Microsoft OAuth

🔍 Contexte Source : Barracuda Networks (fr.blog.barracuda.com), publié le 9 septembre 2026. Les chercheurs de Barracuda ont analysé une campagne de phishing innovante qui abandonne le modèle classique de la page hébergée sur un serveur au profit d’une architecture entièrement résidente dans le navigateur de la victime. ⚙️ Mécanisme d’attaque La chaîne d’attaque repose sur plusieurs composants enchaînés : Email DocuSign-themed envoyé à la victime avec une pièce jointe de type invitation calendrier (fichier .ics ou similaire), pointant vers un endpoint Microsoft OAuth légitime Un paramètre de redirection crafté route l’utilisateur vers Microsoft Teams Microsoft Teams charge une ressource externe hébergée sur cdn.bloom[.]io Le navigateur convertit ce contenu en blob URL (URL temporaire pointant vers du contenu stocké en mémoire locale) La blob URL rend la page de phishing localement dans le navigateur Des service workers, des iframes sandboxées et une infrastructure backend gèrent le workflow de phishing et la navigation de l’utilisateur Une configuration C2 cachée révèle que la page fait partie d’une plateforme de phishing managée, opérable et modifiable en temps réel 🎯 Caractéristiques distinctives Aucune page de phishing hébergée : le contenu malveillant n’existe que dans la session navigateur de la victime, rendant impossible le blocklist préalable Infrastructure Microsoft légitime tout au long de la chaîne (login.microsoftonline.com, Microsoft Teams), réduisant les signaux d’alerte visibles Contrôle dynamique via des mécanismes de messagerie navigateur, permettant aux opérateurs de modifier les destinations et comportements en temps réel Leurre de légitimité via la pièce jointe calendrier, imitant une communication professionnelle ordinaire 📌 Type d’article Il s’agit d’une analyse technique publiée par un éditeur de sécurité, visant à documenter une technique de phishing émergente et à sensibiliser les équipes de sécurité aux nouvelles méthodes d’évasion basées sur le navigateur. ...

🔍 Contexte Publié le 15 mai 2026 par Truesec sur leur blog Threat Insight, cet article décrit une tentative de phishing observée sur un client, exploitant le mécanisme d’authentification Device Code Flow de Microsoft pour détourner des sessions utilisateur. 🎣 Déroulement de l’attaque L’attaque se déroule en plusieurs étapes : La victime reçoit un email de phishing prétendant qu’un expéditeur souhaite partager un document. Un bouton « Open » redirige vers un site malveillant imitant une page légitime. Le site demande à l’utilisateur de copier un code de vérification et de le coller sur la page Microsoft Device Auth (microsoft.com/devicelogin). En cliquant sur « Continue to Microsoft », la victime est redirigée vers une vraie page Microsoft où elle saisit le code et s’authentifie. Ce faisant, la victime autorise involontairement une session contrôlée par l’attaquant, qui obtient un accès complet au compte Entra ID de la victime. ⚙️ Mécanisme technique Le Device Code Authentication Flow est un mécanisme OAuth légitime conçu pour les appareils sans navigateur (ex : Microsoft Teams Room). L’attaquant initie lui-même le flux, génère un code, puis manipule la victime pour qu’elle l’entre sur la page officielle Microsoft — transférant ainsi le token d’accès à l’attaquant sans que la page finale soit frauduleuse. ...

📰 Source : Sekoia TDR (blog.sekoia.io) — Date de publication : 7 avril 2026 (rapport FLINT TLP:AMBER distribué le 30 mars 2026) Contexte EvilTokens est un kit de Phishing-as-a-Service (PhaaS) apparu depuis mi-février 2026, spécialisé dans le device code phishing Microsoft et la fraude BEC (Business Email Compromise). Cet article constitue la partie 2 d’une analyse technique approfondie publiée par l’équipe TDR de Sekoia. Fonctionnement du PhaaS Le service est opéré via Telegram par l’administrateur eviltokensadmin, qui propose trois produits : ...