Une campagne de rejeu de jetons Microsoft 365 touche 79 organisations via des relais AitM

Entre le 14 juillet et le 22 septembre 2026, des attaquants ont utilisé des relais adversaire-du-milieu (adversary-in-the-middle) pour voler des jetons de connexion Microsoft 365 et les rejouer contre les tenants des victimes. Huntress a suivi cette activité, qui a touché 79 organisations et compromis 97 comptes tout en enregistrant plusieurs dizaines d'appareils Entra malveillants.

Ce qui s'est passé

Huntress a observé plus de 200 000 tentatives de connexion liées à la campagne, aboutissant à 497 connexions réussies à Microsoft 365. À partir de ces sessions, les acteurs de la menace ont finalement pris le contrôle de 97 comptes utilisateurs et enregistré au moins 48 faux ordinateurs dans les annuaires Microsoft des victimes. Les chercheurs ont attribué la majorité des tentatives échouées à la plage d'adresses IP 193.26.115[.]0/24, les premières observations pointant vers une adresse roumaine, 193.26.115[.]221.

Après avoir obtenu l'accès, les attaquants ont ajouté leurs propres applications d'authentification pour maintenir la persistance et contourner les futures demandes MFA. Dans au moins 19 organisations, les méthodes MFA existantes ont été supprimées et de nouvelles ont été enregistrées dans les trois heures suivant la première connexion non autorisée. Dans un cas survenu le 21 juillet 2026, un authentificateur intitulé « iPhone 13 » est apparu moins de 51 minutes après la prise de contrôle.

Les intrus ont également créé des règles de boîte aux lettres cachées portant des noms tels que « . », « sss » et « d » pour supprimer ou rediriger les messages contenant des mots-clés comme payroll, deposit et bonus. Certaines règles déplaçaient le courrier vers des dossiers obscurs comme RSS Feeds et Conversation History, et dans une boîte aux lettres, tous les messages entrants étaient marqués comme lus et supprimés avant que le compte ne soit utilisé pour envoyer du spam sortant.

Comment cela fonctionne

La technique centrale est un relais adversaire-du-milieu qui présente une fausse page de connexion Microsoft à la victime. Lorsque l'utilisateur saisit ses identifiants et termine l'authentification multifacteur, le relais transmet ces informations au véritable service Microsoft. L'objectif n'est pas de conserver le mot de passe, mais de capturer le jeton d'accès émis par Microsoft après une connexion réussie.

Une fois le jeton capturé, l'attaquant le rejoue depuis sa propre infrastructure en quelques minutes. Huntress qualifie ce modèle de « token spraying » car de nombreux jetons volés sont réutilisés à grande échelle dans plusieurs organisations, de manière similaire à la façon dont le password spraying teste un mot de passe contre de nombreux comptes. Comme le jeton prouve déjà l'authentification, l'attaquant n'a pas besoin de résoudre à nouveau la MFA lors de la session rejouée.

Les jetons provenaient de plusieurs vecteurs, notamment des relais AitM derrière de fausses pages de connexion, des flux de phishing par code d'appareil (device-code) et de l'ingénierie sociale lors de connexions légitimes. Les appareils Entra malveillants enregistrés offrent aux attaquants une voie durable pour demander de nouveaux jetons, même si une session volée expire ou est révoquée.

Détails clés

• Chronologie : Du 14 juillet au 22 septembre 2026, selon les observations de Huntress.
• Portée : 79 organisations affectées ; 97 comptes compromis ; 497 connexions réussies sur plus de 200 000 tentatives.
• Infrastructure : Tentatives échouées liées à 193.26.115[.]0/24 ; l'IP initiale 193.26.115[.]221 est associée à AsyncRAT et à l'hébergeur allemand 1337 Services GmbH.
• Persistance : Les attaquants ont enregistré au moins 48 appareils Entra malveillants et ajouté leurs propres applications d'authentification ; dans 19 organisations, les méthodes MFA ont été remplacées en moins de trois heures.
• Évasion : Des règles de boîte aux lettres cachées portant des noms courts ou basés sur des points supprimaient ou redirigeaient le courrier mentionnant payroll, deposit et bonus.
• Conseils d'atténuation : Révoquer les sessions, réinitialiser les mots de passe, auditer les appareils Entra et les méthodes MFA, examiner les règles de boîte aux lettres et les applications d'entreprise, et restreindre les flux de code d'appareil avec l'accès conditionnel (Conditional Access).

Pourquoi c'est important

Pour les équipes gérant Microsoft 365, cette campagne montre qu'une MFA robuste seule peut ne pas empêcher la prise de contrôle de compte lorsque les jetons sont interceptés et rejoués. L'attaque contourne le second facteur habituel en réutilisant un jeton valide de preuve de connexion, puis consolide l'accès en enregistrant de nouveaux appareils et authentificateurs. Cette combinaison rend la détection plus difficile et augmente la fenêtre de temps pour le vol ou l'abus de données.

L'impact opérationnel est immédiat : les boîtes aux lettres compromises peuvent être réduites au silence par des règles furtives, les communications financières peuvent disparaître et le spam sortant peut endommager la réputation de l'expéditeur. Parce que les appareils malveillants persistent dans l'annuaire jusqu'à leur suppression manuelle, le nettoyage nécessite un audit minutieux des inscriptions Entra, des inscriptions MFA et des politiques conditionnelles, plutôt que de simples réinitialisations de mots de passe.

Ce que vous pouvez faire

• Révoquez les sessions actives et réinitialisez les mots de passe pour tout compte suspecté, puis forcez une nouvelle authentification.
• Auditez les inscriptions d'appareils Entra et supprimez les entrées inconnues ou suspectes, y compris les ordinateurs récemment ajoutés.
• Examinez les méthodes MFA des utilisateurs affectés et supprimez les applications d'authentification ou numéros de téléphone inconnus.
• Recherchez les règles de boîte aux lettres inattendues portant des noms courts ou inhabituels et vérifiez les redirections de courrier vers des dossiers obscurs.
• Restreignez les flux d'authentification par code d'appareil à l'aide de politiques d'accès conditionnel (Conditional Access) pour réduire les risques liés aux attaques AitM et au phishing.
• Appliquez l'accès conditionnel de manière globale : exigez la MFA ou bloquez l'accès pour tous les utilisateurs, toutes les applications cloud et tous les types d'applications clientes.