Le phishing a trouvé un nouveau tour de passe-passe : rendre ses pages invisibles jusqu’au dernier moment. Une campagne baptisée EvilTokens s’attaque aux comptes Microsoft 365 en planquant ses pages de piège derrière du HTML chiffré, de quoi passer sous le radar des filtres e-mail traditionnels qui, eux, lisent le code avant qu’il ne s’affiche.
Points clés
- EvilTokens chiffre ses pages de phishing en AES-GCM pour rester invisible jusqu’au rendu dans le navigateur
- La technique détourne le Device Code Phishing de Microsoft 365 pour prendre le contrôle des comptes
- Les filtres e-mail qui analysent le code statique sont contournés car la page reste illisible à la réception
Du HTML chiffré pour tromper les scanners
Le principe est aussi simple que retors. La page malveillante arrive chiffrée en AES-GCM, un standard robuste habituellement du côté des gentils. Tant que le navigateur de la victime ne l’a pas déchiffrée et rendue à l’écran, il n’y a rien à voir : aucun formulaire de connexion frauduleux, aucun mot suspect, juste un bloc de données illisible. Les moteurs d’analyse qui inspectent le contenu statique des courriels se retrouvent le bec dans l’eau.
Le Device Code, cheval de Troie de Microsoft 365
Là où EvilTokens vise juste, c’est en détournant le Device Code Phishing, une technique qui exploite le flux d’authentification par code d’appareil de Microsoft. La cible croit valider une connexion légitime et signe en réalité l’accès à son propre compte. Résultat : une prise de contrôle complète, sans même avoir à voler directement le mot de passe.
Cette approche coche toutes les cases du cauchemar défensif : contenu Microsoft 365 ciblé, chiffrement pour l’invisibilité et abus d’un mécanisme d’authentification pensé pour aider l’utilisateur. Les protections basées sur la signature statique ou la détection de mots-clés arrivent trop tard : au moment où la page devient lisible, elle est déjà sous les yeux de la victime.
Ce que ça change côté défense
La parade ne peut plus se contenter de scanner le code à la réception. Il faut analyser le comportement au rendu, surveiller les flux Device Code anormaux et couper l’herbe sous le pied de ces authentifications déguisées. En clair : les filtres qui se fient à ce qu’ils voient dans l’e-mail brut sont priés de revoir leur copie, parce que les attaquants, eux, ont compris qu’il suffisait de ne rien montrer.
