REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Le kit Knight Office illustre une attaque qui récupère une session déjà authentifiée. L’enjeu n’est donc pas seulement le mot de passe : les appareils enregistrés et les moyens de connexion ajoutés doivent aussi être contrôlés.
Déroulement décrit par la source
- Le parcours décrit utilise un email imitant DocuSign, des redirections et une page de phishing destinée à récupérer des jetons de session.
- La réutilisation de ces jetons permet d’accéder au compte comme un utilisateur déjà connecté, sans réaliser une nouvelle authentification multifacteur.
- Dans un incident cité, des appareils non autorisés et des identifiants Windows Hello for Business ont été enregistrés pour maintenir l’accès.
Comprendre les mécanismes et les enseignements
- Leçon défensive : une authentification multifacteur réussie ne garantit pas que toute utilisation ultérieure de la session est légitime. Les événements de connexion doivent être rapprochés de l’état du terminal, des changements d’identité et des opérations réalisées dans le compte.
- Le passage par un service connu ne valide pas la destination finale. Former les utilisateurs à vérifier l’action demandée et à ouvrir les documents attendus depuis leurs applications habituelles est plus utile qu’une simple reconnaissance de marques dans un email.
Les vérifications défensives utiles
- En cas de session suspecte, révoquer les sessions concernées et examiner les nouveaux moyens d’authentification. Contrôler également les appareils enregistrés et les changements de récupération avant de considérer le compte à nouveau maîtrisé.
- Reconstituer la chaîne de redirections à partir des journaux disponibles, sans ouvrir le leurre sur un poste de travail ordinaire. Conserver les éléments nécessaires à la corrélation avec les connexions et les activités de messagerie.
- Tester des politiques de connexion fondées sur des terminaux gérés et des méthodes résistantes au phishing, lorsque le contexte le permet. Prévoir une procédure de secours documentée pour éviter qu’une exception permanente annule la protection.
Portée et limites
Les observations rapportées concernent un kit et des incidents identifiés par Huntress. Elles ne prouvent pas que tout compte utilisant une authentification multifacteur ou toute redirection depuis ces services est compromis.
Rapport original
Inside Knight Office, a New M365 AiTM Phishing Kit — www.huntress.com.