/tags/artoken/ Recent content in ARToken on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 03 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-03-artoken-analyse-d-un-panel-affilie-phaas-ciblant-microsoft-365-via-device-code-phishing/ Fri, 03 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-03-artoken-analyse-d-un-panel-affilie-phaas-ciblant-microsoft-365-via-device-code-phishing/ <h2 id="-contexte">🔍 Contexte</h2> <p>Cisco Talos a publié le 1er juillet 2026 une analyse technique détaillée d&rsquo;<strong>ARToken</strong>, un panel de type <strong>Phishing-as-a-Service (PhaaS)</strong> découvert lors d&rsquo;un engagement de réponse à incident. Ce panel partage infrastructure, contrats API et patterns opérationnels avec la plateforme <strong>EvilTokens</strong>, documentée par Sekoia et Microsoft début 2026.</p> <h2 id="-description-de-la-menace">🎯 Description de la menace</h2> <p>ARToken expose <strong>plus de 80 endpoints API</strong> permettant à des affiliés d&rsquo;effectuer :</p> <ul> <li><strong>Device code phishing</strong> via l&rsquo;abus du flux OAuth 2.0 Device Authorization Grant (RFC 8628)</li> <li><strong>Acquisition et persistance de Primary Refresh Token (PRT)</strong> survivant aux réinitialisations de mot de passe</li> <li><strong>Opérations BEC</strong> (Business Email Compromise) avec outil intégré ARTSender</li> <li><strong>Exfiltration SharePoint/OneDrive</strong></li> <li><strong>Surveillance multi-boîtes mail</strong> par mots-clés (Box Monitor)</li> </ul> <p>Le panel est accessible via un dashboard React (SPA), dont le bundle JavaScript de 1,7 Mo expose l&rsquo;intégralité du code client sans authentification.</p>