Device-Code Phishing

🗓️ Contexte Source : Microsoft On the Issues — Publication du 22 septembre 2026, par Steven Masada, Directeur juridique adjoint et Directeur général de la Digital Crimes Unit (DCU) de Microsoft. 🧩 Description de la menace EvilTokens est une plateforme cybercriminelle commerciale lancée en février 2026, combinant compromission de comptes, analyse de boîtes mail par IA, sélection de cibles et préparation à la fraude financière dans un service unique. En quelques mois, elle a été liée à plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations à travers le monde. ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog d’ANY.RUN, cet article présente une analyse technique approfondie de CSuite, une opération de phishing et d’accès distant active de février 2026 au 3 septembre 2026, ciblant principalement des organisations américaines (60% des victimes identifiées) et européennes. 🎯 Description de la menace CSuite est une opération structurée autour d’un modèle fournisseur/affiliés : le fournisseur distribue l’hébergement, les outils d’accès distant et les domaines via des canaux de messagerie privés, chaque affilié gérant son propre endpoint d’exfiltration. ...

🔍 Contexte Publié le 9 septembre 2026 sur le blog Microsoft Security, cet article présente une analyse technique détaillée d’une campagne d’intrusion cloud active observée depuis mai 2026, ciblant des identités Microsoft 365 via une chaîne d’attaque en plusieurs étapes. 🎯 Vecteur d’accès initial L’attaque débute par de l’ingénierie sociale téléphonique ou par SMS : un attaquant se fait passer pour le helpdesk IT de l’organisation et crée un sentiment d’urgence autour de la mise à jour d’une passkey, MFA ou SSO. Les victimes sont dirigées vers des sites de phishing imitant Microsoft, enregistrés selon le pattern companyname[.]maliciousdomain[.]com. ...

🔍 Contexte Article publié le 4 avril 2026 par Luke Jennings (VP R&D, Push Security) sur le blog pushsecurity.com. Il s’agit d’une analyse technique approfondie de la montée en puissance du device code phishing, une technique d’usurpation de compte exploitant le flux OAuth 2.0 Device Authorization Grant. ⚡ Technique d’attaque Le device code phishing abuse du flux OAuth 2.0 conçu pour les appareils à entrée limitée. L’attaquant génère un code de périphérique (requête unauthentifiée), le transmet à la victime via phishing, et récupère des tokens d’accès et de rafraîchissement une fois que la victime entre le code sur la page légitime du fournisseur. Cette technique contourne les mots de passe, le MFA et les passkeys. Les cibles principales incluent Microsoft, Google, Salesforce, GitHub et AWS. ...

🌐 Contexte Publié le 31 juillet 2026 par Microsoft Threat Intelligence, cet article détaille la campagne CaptiveCrunch, attribuée à Storm-2945, un sous-cluster opérationnel de Midnight Blizzard (SVR russe). L’activité est observée depuis début mai 2026 et cible principalement les voyageurs d’affaires dans des environnements hôteliers et de conférence à l’échelle mondiale. 🎯 Vecteur d’attaque Storm-2945 manipule le trafic DNS et HTTP des réseaux servis par des portails captifs Wi-Fi pour rediriger les utilisateurs vers une infrastructure contrôlée par l’acteur. Les techniques employées incluent : ...

🎯 Contexte Publié le 2 août 2026 par Abnormal AI, ce rapport technique est basé sur l’analyse du logiciel opérateur ARToken et la rétro-ingénierie de son API backend. Il documente une plateforme Phishing-as-a-Service (PhaaS) observée pour la première fois en juillet 2026, ciblant des utilisateurs Microsoft 365. 🔍 Description de la menace ARToken abuse du flux OAuth 2.0 device-authorization grant (suivi par Microsoft sous le nom Storm-2372) pour dérober des tokens d’accès et de rafraîchissement sans jamais afficher de fausse page de connexion. La cible s’authentifie sur la vraie page Microsoft (login.microsoft.com/device), ce qui rend l’attaque transparente aux contrôles anti-phishing classiques et contourne le MFA. ...

📄 Source : Proofpoint | Date : 21 juillet 2026 | Type : Rapport annuel basé sur une enquête auprès de 953 professionnels de la sécurité dans 12 pays (mars-avril 2026) Contexte général Proofpoint publie son rapport AI-Era Ransomware Report 2026, fondé sur les réponses de 803 organisations ayant subi un incident ransomware au cours des 12 derniers mois. Le rapport identifie trois évolutions structurelles : les cibles humaines, la monétisation via l’extorsion, et l’inadéquation des défenses existantes. ...

📰 Source : BleepingComputer — Date de publication : 3 juillet 2026 — Contexte : Découverte par Cisco Talos lors d’un engagement de réponse à incident. 🎯 Présentation de la menace Cisco Talos a identifié ARToken, une plateforme de Phishing-as-a-Service (PhaaS) présentant de fortes similarités techniques avec EvilTokens, une plateforme commerciale de phishing documentée par Sekoia en mars 2026. ARToken opère comme affilié d’EvilTokens et expose un panneau de gestion basé sur React avec plus de 80 endpoints API. ...

🔍 Contexte Cisco Talos a publié le 1er juillet 2026 une analyse technique détaillée d’ARToken, un panel de type Phishing-as-a-Service (PhaaS) découvert lors d’un engagement de réponse à incident. Ce panel partage infrastructure, contrats API et patterns opérationnels avec la plateforme EvilTokens, documentée par Sekoia et Microsoft début 2026. 🎯 Description de la menace ARToken expose plus de 80 endpoints API permettant à des affiliés d’effectuer : Device code phishing via l’abus du flux OAuth 2.0 Device Authorization Grant (RFC 8628) Acquisition et persistance de Primary Refresh Token (PRT) survivant aux réinitialisations de mot de passe Opérations BEC (Business Email Compromise) avec outil intégré ARTSender Exfiltration SharePoint/OneDrive Surveillance multi-boîtes mail par mots-clés (Box Monitor) Le panel est accessible via un dashboard React (SPA), dont le bundle JavaScript de 1,7 Mo expose l’intégralité du code client sans authentification. ...

🔍 Contexte Publié le 27 mai 2026 par Netcraft (auteure : Ginny Spicer), cet article présente une analyse technique d’une vague d’attaques de device code phishing propulsées par le toolkit EvilTokens, ainsi qu’une campagne connexe baptisée GhostPairing ciblant les messageries sécurisées. ⚙️ Mécanisme d’attaque EvilTokens EvilTokens abuse du flux d’autorisation par code d’appareil OAuth 2.0 : L’attaquant vérifie l’existence d’un compte cible via l’endpoint GetCredentialType sur login.microsoftonline.com Une lure est envoyée à la victime contenant une URL ou pièce jointe « nécessitant une authentification » La page malveillante génère un device code au moment du chargement (réinitialisant le délai d’expiration de 15 minutes de Microsoft) La victime entre le code sur l’URL de vérification légitime (ex. microsoft.com/devicelogin) Le client de l’attaquant, en polling sur l’endpoint token, reçoit des access et refresh tokens lui donnant un accès API persistant sous l’identité de la victime Le toolkit intègre : copie automatique du code dans le presse-papiers, design responsive pour mobile, mécanisme anti-bot (case à cocher), et des mécanismes anti-analyse (désactivation du clic droit, obfuscation JavaScript multi-couches, collecte d’informations via ipinfo.io). ...