Le hameçonnage se professionnalise, et il a désormais son panneau d’administration. Les chercheurs de Cisco Talos ont disséqué ARToken, une plateforme de phishing-as-a-service (PhaaS, le phishing vendu clé en main) rattachée au groupe EvilTokens. Sa spécialité : détourner le mécanisme d’authentification par code d’appareil de Microsoft pour siphonner des comptes Microsoft 365.
Points clés
- ARToken est une plateforme de phishing-as-a-service liée au groupe EvilTokens
- L’outil détourne le device-code flow de Microsoft pour pirater les comptes Microsoft 365
- Il gère la compromission de messagerie (BEC), le vol SharePoint et la persistance via jeton PRT
- Restreindre le device-code flow et surveiller les jetons PRT figurent parmi les parades recommandées
Le flux « device code » retourné contre ses utilisateurs
Le device-code flow existe pour authentifier les appareils dépourvus de clavier confortable, type téléviseur ou console. L’idée : l’utilisateur saisit un court code sur une autre machine pour valider la connexion. ARToken exploite ce parcours légitime pour piéger la victime, qui croit valider un accès anodin alors qu’elle ouvre grand la porte de sa session.
Une fois l’accès obtenu, l’outil ne se contente pas d’un simple vol d’identifiants. Selon Cisco Talos, le panneau prend en charge tout un arsenal : compromission de messagerie professionnelle (BEC), exfiltration de documents SharePoint et persistance via le vol de jeton PRT (Primary Refresh Token). Ce dernier point est le plus sournois : en récupérant ce jeton, l’attaquant conserve un accès durable sans avoir à repasser par la case authentification.
Le crime organisé en mode SaaS
ARToken confirme une tendance de fond : le cybercrime adopte les codes du logiciel commercial. Interface d’administration soignée, fonctions modulaires, abonnements. Le criminel n’a plus besoin de savoir coder, il lui suffit de louer l’outil et de suivre le manuel. La barrière technique tombe, le volume d’attaques grimpe.
Pour les administrateurs Microsoft 365, la parade tient en quelques réflexes désormais indispensables : restreindre le device-code flow via les stratégies d’accès conditionnel quand il n’est pas nécessaire, surveiller les authentifications inhabituelles et traquer les jetons PRT anormaux. Le hameçonnage n’a jamais été aussi industriel, et il ne réclame plus qu’un abonnement mensuel pour tourner.
