Un nouveau kit de phishing baptisé Kali365 frappe fort. Il contourne la double authentification (MFA) de Microsoft 365, un mécanisme pourtant réputé sûr. Des centaines d’utilisateurs en sont déjà victimes dans plus de 40 pays.
Cette attaque n’est pas une simple usurpation de mots de passe. Kali365 s’appuie sur une technique de type Adversary-in-the-Middle, interceptant les sessions validées. Il rend ainsi inefficace la couche supplémentaire de sécurité pourtant mise en place par la plupart des organisations.
La situation inquiète les experts, car la compromission va bien au-delà d’un simple vol d’identifiants. Le kit permet un accès prolongé avec de vrais tokens de session déjà authentifiés, rendant la rémission bien plus complexe.
Un phishing qui déjoue la double authentification de Microsoft 365
Kali365 utilise Evilginx2, un outil sophistiqué qui met en place une attaque dite Adversary-in-the-Middle (AiTM). Le procédé est simple et redoutable. La victime saisit ses identifiants sur une fausse page imitant Microsoft, puis continue sans se douter de rien.
Les identifiants sont transmis en temps réel à Microsoft. La victime valide son second facteur, souvent via une notification ou un code SMS. Microsoft autorise la connexion sans soupçon, car la MFA a bien été respectée.
Mais le hacker, lui, récupère ensuite les cookies de session, ceux qui certifient que l’utilisateur est déjà authentifié. Avec ces cookies, il peut ouvrir la session à sa place, sans demander une nouvelle authentification !
Un impact mondial aux conséquences lourdes
Selon une analyse poussée de CloudSEK, plus de 5 000 authentifications Microsoft 365 compromises ont été repérées, avec une concentration significative en Inde et en France. Ce dernier pays est même le deuxième le plus touché, ce qui n’est pas anodin.
Les données interceptées sont impressionnantes : plus de 1 000 mots de passe en clair, 4 000 cookies de session, sans compter des milliers d’adresses IP victimes dans divers secteurs et territoires. Cette ampleur souligne que la menace vise des organisations à large échelle.
Le pire ? La double authentification, bien que déployée, n’a pas empêché ces intrusions. Kali365 exploite une faiblesse dans le protocole OAuth 2.0 de Microsoft, une approche utilisée par de nombreuses entreprises.
Pourquoi il faut revoir la protection des accès au cloud Microsoft
Passer outre la double authentification, ce n’est pas simplement une erreur de conception, mais un rappel brutal que la sécurité ne peut jamais être statique. La résilience s’entretient par des tests réguliers et des mises à jour continues.
Kali365 ne casse pas la MFA : il attend juste que la victime la valide. Il signe un « faux départ » pour de nombreuses stratégies de sécurité d’accès, qui doivent désormais tenir compte des attaques AiTM.
La protection traditionnelle par mot de passe et second facteur n’est plus suffisante. Il est primordial d’introduire des mécanismes complémentaires : détection de comportements anormaux, contrôle d’intégrité des sessions, et surtout formation des utilisateurs pour reconnaitre les signes de phishing.
Faire face à la menace Kali365 : quelles options ?
La riposte doit être systématique et multicouche. Verrouiller uniquement sur le modèle MFA est dépassé. La cybersécurité doit s’appuyer sur la segmentation stricte des accès et la surveillance temps réel.
Les organisations doivent s’appuyer sur des solutions d’analyse comportementale, couplées à un monitoring avancé des tokens OAuth pour détecter les usages suspects. Sans ces outils, la détection est quasi impossible.
Enfin, le scénario de crise doit intégrer rapidement la reconnaissance d’une compromission via Kali365. L’arrêt immédiat des sessions exposées, la réinitialisation des accès et la communication interne sont des étapes clés à ne pas négliger.
Source: www.clubic.com
Commentaires
Laisser un commentaire